[PC comercial] Anúncio sobre a atualização do certificado do Secure Boot do Windows

2.1 Não Afetado (Novo Certificado Suportado por Defeito)

Todos os PCs empresariais enviados em 2024 ou mais tarde, bem como todos os novos modelos futuros, têm o novo certificado Secure Boot pré-integrado. Não é necessária atualização manual.

Portáteis (NB): Os seguintes modelos, bem como todas as séries lançadas após 2024.

Desktops: Os seguintes modelos, bem como todas as séries lançadas após 2024.

Tudo-em-um (AIO): Os seguintes modelos, bem como todas as séries lançadas após 2024.

2.2 Modelos Que Requerem Atualização

Se o seu modelo não estiver listado acima, isso significa que o dispositivo está atualmente a utilizar o certificado antigo e precisará de ser atualizado.

Como posso obter a atualização?

Para os modelos afetados, a ASUS já concluiu a submissão do novo certificado. A atualização será entregue automaticamente pela Microsoft através do Windows Update.

Ação recomendada: Vá a Definições > Windows Update e certifique-se de que as atualizações automáticas estão ativadas.

Instalação automática: O sistema irá transferir e instalar automaticamente o certificado de segurança mais recente — não são necessárias ferramentas ou transferências manuais.

Esta secção explica os certificados Secure Boot de terceiros da Microsoft. Se o seu dispositivo precisar de executar ambientes não-Windows (por exemplo, Linux) ou hardware de terceiros (por exemplo, GPUs externas), por favor reveja o seguinte.

3.1 Visão geral do Certificado de Terceiros da Microsoft

3.2 Se for necessário utilizar Certificados de Terceiros da Microsoft, consulte as instruções seguintes

Nota: Se o seu computador comercial tiver o Windows BitLocker ativado, suspenda-o previamente seguindo as instruções abaixo antes de realizar quaisquer operações de Secure Boot.

Os dispositivos enviados em 2026 já incluem estes certificados. Pode aceder à Configuração da BIOS (prima F2 durante o arranque) para verificar ou configurar as opções de certificados de terceiros.

Além disso, pode consultar a Secção 8.3 para verificar se os certificados de terceiros estão presentes. Se não estiverem incluídos, por favor atualize a BIOS para a versão mais recente e siga a Secção 5. SOP 1: Atualizar Certificados de Secure Boot.

Se os certificados de terceiros necessários ainda não aparecerem, por favor prossiga para a Secção 6. SOP 2: Adicionar Certificados de Secure Boot.

No caso de repor as chaves de Secure Boot resultar no seguinte ecrã ao iniciar o Windows, siga por favor a Secção 7. SOP 3: Restaurar Certificados de Secure Boot.

Referências

1. https://learn.microsoft.com/pt-pt/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/pt-pt/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Notas Pré-Operacionais:

1. É fortemente recomendado fazer uma cópia de segurança de todos os dados do seu computador antecipadamente para evitar qualquer potencial perda de dados durante o processo de atualização manual.
2. Se o BitLocker estiver ativado, por favor, certifique-se de que está suspenso antes de prosseguir com os passos seguintes. Após a conclusão do processo, o BitLocker pode ser reativado.
3. Não suspender o BitLocker pode resultar num cenário de bloqueio. Nos casos em que o BitLocker não consiga desbloquear automaticamente o disco Windows encriptado, será necessária uma chave de recuperação. Esta chave é um código numérico de 48 dígitos que lhe permite voltar a aceder ao seu disco rígido. Se não estiver familiarizado com os procedimentos descritos abaixo, por favor contacte-nos para assistência.

Se precisar de recuperar a sua chave de recuperação do BitLocker, por favor consulte o artigo: Como Recuperar a Sua Chave de Recuperação do BitLocker.

Passos do Procedimento

1. Ligue ou reinicie o sistema, depois prima F2 para entrar na configuração da BIOS.   
   Prima F7 para mudar para o Modo Avançado, depois navegue até Segurança > Arranque Seguro (ou diretamente Segurança > Arranque Seguro).   
   
2. Selecione Gestão de Chaves.   
   
3. Selecione Assinaturas Autorizadas (db).   
   
4. Escolha Atualizar.   
   
5. Selecione Sim.   
     
   Nota: Selecionar “Sim” irá repor os certificados correspondentes para as definições de fábrica. Quaisquer certificados previamente adicionados pelo sistema ou utilizador serão removidos.
6. Selecione Detalhes para verificar se os certificados de Assinaturas Autorizadas (db) foram atualizados com sucesso.   
   
7. Prima F10 para Guardar & Sair.
8. Se o BitLocker foi anteriormente suspenso, por favor certifique-se de que é reativado.

1. Descarregue o Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 e guarde-o no diretório raiz de uma pen USB (por exemplo, “D:\windows uefi ca 2023.crt”).
2. Ligue ou reinicie o sistema, depois prima F2 para entrar na configuração do BIOS.   
   Prima F7 para mudar para o Modo Avançado e navegue até Segurança > Secure Boot (ou diretamente Segurança > Secure Boot).   
   
3. Selecione Gestão de Chaves.   
   
4. Selecione Assinaturas Autorizadas (db).   
   
5. Escolha Adicionar.   
   
6. Selecione Não.   
   
7. Selecione a pen USB.
8. Localize e selecione o ficheiro guardado no diretório raiz: “windows uefi ca 2023.crt”.
9. Selecione Certificado de Chave Pública e depois prima Enter no ecrã de confirmação do GUID.   
   
10. Selecione Sim.   
    
11. Verifique que Windows UEFI CA 2023 está agora listado em Assinaturas Autorizadas (db).   
    
12. Prima F10 para Guardar & Sair.
13. Se o BitLocker estiver ativado, certifique-se de que tem a sua chave de recuperação do BitLocker prontamente disponível.

Como verificar o estado da Chave de Secure Boot UEFI? Os procedimentos seguintes não afetam o estado do BitLocker do Windows.

8.1 Passos Preliminares

Digite PowerShell na barra de pesquisa do Windows.

Nos resultados da pesquisa, clique com o botão direito em Windows PowerShell e selecione Executar como Administrador.

8.2 Verificação dos Certificados de Secure Boot Microsoft Windows

1. Confirme que a Key Exchange Key (KEK) inclui “Microsoft Corporation KEK 2K CA 2023”.  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Microsoft Corporation KEK 2K CA 2023" está presente.  
   
2. Confirme que as Signature Databases (DB) incluem "Windows UEFI CA 2023".  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Windows UEFI CA 2023" está presente.  
   

8.3 Verificação dos Certificados Secure Boot de Terceiros da Microsoft

1. Confirme que as Signature Databases (DB) incluem "Microsoft UEFI CA 2023".  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Microsoft UEFI CA 2023" está presente.  
   
2. Confirme que as Bases de Dados de Assinaturas (DB) incluem "Microsoft Option ROM UEFI CA 2023".  
   Executar: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Microsoft Option ROM UEFI CA 2023" está presente.