[Komputer komercyjny] Ogłoszenie o aktualizacji certyfikatu Windows Secure Boot

2.1 Nie dotyczy (nowy certyfikat obsługiwany domyślnie)

Wszystkie komputery biznesowe dostarczone w 2024 roku lub później, a także wszystkie przyszłe nowe modele, mają nowy certyfikat Secure Boot zintegrowany fabrycznie. Nie jest wymagana ręczna aktualizacja.

Laptopy (NB): Następujące modele, jak również wszystkie serie wypuszczone po 2024 roku.

Komputery stacjonarne: Następujące modele, jak również wszystkie serie wprowadzone po 2024 roku.

Wszystko w jednym (AIO): Następujące modele, jak również wszystkie serie wprowadzone po 2024 roku.

2.2 Modele wymagające aktualizacji

Jeśli Twój model nie jest wymieniony powyżej, oznacza to, że urządzenie obecnie korzysta ze starszego certyfikatu i będzie wymagać aktualizacji.

Jak uzyskać aktualizację?

Dla objętych modeli firma ASUS zakończyła przekazanie nowego certyfikatu. Aktualizacja zostanie automatycznie dostarczona przez Microsoft za pośrednictwem Windows Update.

Zalecane działanie: Przejdź do Ustawienia > Windows Update i upewnij się, że automatyczne aktualizacje są włączone.

Automatyczna instalacja: System automatycznie pobierze i zainstaluje najnowszy certyfikat bezpieczeństwa — nie są wymagane żadne narzędzia ani ręczne pobieranie.

Ta sekcja wyjaśnia certyfikaty Microsoft third-party Secure Boot. Jeśli Twoje urządzenie musi uruchamiać środowiska inne niż Windows (np. Linux) lub sprzęt innych firm (np. zewnętrzne GPU), zapoznaj się z poniższymi informacjami.

3.1 Przegląd certyfikatu Microsoft 3rd Party

3.2 Jeśli wymagane są certyfikaty Microsoft 3rd Party, zapoznaj się z poniższymi instrukcjami

Uwaga: Jeśli Twój komputer firmowy ma włączony Windows BitLocker, uprzejmie prosimy o wcześniejsze zawieszenie go, postępując zgodnie z poniższymi instrukcjami przed wykonaniem jakichkolwiek operacji Secure Boot.

Urządzenia wysyłane w 2026 roku już zawierają te certyfikaty. Możesz wejść do BIOS Setup (naciśnij F2 podczas uruchamiania), aby zweryfikować lub skonfigurować opcje certyfikatów stron trzecich.

Możesz również odnieść się do Sekcji 8.3, aby sprawdzić, czy certyfikaty stron trzecich są obecne. Jeśli nie są uwzględnione, zaktualizuj BIOS do najnowszej wersji i postępuj zgodnie z Sekcja 5. SOP 1: Aktualizacja certyfikatów Secure Boot.

Jeśli wymagane certyfikaty stron trzecich nadal się nie pojawiają, przejdź do Sekcja 6. SOP 2: Dodanie certyfikatów Secure Boot.

W przypadku gdy zresetowanie kluczy Secure Boot powoduje pojawienie się następującego ekranu podczas uruchamiania Windows, wykonaj kroki z Sekcja 7. SOP 3: Przywracanie certyfikatów Secure Boot.

Odniesienia

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Notatki przedoperacyjne:

1. Zaleca się wykonanie kopii zapasowej wszystkich danych na komputerze z wyprzedzeniem, aby zapobiec ewentualnej utracie danych podczas ręcznej aktualizacji.
2. Jeśli BitLocker jest włączony, upewnij się, że został zawieszony przed kontynuowaniem poniższych kroków. Po zakończeniu procesu można ponownie włączyć BitLocker.
3. Nie zawieszenie BitLocker może skutkować zablokowaniem dostępu. W przypadkach, gdy BitLocker nie może automatycznie odblokować zaszyfrowanego dysku Windows, wymagany będzie klucz odzyskiwania. Ten klucz to 48-cyfrowy kod numeryczny, który pozwala odzyskać dostęp do dysku twardego. Jeśli nie znasz procedur opisanych poniżej, skontaktuj się z nami, aby uzyskać pomoc.

Jeśli potrzebujesz odzyskać klucz odzyskiwania BitLocker, zapoznaj się z artykułem: Jak odzyskać klucz odzyskiwania BitLocker.

Kroki procedury

1. Włącz lub uruchom ponownie system, następnie naciśnij F2, aby wejść do ustawień BIOS.   
   Naciśnij F7, aby przejść do Trybu Zaawansowanego, następnie przejdź do Security > Secure Boot (lub bezpośrednio Security > Secure Boot).   
   
2. Wybierz Key Management.   
   
3. Wybierz Authorized Signatures (db).   
   
4. Wybierz Update.   
   
5. Wybierz Yes.   
     
   Uwaga: Wybranie „Tak” przywróci odpowiednie certyfikaty do ustawień fabrycznych. Wszelkie certyfikaty wcześniej dodane przez system lub użytkownika zostaną usunięte.
6. Wybierz Szczegóły, aby zweryfikować, czy certyfikaty Authorized Signatures (db) zostały pomyślnie zaktualizowane.   
   
7. Naciśnij F10, aby zapisać i wyjść.
8. Jeśli BitLocker był wcześniej zawieszony, upewnij się, że został ponownie włączony.

1. Pobierz Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 i zapisz go w katalogu głównym dysku USB (np. „D:\windows uefi ca 2023.crt”).
2. Włącz lub uruchom ponownie system, następnie naciśnij F2, aby wejść do ustawień BIOS.   
   Naciśnij F7, aby przełączyć się w Tryb Zaawansowany, następnie przejdź do Security > Secure Boot (lub bezpośrednio Security > Secure Boot).   
   
3. Wybierz Key Management.   
   
4. Wybierz Authorized Signatures (db).   
   
5. Wybierz Append.   
   
6. Wybierz Nie.   
   
7. Wybierz dysk USB.
8. Znajdź i wybierz plik zapisany w katalogu głównym: „windows uefi ca 2023.crt”.
9. Wybierz Public Key Certificate, następnie naciśnij Enter na ekranie potwierdzenia GUID.   
   
10. Wybierz Tak.   
    
11. Sprawdź, czy Windows UEFI CA 2023 jest teraz wyświetlany na liście Authorized Signatures (db).   
    
12. Naciśnij F10, aby Zapisz & Wyjdź.
13. Jeśli BitLocker jest włączony, upewnij się, że posiadasz klucz odzyskiwania BitLocker pod ręką.

Jak sprawdzić status klucza UEFI Secure Boot? Poniższe procedury nie wpływają na status Windows BitLocker.

8.1 Kroki wstępne

Wpisz PowerShell w pasku wyszukiwania Windows.

Z wyników wyszukiwania kliknij prawym przyciskiem myszy na Windows PowerShell i wybierz Uruchom jako administrator.

8.2 Weryfikacja certyfikatów Microsoft Windows Secure Boot

1. Potwierdź, że Key Exchange Key (KEK) zawiera \„Microsoft Corporation KEK 2K CA 2023”.  
   Wykonaj: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Wynik True oznacza, że certyfikat „Microsoft Corporation KEK 2K CA 2023” jest obecny.  
   
2. Potwierdź, że Signature Databases (DB) zawierają „Windows UEFI CA 2023”.  
   Wykonaj: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Wynik True oznacza, że certyfikat „Windows UEFI CA 2023” jest obecny.  
   

8.3 Weryfikacja certyfikatów Microsoft 3rd Party Secure Boot

1. Potwierdź, że Signature Databases (DB) zawierają „Microsoft UEFI CA 2023”.  
   Wykonaj: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Wynik True oznacza, że certyfikat „Microsoft UEFI CA 2023” jest obecny.  
   
2. Potwierdź, że Bazy Danych Podpisów (DB) zawierają „Microsoft Option ROM UEFI CA 2023”.  
   Wykonaj: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
   Wynik „True” oznacza, że certyfikat „Microsoft Option ROM UEFI CA 2023” jest obecny.