[Commercial PC] ประกาศเกี่ยวกับการอัปเดตใบรับรอง Windows Secure Boot

2.1 ไม่ได้รับผลกระทบ (รองรับใบรับรองใหม่โดยค่าเริ่มต้น)

PC ธุรกิจทั้งหมดที่จัดส่งในปี 2024 หรือหลังจากนั้น รวมถึงรุ่นใหม่ทั้งหมดในอนาคต จะมีใบรับรอง Secure Boot ใหม่ติดตั้งไว้ล่วงหน้า ไม่ต้องอัปเดตด้วยตนเอง

แล็ปท็อป (NB): รุ่นต่อไปนี้ รวมทั้งทุกซีรีส์ที่เปิดตัวหลังปี 2024

เดสก์ท็อป: รุ่นต่อไปนี้ รวมถึงซีรีส์ทั้งหมดที่เปิดตัวหลังปี 2024

ออลอินวัน (AIO): รุ่นต่อไปนี้ รวมถึงทุกซีรีส์ที่เปิดตัวหลังปี 2024

2.2 รุ่นที่ต้องการการอัปเดต

ถ้ารุ่นของคุณไม่ได้อยู่ในรายการข้างต้น หมายความว่าอุปกรณ์กำลังใช้ใบรับรองรุ่นเก่าและจำเป็นต้องอัปเดต

ฉันจะรับการอัปเดตได้อย่างไร?

สำหรับรุ่นที่ได้รับผลกระทบ ASUS ได้ดำเนินการส่งใบรับรองใหม่เรียบร้อยแล้ว การอัปเดตจะถูกส่งโดยอัตโนมัติผ่าน Windows Update โดย Microsoft

แนะนำให้ดำเนินการ: ไปที่ Settings > Windows Update และตรวจสอบว่ามีการเปิดใช้งานการอัปเดตอัตโนมัติอยู่

การติดตั้งอัตโนมัติ: ระบบจะดาวน์โหลดและติดตั้งใบรับรองความปลอดภัยล่าสุดโดยอัตโนมัติ—ไม่จำเป็นต้องใช้เครื่องมือหรือดาวน์โหลดด้วยตนเอง

ส่วนนี้อธิบายเกี่ยวกับ Microsoft third-party Secure Boot certificates หากอุปกรณ์ของคุณจำเป็นต้องใช้งานระบบที่ไม่ใช่ Windows (เช่น Linux) หรือฮาร์ดแวร์จากผู้ผลิตรายอื่น (เช่น external GPUs) กรุณาตรวจสอบข้อมูลต่อไปนี้

3.1 ภาพรวม Microsoft 3rd Party Certificate

3.2 หากจำเป็นต้องใช้ใบรับรอง Microsoft 3rd Party กรุณาตรวจสอบคำแนะนำด้านล่างนี้

หมายเหตุ: หากคอมพิวเตอร์เชิงพาณิชย์ของคุณเปิดใช้งาน Windows BitLocker กรุณาระงับไว้ล่วงหน้าตามคำแนะนำด้านล่างก่อนดำเนินการ Secure Boot

อุปกรณ์ที่จัดส่งในปี 2026 จะมีใบรับรองเหล่านี้อยู่แล้ว คุณสามารถเข้าสู่ BIOS Setup (กด F2 ขณะเริ่มต้นระบบ) เพื่อตรวจสอบหรือกำหนดตัวเลือกใบรับรองของบุคคลที่สาม

นอกจากนี้ คุณสามารถดูส่วนที่ 8.3 เพื่อยืนยันว่าใบรับรองบุคคลที่สามมีอยู่หรือไม่ หากไม่รวมอยู่ โปรดอัปเดต BIOS ให้เป็นเวอร์ชันล่าสุดและดำเนินการตาม ส่วนที่ 5. SOP 1: อัปเดตใบรับรอง Secure Boot

หากยังไม่พบใบรับรองบุคคลที่สามที่ต้องการ โปรดดำเนินการต่อที่ ส่วนที่ 6. SOP 2: เพิ่มใบรับรอง Secure Boot

ในกรณีที่การรีเซ็ตคีย์ Secure Boot ทำให้หน้าจอต่อไปนี้ปรากฏขึ้นเมื่อบูตเข้าสู่ Windows กรุณาดำเนินการตาม ส่วนที่ 7. SOP 3: กู้คืนใบรับรอง Secure Boot

เอกสารอ้างอิง

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

หมายเหตุการดำเนินการล่วงหน้า:

1. ขอแนะนำอย่างยิ่งให้สำรองข้อมูลทั้งหมดบนคอมพิวเตอร์ของคุณล่วงหน้าเพื่อป้องกันการสูญเสียข้อมูลที่อาจเกิดขึ้นระหว่างกระบวนการอัปเดตแบบแมนนวล
2. หากเปิดใช้งาน BitLocker โปรดตรวจสอบให้แน่ใจว่าได้ระงับการใช้งานก่อนดำเนินขั้นตอนต่อไป เมื่อกระบวนการเสร็จสมบูรณ์ สามารถเปิดใช้งาน BitLocker ได้อีกครั้ง
3. หากไม่ระงับการใช้ BitLocker อาจส่งผลให้ล็อกไม่สามารถเข้าถึงได้ ในกรณีที่ BitLocker ไม่สามารถปลดล็อกไดรฟ์ Windows ที่เข้ารหัสโดยอัตโนมัติ จะต้องใช้กุญแจสำหรับการกู้คืน กุญแจนี้คือรหัสตัวเลข 48 หลักที่ช่วยให้คุณเข้าถึงฮาร์ดไดรฟ์ของคุณได้อีกครั้ง หากคุณไม่คุ้นเคยกับขั้นตอนที่ระบุไว้ด้านล่าง กรุณาติดต่อเราเพื่อขอความช่วยเหลือ

ถ้าคุณต้องการดึงกุญแจ BitLocker recovery ของคุณ กรุณาอ่านบทความนี้: วิธีดึงกุญแจ BitLocker recovery ของคุณ.

ขั้นตอนการดำเนินงาน

1. เปิดเครื่องหรือรีสตาร์ทระบบ แล้วกด F2 เพื่อเข้าสู่การตั้งค่า BIOS    
   กด F7 เพื่อเปลี่ยนเป็นโหมดขั้นสูง แล้วไปที่ ความปลอดภัย > Secure Boot (หรือไปที่ ความปลอดภัย > Secure Boot โดยตรง)    
   
2. เลือก การจัดการกุญแจ    
   
3. เลือก ลายเซ็นที่ได้รับอนุญาต (db)    
   
4. เลือก อัปเดต    
   
5. เลือก ใช่    
     
   Note: การเลือก “ใช่” จะคืนค่าการตั้งค่าของใบรับรองที่เกี่ยวข้องกลับเป็นค่าจากโรงงาน ใบรับรองที่ถูกเพิ่มโดยระบบหรือผู้ใช้ก่อนหน้านี้จะถูกลบออก
6. เลือก ดูรายละเอียด เพื่อยืนยันว่าใบรับรอง Authorized Signatures (db) ได้รับการอัปเดตเรียบร้อยแล้ว   
   
7. กด F10 เพื่อ บันทึก & ออก
8. หาก BitLocker ถูกระงับไว้ก่อนหน้านี้ กรุณาตรวจสอบให้แน่ใจว่าได้เปิดใช้งานอีกครั้ง

1. ดาวน์โหลด Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 และบันทึกไว้ที่ไดเรกทอรีหลักของไดร์ฟ USB (เช่น “D:\windows uefi ca 2023.crt”)
2. เปิดเครื่องหรือรีสตาร์ทระบบ แล้วกด F2 เพื่อเข้าสู่การตั้งค่า BIOS   
   กด F7 เพื่อเปลี่ยนเป็นโหมดขั้นสูง แล้วไปที่ Security > Secure Boot (หรือเข้าสู่ Security > Secure Boot โดยตรง)   
   
3. เลือก Key Management   
   
4. เลือก Authorized Signatures (db)   
   
5. เลือก Append   
   
6. เลือก No   
   
7. เลือกไดร์ฟ USB
8. ค้นหาและเลือกไฟล์ที่เก็บไว้ในไดเรกทอรีหลัก: “windows uefi ca 2023.crt”
9. เลือก Public Key Certificate แล้วกด Enter ที่หน้าจอยืนยัน GUID   
   
10. เลือก Yes   
    
11. ตรวจสอบว่า Windows UEFI CA 2023 ปรากฏอยู่ในลิสต์ Authorized Signatures (db)   
    
12. กด F10 เพื่อ Save & Exit
13. หากเปิดใช้ BitLocker ให้แน่ใจว่าคุณมี BitLocker recovery key พร้อมใช้งาน

วิธีตรวจสอบสถานะ UEFI Secure Boot Key? ขั้นตอนต่อไปนี้จะไม่กระทบต่อสถานะของ Windows BitLocker

8.1 ขั้นตอนเบื้องต้น

พิมพ์ PowerShell ที่แถบค้นหา Windows

จากผลการค้นหา คลิกขวาที่ Windows PowerShell แล้วเลือก Run as Administrator

8.2 ตรวจสอบใบรับรอง Microsoft Windows Secure Boot

1. ยืนยันว่า Key Exchange Key (KEK) มี “Microsoft Corporation KEK 2K CA 2023”  
   ดำเนินการ: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   ผลลัพธ์เป็น True หมายความว่าใบรับรอง "Microsoft Corporation KEK 2K CA 2023" มีอยู่จริง  
   
2. ยืนยันว่า Signature Databases (DB) มี "Windows UEFI CA 2023"  
   ดำเนินการ: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   ผลลัพธ์เป็น True หมายความว่าใบรับรอง "Windows UEFI CA 2023" มีอยู่จริง  
   

8.3 การตรวจสอบใบรับรอง Microsoft 3rd Party Secure Boot

1. ยืนยันว่า Signature Databases (DB) มี "Microsoft UEFI CA 2023"  
   ดำเนินการ: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   ผลลัพธ์เป็น True หมายความว่าใบรับรอง "Microsoft UEFI CA 2023" มีอยู่จริง  
   
2. ยืนยันว่า Signature Databases (DB) รวมถึง "Microsoft Option ROM UEFI CA 2023" ด้วย  
   ดำเนินการ: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   ผลลัพธ์ที่เป็น True หมายความว่าใบรับรอง "Microsoft Option ROM UEFI CA 2023" มีอยู่