[Commercial PC] ประกาศเกี่ยวกับการอัปเดตใบรับรอง Secure Boot ของ Windows

2.1 ไม่ได้รับผลกระทบ (รองรับใบรับรองใหม่โดยอัตโนมัติ)

พีซีเชิงธุรกิจทั้งหมดที่จัดส่งในปี 2024 หรือหลังจากนั้น รวมถึงทุกรุ่นใหม่ในอนาคต จะมีการผสานใบรับรอง Secure Boot ใหม่ไว้ล่วงหน้า ไม่จำเป็นต้องอัปเดตด้วยตนเอง

แล็ปท็อป (NB): รุ่นต่อไปนี้ รวมถึงทุกรุ่นที่เปิดตัวหลังปี 2024

เดสก์ท็อป: รุ่นต่อไปนี้ รวมถึงทุกรุ่นที่เปิดตัวหลังปี 2024

ออลอินวัน (AIO): รุ่นต่อไปนี้ รวมถึงทุกรุ่นที่เปิดตัวหลังปี 2024

2.2 รุ่นที่ต้องอัปเดต

หากรุ่นของคุณไม่อยู่ในรายการข้างต้น หมายความว่าอุปกรณ์กำลังใช้งานใบรับรองเดิมและจำเป็นต้องอัปเดต

วิธีรับการอัปเดต

สำหรับรุ่นที่ได้รับผลกระทบ ASUS ได้ดำเนินการส่งใบรับรองใหม่เรียบร้อยแล้ว การอัปเดตจะถูกส่งโดยอัตโนมัติผ่าน Windows Update โดย Microsoft

แนะนำให้ดำเนินการ: ไปที่ การตั้งค่า > Windows Update และตรวจสอบให้แน่ใจว่าการอัปเดตอัตโนมัติเปิดใช้งานอยู่

การติดตั้งแบบอัตโนมัติ: ระบบจะดาวน์โหลดและติดตั้งใบรับรองความปลอดภัยล่าสุดโดยอัตโนมัติ—ไม่จำเป็นต้องใช้เครื่องมือหรือดาวน์โหลดด้วยตนเอง

ส่วนนี้อธิบายเกี่ยวกับใบรับรอง Secure Boot ของบุคคลที่สามของ Microsoft หากอุปกรณ์ของคุณต้องใช้งานสภาพแวดล้อมที่ไม่ใช่ Windows (เช่น Linux) หรือฮาร์ดแวร์ของบุคคลที่สาม (เช่น GPU ภายนอก) กรุณาตรวจสอบข้อมูลต่อไปนี้

3.1 ภาพรวมใบรับรองบุคคลที่สามของ Microsoft

3.2 หากต้องใช้ใบรับรอง Microsoft บุคคลที่สาม กรุณาอ้างอิงคำแนะนำดังต่อไปนี้

หมายเหตุ: หากคอมพิวเตอร์เชิงพาณิชย์ของคุณเปิดใช้งาน Windows BitLocker กรุณาระงับ BitLocker ล่วงหน้าโดยปฏิบัติตามคำแนะนำด้านล่างก่อนดำเนินการ Secure Boot

อุปกรณ์ที่จัดส่งในปี 2026 จะมีใบรับรองเหล่านี้อยู่แล้ว คุณสามารถเข้าสู่ BIOS Setup (กด F2 ระหว่างการเริ่มต้น) เพื่อยืนยันหรือกำหนดค่าตัวเลือกใบรับรองของบุคคลที่สาม

นอกจากนี้ คุณสามารถดูในส่วนที่ 8.3 เพื่อยืนยันว่าใบรับรองของบุคคลที่สามมีอยู่หรือไม่ หากไม่มีใบรับรองดังกล่าว กรุณาอัปเดต BIOS ให้เป็นเวอร์ชันล่าสุดและดำเนินการตาม ส่วนที่ 5. SOP 1: อัปเดตใบรับรอง Secure Boot

หากยังไม่พบใบรับรองของบุคคลที่สามที่ต้องการ กรุณาดำเนินการต่อที่ ส่วนที่ 6. SOP 2: เพิ่มใบรับรอง Secure Boot

ในกรณีที่การรีเซ็ตคีย์ Secure Boot ส่งผลให้หน้าจอต่อไปนี้ปรากฏเมื่อบูตเข้าสู่ Windows กรุณาดำเนินการตาม ส่วนที่ 7. SOP 3: กู้คืนใบรับรอง Secure Boot

ข้อมูลอ้างอิง

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

บันทึกก่อนดำเนินการ:

1. ขอแนะนำให้สำรองข้อมูลทั้งหมดในคอมพิวเตอร์ของคุณล่วงหน้า เพื่อป้องกันการสูญเสียข้อมูลที่อาจเกิดขึ้นระหว่างกระบวนการอัปเดตแบบแมนนวล
2. หาก BitLocker ถูกเปิดใช้งาน กรุณาตรวจสอบให้แน่ใจว่ามีการระงับการทำงานก่อนดำเนินขั้นตอนต่อไป เมื่อกระบวนการเสร็จสิ้น BitLocker สามารถเปิดใช้งานอีกครั้งได้
3. หากไม่ได้ระงับ BitLocker อาจเกิดสถานการณ์ล็อคอินได้ ในกรณีที่ BitLocker ไม่สามารถปลดล็อกไดร์ฟ Windows ที่เข้ารหัสโดยอัตโนมัติ จะต้องใช้ recovery key ซึ่งเป็นรหัสตัวเลข 48 หลักที่ช่วยให้คุณเข้าถึงฮาร์ดไดรฟ์ได้อีกครั้ง หากคุณไม่คุ้นเคยกับขั้นตอนด้านล่าง กรุณาติดต่อเราเพื่อขอความช่วยเหลือ

หากคุณต้องการดึง recovery key ของ BitLocker กรุณาอ่านบทความ: วิธีดึงกุญแจ BitLocker Recovery ของคุณ.

ขั้นตอนการดำเนินการ

1. เปิดเครื่องหรือรีสตาร์ทระบบ แล้วกด F2 เพื่อเข้าสู่การตั้งค่า BIOS   
   กด F7 เพื่อเปลี่ยนเป็นโหมดขั้นสูง จากนั้นไปที่ Security > Secure Boot (หรือไปที่ Security > Secure Boot โดยตรง)   
   
2. เลือก Key Management   
   
3. เลือก Authorized Signatures (db)   
   
4. เลือก Update   
   
5. เลือก Yes   
     
   หมายเหตุ: การเลือก “Yes” จะคืนใบรับรองที่เกี่ยวข้องให้เป็นการตั้งค่าจากโรงงานเดิม ใบรับรองใด ๆ ที่ถูกเพิ่มโดยระบบหรือผู้ใช้ก่อนหน้านี้จะถูกลบออก
6. เลือก Details เพื่อตรวจสอบว่าใบรับรอง Authorized Signatures (db) ได้รับการอัปเดตเรียบร้อยแล้ว   
   
7. กด F10 เพื่อบันทึกและออก
8. หาก BitLocker ถูกระงับไว้ก่อนหน้านี้ กรุณาตรวจสอบให้แน่ใจว่าได้เปิดใช้งานอีกครั้ง

1. ดาวน์โหลด Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 และบันทึกไว้ในไดเรกทอรีหลักของ USB drive (เช่น “D:\windows uefi ca 2023.crt”)
2. เปิดเครื่องหรือรีสตาร์ทระบบ จากนั้นกด F2 เพื่อเข้าสู่การตั้งค่า BIOS   
   กด F7 เพื่อเปลี่ยนเป็นโหมดขั้นสูง แล้วไปที่ Security > Secure Boot (หรือไปที่ Security > Secure Boot โดยตรง)   
   
3. เลือก Key Management   
   
4. เลือก Authorized Signatures (db)   
   
5. เลือก Append   
   
6. เลือก No   
   
7. เลือก USB drive
8. ค้นหาและเลือกไฟล์ที่อยู่ใน root directory: "windows uefi ca 2023.crt"
9. เลือก Public Key Certificate แล้วกด Enter บนหน้าจอ GUID ยืนยัน   
   
10. เลือก Yes   
    
11. ตรวจสอบว่า Windows UEFI CA 2023 ได้อยู่ในรายการภายใต้ลายเซ็นที่ได้รับอนุญาต (db) แล้ว   
    
12. กด F10 เพื่อบันทึกและออก
13. หากเปิดใช้งาน BitLocker อยู่ ให้แน่ใจว่าคุณมีคีย์การกู้คืน BitLocker ของคุณพร้อมใช้งาน

วิธีตรวจสอบสถานะคีย์ UEFI Secure Boot? ขั้นตอนต่อไปนี้จะไม่ส่งผลต่อสถานะของ Windows BitLocker

8.1 ขั้นตอนเบื้องต้น

กรอก PowerShell ในแถบค้นหาของ Windows

จากผลลัพธ์การค้นหา ให้คลิกขวา Windows PowerShell และเลือก Run as Administrator

8.2 การตรวจสอบใบรับรอง Secure Boot ของ Microsoft Windows

1. ยืนยันว่า Key Exchange Key (KEK) มี “Microsoft Corporation KEK 2K CA 2023” อยู่ในรายการ  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   ผลลัพธ์ที่เป็น True หมายถึงใบรับรอง "Microsoft Corporation KEK 2K CA 2023" มีอยู่ในระบบ  
   
2. ยืนยันว่า Signature Databases (DB) มี "Windows UEFI CA 2023" อยู่  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   ผลลัพธ์ที่เป็น True หมายถึงใบรับรอง "Windows UEFI CA 2023" มีอยู่ในระบบ  
   

8.3 การตรวจสอบใบรับรอง Microsoft 3rd Party Secure Boot

1. ยืนยันว่า Signature Databases (DB) มี "Microsoft UEFI CA 2023" อยู่  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   ผลลัพธ์ที่เป็น True หมายถึงใบรับรอง "Microsoft UEFI CA 2023" มีอยู่ในระบบ  
   
2. ยืนยันว่า Signature Databases (DB) มี "Microsoft Option ROM UEFI CA 2023" อยู่  
   ดำเนินการ: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   ผลลัพธ์เป็น True หมายความว่าใบรับรอง "Microsoft Option ROM UEFI CA 2023" มีอยู่