[Commercial PC] Oznámení o aktualizaci certifikátu Windows Secure Boot

2.1 Není ovlivněno [Nový certifikát podporován ve výchozím nastavení]

Všechny firemní PC dodané v roce 2024 nebo později, stejně jako všechny budoucí nové modely, mají nový Secure Boot certifikát předinstalovaný. Ruční aktualizace není vyžadována.

Notebooky (NB): Následující modely, stejně jako všechny série uvedené po roce 2024.

Stolní počítače: Následující modely, stejně jako všechny série uvedené po roce 2024.

All-in-One (AIO): Následující modely, stejně jako všechny série uvedené po roce 2024.

2.2 Modely, které vyžadují aktualizaci

Pokud váš model není uveden výše, znamená to, že zařízení aktuálně používá starší certifikát a bude potřeba jej aktualizovat.

Jak získám aktualizaci?

U dotčených modelů společnost ASUS dokončila předání nového certifikátu. Aktualizace bude automaticky doručena společností Microsoft prostřednictvím Windows Update.

Doporučený postup: Přejděte do Nastavení > Windows Update a ujistěte se, že automatické aktualizace jsou povolené.

Automatická instalace: Systém automaticky stáhne a nainstaluje nejnovější bezpečnostní certifikát—nejsou potřeba žádné manuální nástroje ani stahování.

Tato sekce vysvětluje certifikáty Microsoft třetích stran Secure Boot. Pokud vaše zařízení potřebuje provozovat ne-Windows prostředí (například Linux) nebo hardware třetích stran (například externí GPU), přečtěte si následující informace.

3.1 Přehled Microsoft třetí strany certifikátů

3.2 Pokud jsou vyžadovány Microsoft certifikáty třetích stran, postupujte podle níže uvedených pokynů

Poznámka: Pokud má váš komerční počítač zapnutý Windows BitLocker, před prováděním operací Secure Boot ho prosím předem pozastavte podle pokynů níže.

Zařízení dodaná v roce 2026 již obsahují tyto certifikáty. Do Nastavení BIOSu (stiskněte F2 během spuštění) můžete vstoupit pro ověření nebo konfiguraci možností certifikátů třetích stran.

Dále můžete nahlédnout do Sekce 8.3 pro ověření, zda jsou certifikáty třetích stran přítomny. Pokud nejsou zahrnuty, aktualizujte BIOS na nejnovější verzi a postupujte podle Sekce 5. SOP 1: Aktualizace Secure Boot certifikátů.

Pokud požadované certifikáty třetích stran stále nejsou zobrazeny, pokračujte do Sekce 6. SOP 2: Přidání Secure Boot certifikátů.

V případě, že resetování klíčů Secure Boot způsobí zobrazení následující obrazovky při spuštění do Windows, řiďte se Sekce 7. SOP 3: Obnovení Secure Boot certifikátů.

Reference

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Poznámky před operací:

1. Důrazně doporučujeme předem zálohovat všechna data na vašem počítači, abyste předešli možné ztrátě dat během ručního procesu aktualizace.
2. Pokud je BitLocker povolen, ujistěte se, že je pozastaven před pokračováním v následujících krocích. Po dokončení procesu lze BitLocker opět povolit.
3. Nepozastavení BitLockeru může vést k zablokování. V případech, kdy BitLocker nemůže automaticky odemknout šifrovaný disk Windows, bude vyžadován obnovovací klíč. Tento klíč je 48místný číselný kód, který vám umožní znovu získat přístup k vašemu pevnému disku. Pokud nejste obeznámeni s níže uvedenými postupy, kontaktujte nás pro pomoc.

Pokud potřebujete získat svůj [BitLocker recovery key], přečtěte si článek: Jak získat svůj [BitLocker recovery key].

Postup

1. Zapněte nebo restartujte systém, poté stiskněte F2 pro vstup do BIOS setup.   
   Stiskněte F7 pro přepnutí do Advanced Mode, poté přejděte do Security > Secure Boot (nebo přímo Security > Secure Boot).   
   
2. Vyberte Key Management.   
   
3. Vyberte Authorized Signatures (db).   
   
4. Zvolte Update.   
   
5. Vyberte Ano.   
     
   Poznámka: Výběrem možnosti \„Ano” obnovíte odpovídající certifikáty na jejich tovární výchozí nastavení. Jakékoli certifikáty dříve přidané systémem nebo uživatelem budou odstraněny.
6. Vyberte Podrobnosti pro ověření, že certifikáty Authorized Signatures (db) byly úspěšně aktualizovány.   
   
7. Stiskněte F10 pro Uložení & Ukončení.
8. Pokud byl BitLocker dříve pozastaven, ujistěte se, že je znovu povolen.

1. Stáhněte Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 a uložte jej do kořenového adresáře USB disku (například „D:\windows uefi ca 2023.crt”).
2. Zapněte nebo restartujte systém, poté stiskněte F2 pro vstup do nastavení BIOS.   
   Stiskněte F7 pro přepnutí do pokročilého režimu, poté přejděte na Zabezpečení > Secure Boot (nebo přímo Zabezpečení > Secure Boot).   
   
3. Vyberte Správa klíčů.   
   
4. Vyberte Oprávněné podpisy (db).   
   
5. Zvolte Přidat.   
   
6. Zvolte Ne.   
   
7. Vyberte USB disk.
8. Vyhledejte a vyberte soubor uložený v kořenovém adresáři: „windows uefi ca 2023.crt”.
9. Vyberte Public Key Certificate, poté stiskněte Enter na potvrzovací obrazovce GUID.   
   
10. Vyberte Ano.   
    
11. Ověřte, že Windows UEFI CA 2023 je nyní uveden v části Povolené podpisy (db).   
    
12. Stiskněte F10 pro Uložit & Ukončit.
13. Pokud je BitLocker povolen, ujistěte se, že máte svůj BitLocker recovery key připravený.

Jak ověřit stav klíče UEFI Secure Boot? Následující postupy neovlivní stav Windows BitLocker.

8.1 Předběžné kroky

Zadejte PowerShell do vyhledávacího pole Windows.

Ve výsledcích vyhledávání klikněte pravým tlačítkem na Windows PowerShell a vyberte Spustit jako správce.

8.2 Ověření certifikátů Microsoft Windows Secure Boot

1. Potvrďte, že Klíč pro výměnu klíčů (KEK) obsahuje „Microsoft Corporation KEK 2K CA 2023“.  
   Proveďte: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Výsledek „True“ znamená, že certifikát „Microsoft Corporation KEK 2K CA 2023“ je přítomen.  
   
2. Potvrďte, že Databáze podpisů (DB) obsahuje „Windows UEFI CA 2023“.  
   Proveďte: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Výsledek „True“ znamená, že certifikát „Windows UEFI CA 2023“ je přítomen.  
   

8.3 Ověření Microsoft 3. stran Secure Boot certifikátů

1. Potvrďte, že Databáze podpisů (DB) obsahuje „Microsoft UEFI CA 2023“.  
   Proveďte: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Výsledek „True“ znamená, že certifikát „Microsoft UEFI CA 2023“ je přítomen.  
   
2. Potvrďte, že databáze podpisů (DB) obsahuje „Microsoft Option ROM UEFI CA 2023“.  
   Spusťte: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Výsledek True znamená, že certifikát „Microsoft Option ROM UEFI CA 2023“ je přítomen.