การหมดอายุใบรับรอง Secure Boot ของ Windows และการอัปเดตใบรับรอง

คำตอบ 1: กรุณาทำตามขั้นตอนด้านล่างนี้:

1. ในแถบค้นหาของ Windows ให้พิมพ์ Windows Security. 
   
2. เลือก [Device security] จากเมนูฝั่งซ้าย ภายใต้ [Secure boot] คุณจะเห็นตัวบ่งชี้สถานะ ไอคอน Secure boot จะมีเครื่องหมายสีเขียว เหลือง หรือแดง ซึ่งแต่ละสีจะแสดงถึงสถานะปัจจุบันของ Secure boot บนอุปกรณ์ของคุณ 
   

คำตอบ 2: กรุณาทำตามขั้นตอนด้านล่างนี้:

1. Run Windows Update และตรวจสอบให้แน่ใจว่า OS build เป็น 26100.6725 หรือใหม่กว่า 
   ประวัติการอัปเดต Windows 11, เวอร์ชัน 25H2 - ฝ่ายสนับสนุนของ Microsoft
2. ในแถบค้นหา Windows ให้พิมพ์ Windows PowerShell. 
   จากผลการค้นหา ให้คลิกขวาที่ Windows PowerShell แล้วเลือก Run as Administrator. 
   
3. ใส่คำสั่งต่อไปนี้: 
   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f 
   
4. จากนั้นใส่คำสั่งต่อไปนี้: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
5. รีสตาร์ทคอมพิวเตอร์ของคุณ
6. หลังจาก reboot ให้เปิด Windows PowerShell อีกครั้ง as an administrator.
7. ใส่คำสั่งต่อไปนี้อีกครั้ง: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
8. รีสตาร์ทคอมพิวเตอร์ของคุณอีกครั้งหนึ่ง
9. ตรวจสอบว่าไอคอน Secure Boot เปลี่ยนเป็นสีเขียวแล้ว ซึ่งหมายความว่า Secure Boot ได้ถูกเปิดใช้งานและทำงานถูกต้องเรียบร้อยแล้ว

คำตอบที่ 3: หลังจากใบรับรอง Secure Boot หมดอายุ อุปกรณ์ที่ยังไม่ได้รับใบรับรองใหม่ปี 2023 ยังสามารถบูตและใช้งานได้ตามปกติ และจะยังคงได้รับการอัปเดต Windows ตามปกติ อย่างไรก็ตาม อุปกรณ์เหล่านี้จะไม่สามารถรับการป้องกันความปลอดภัยใหม่ ๆ ระหว่างขั้นตอนการบูตเริ่มต้นได้ เช่น การอัปเดต Windows boot administrators, secure boot databases, revocation lists หรือมาตรการบรรเทาภัยคุกคามใหม่ที่ตรวจพบในระดับการบูต

เมื่อเวลาผ่านไป สิ่งนี้จะจำกัดการป้องกันของอุปกรณ์ต่อภัยคุกคามใหม่ ๆ และอาจส่งผลต่อสถานการณ์ที่ต้องอาศัยความเชื่อถือของ Secure Boot เช่น การเสริมความปลอดภัยของ BitLocker หรือการใช้งานตัวโหลดบูตของผู้ผลิตรายอื่น อุปกรณ์ Windows ส่วนใหญ่จะได้รับข้อมูลประจำตัวที่อัปเดตโดยอัตโนมัติ และผู้ผลิต OEM หลายรายก็จะปล่อยเฟิร์มแวร์อัปเดตเมื่อจำเป็น การอัปเดตอุปกรณ์อยู่เสมอจะช่วยให้ได้รับการป้องกันความปลอดภัยที่สมบูรณ์ตามที่ออกแบบไว้สำหรับการบูตอย่างปลอดภัย

คำตอบที่ 4: อุปกรณ์ที่ปิด secure boot จะไม่ได้รับข้อมูลรับรอง secure boot ใหม่ในเฟิร์มแวร์ ดังนั้นอุปกรณ์เหล่านี้ยังคงมีความเสี่ยงต่อมัลแวร์ในชั้น boot (เช่น bootkits) เนื่องจากไม่ได้บังคับใช้การป้องกันของ secure boot

คำตอบที่ 5: ถ้า Windows ได้ใช้ signed boot manager ปี 2023 แล้ว แต่เฟิร์มแวร์ถูกรีเซ็ตกลับค่า default ซึ่งไม่มีใบรับรอง Windows UEFI CA 2023, secure boot จะบล็อคกระบวนการ boot

คุณสามารถดูข้อมูลได้ที่ FAQ:

[โน้ตบุ๊ก] วิธีแก้ไขปัญหา - ข้อผิดพลาด Secure Boot Violation ขณะเริ่มต้นระบบ

คำตอบที่ 6: ได้ แม้ว่าข้อมูลรับรองปัจจุบันจะหมดอายุแล้ว อัปเดตสะสมที่มีข้อมูลรับรอง secure boot ใหม่ก็ยังสามารถติดตั้งได้ ถ้าอุปกรณ์สามารถเริ่ม Windows และติดตั้งอัปเดตได้ ข้อมูลรับรองที่อัปเดตจะถูกเขียนลงในเฟิร์มแวร์ตามแนวทางการปรับใช้ที่ประกาศไว้ อุปกรณ์ส่วนใหญ่จะได้รับอัปเดตนี้โดยอัตโนมัติ แต่อาจมีบางระบบที่ต้องการอัปเดตเฟิร์มแวร์เพิ่มเติม

คำตอบที่ 7: กรุณาอ้างอิงตามขั้นตอนดังต่อไปนี้:

1. พิมพ์ PowerShell ในช่องค้นหาระบบ Windows 
   ในผลลัพธ์การค้นหา คลิกที่ไอคอน Windows PowerShell และเลือก Run as Administrator 
   
2. ยืนยันว่า Key Exchange Key (KEK) มี "Microsoft Corporation KEK 2K CA 2023" 
   พิมพ์ [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   หากปรากฏ True แสดงว่ามี "Microsoft Corporation KEK 2K CA 2023" 
   
3. ยืนยันว่า Signature Databases (DB) มี "Windows UEFI CA 2023" 
   พิมพ์ [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   หากปรากฏ True แสดงว่ามี "Windows UEFI CA 2023" 
   
4. ยืนยันว่า Signature Databases (DB) มี "Microsoft UEFI CA 2023" 
   พิมพ์ [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   หากปรากฏ True แสดงว่ามี "Microsoft UEFI CA 2023" 
   

คำตอบ 8: สาเหตุของข้อความแสดงข้อผิดพลาดนี้คือข้อมูลรับรอง secure boot ได้รับการอัปเดตแล้ว แต่ยังไม่ได้ถูกนำไปใช้กับเฟิร์มแวร์ของอุปกรณ์

โปรดทำการอัปเดต Windows ก่อนเพื่อให้แน่ใจว่าเวอร์ชันของ OS เป็น 26100.6725 หรือใหม่กว่า จากนั้นดำเนินการตามขั้นตอนที่ระบุในคำถามที่ 2

ประวัติการอัปเดต Windows 11, รุ่น 25H2

คำตอบ 9: สาเหตุของข้อความแสดงข้อผิดพลาดนี้คือการอัปเดต boot ถูกบล็อกโดยตั้งใจเนื่องจากอุปกรณ์ตรงตามเงื่อนไขของเฟิร์มแวร์หรือฮาร์ดแวร์ที่รู้จัก ซึ่งจะป้องกันไม่ให้การอัปเดตเสร็จสิ้นอย่างปลอดภัย

โปรดแจ้งปัญหานี้ผ่านศูนย์บริการ ASUS

คำตอบที่ 10: สาเหตุของข้อความแสดงข้อผิดพลาดนี้คือ อุปกรณ์ไม่พบ Key Exchange Key (KEK) ที่ถูกเซ็นโดย PK

โปรดรายงานปัญหานี้ผ่านศูนย์บริการ ASUS