[Коммерческие ПК] Объявление об обновлении сертификата безопасной загрузки Windows

2.1 Не затронуто [Новый сертификат поддерживается по умолчанию]

Все бизнес-ПК, поставляемые в 2024 году или позже, а также все будущие новые модели имеют новый сертификат Secure Boot, предустановленный с завода. Ручное обновление не требуется.

Ноутбуки (NB): следующие модели, а также все серии, вышедшие после 2024 года.

Настольные ПК: Следующие модели, а также все серии, выпущенные после 2024 года.

Моноблоки (AIO): Следующие модели, а также все серии, выпущенные после 2024 года.

2.2 Модели, требующие обновления

Если Ваша модель не указана выше, это означает, что устройство в настоящее время использует старый сертификат и его необходимо обновить.

Как получить обновление?

Для затронутых моделей ASUS завершила отправку нового сертификата. Обновление будет автоматически доставлено Microsoft через Windows Update.

Рекомендуемое действие: Перейдите в Настройки > Windows Update и убедитесь, что автоматические обновления включены.

Автоматическая установка: Система автоматически загрузит и установит последний сертификат безопасности — никаких ручных инструментов или загрузок не требуется.

В этом разделе объясняются сторонние сертификаты Secure Boot Microsoft. Если Вашему устройству необходимо запускать не-Windows среды (например, [Linux]) или стороннее оборудование (например, внешние GPU), пожалуйста, ознакомьтесь со следующим.

3.1 Обзор стороннего сертификата Microsoft

3.2 Если требуются сторонние сертификаты Microsoft, пожалуйста, ознакомьтесь со следующими инструкциями

Примечание: если на Вашем коммерческом компьютере включён Windows BitLocker, пожалуйста, временно приостановите его заранее, следуя приведённым ниже инструкциям, перед выполнением любых операций Secure Boot.

Устройства, поставляемые в 2026 году, уже включают эти сертификаты. Вы можете войти в настройки BIOS (нажмите F2 во время запуска), чтобы проверить или настроить опции сертификатов сторонних производителей.

Кроме того, Вы можете обратиться к Разделу 8.3, чтобы проверить, присутствуют ли сторонние сертификаты. Если они не включены, пожалуйста, обновите BIOS до последней версии и следуйте Разделу 5. SOP 1: Обновление сертификатов Secure Boot.

Если необходимые сторонние сертификаты по-прежнему не появляются, перейдите к Разделу 6. SOP 2: Добавление сертификатов Secure Boot.

В случае, если сброс ключей Secure Boot приведет к появлению следующего экрана при загрузке Windows, выполните действия из Раздела 7. SOP 3: Восстановление сертификатов Secure Boot.

Ссылки

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Примечания перед началом операции:

1. Настоятельно рекомендуется заранее создать резервную копию всех данных на Вашем компьютере, чтобы предотвратить возможную потерю данных во время процесса ручного обновления.
2. Если BitLocker включён, пожалуйста, убедитесь, что он приостановлен до выполнения следующих шагов. После завершения процесса BitLocker можно снова включить.
3. Не приостановив BitLocker, можно столкнуться с блокировкой доступа. В случаях, когда BitLocker не может автоматически разблокировать зашифрованный диск Windows, потребуется Ключ восстановления. Этот Ключ представляет собой 48-значный цифровой код, который позволяет восстановить доступ к жёсткому диску. Если Вы не знакомы с процедурами, описанными ниже, пожалуйста, свяжитесь с нами для получения помощи.

Если Вам нужно восстановить Ключ восстановления BitLocker, пожалуйста, обратитесь к статье: Как восстановить Ключ восстановления BitLocker.

Этапы процедуры

1. Включите или перезагрузите систему, затем нажмите F2 для входа в BIOS setup.   
   Нажмите F7 для перехода в Advanced Mode, затем перейдите к Security > Secure Boot (или напрямую Security > Secure Boot).   
   
2. Выберите Key Management.   
   
3. Выберите Authorized Signatures (db).   
   
4. Выберите Update.   
   
5. Выберите Yes.   
     
   Примечание: Выбор “Да” восстановит соответствующие сертификаты к заводским настройкам по умолчанию. Любые сертификаты, ранее добавленные системой или пользователем, будут удалены.
6. Выберите "Сведения", чтобы убедиться, что сертификаты Authorized Signatures (db) были успешно обновлены.   
   
7. Нажмите F10 для сохранения и выхода.
8. Если BitLocker был ранее приостановлен, пожалуйста, убедитесь, что он снова включён.

1. Скачайте Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 и сохраните его в корневой каталог USB-накопителя (например, “D:\windows uefi ca 2023.crt”).
2. Включите или перезагрузите систему, затем нажмите F2 для входа в BIOS setup.   
   Нажмите F7 для перехода в расширенный режим, затем перейдите в Security > Secure Boot (или напрямую Security > Secure Boot).   
   
3. Выберите Key Management.   
   
4. Выберите Authorized Signatures (db).   
   
5. Выберите Добавить.   
   
6. Выберите Нет.   
   
7. Выберите USB-накопитель.
8. Найдите и выберите файл, сохранённый в корневом каталоге: “windows uefi ca 2023.crt”.
9. Выберите Public Key Certificate, затем нажмите Enter на экране подтверждения GUID.   
   
10. Выберите Да.   
    
11. Убедитесь, что Windows UEFI CA 2023 теперь отображается в списке Authorized Signatures (db).   
    
12. Нажмите F10 для сохранения и выхода.
13. Если BitLocker включен, убедитесь, что у Вас под рукой есть Ключ восстановления BitLocker.

Как проверить статус UEFI Secure Boot Key? Следующие процедуры не влияют на статус Windows BitLocker.

8.1 Предварительные шаги

Введите PowerShell в строке поиска Windows.

В результатах поиска нажмите правой кнопкой мыши Windows PowerShell и выберите Запуск от имени администратора.

8.2 Проверка сертификатов Microsoft Windows Secure Boot

1. Подтвердите, что в Key Exchange Key (KEK) присутствует “Microsoft Corporation KEK 2K CA 2023”.  
   Выполните: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Результат True означает, что сертификат "Microsoft Corporation KEK 2K CA 2023" присутствует.  
   
2. Подтвердите, что в Signature Databases (DB) присутствует "Windows UEFI CA 2023".  
   Выполните: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Результат True означает, что сертификат "Windows UEFI CA 2023" присутствует.  
   

8.3 Проверка сторонних сертификатов Microsoft Secure Boot

1. Подтвердите, что в Signature Databases (DB) присутствует "Microsoft UEFI CA 2023".  
   Выполните: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Результат True означает, что сертификат "Microsoft UEFI CA 2023" присутствует.  
   
2. Подтвердите, что Базы Данных Подписей (DB) включают «Microsoft Option ROM UEFI CA 2023».  
   Выполнить: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Результат True указывает на то, что сертификат «Microsoft Option ROM UEFI CA 2023» присутствует.