Jak zainstalować certyfikaty bezpiecznego rozruchu z 2023 r. w systemie Windows 11 (i 10) przed wygaśnięciem w 2026 r.

• Certyfikaty bezpiecznego rozruchu systemu Windows 11 (i 10) z 2011 r. wygasają w czerwcu 2026 r.
• Komputery wyprodukowane w 2024 roku i później zazwyczaj zawierają certyfikaty z 2023 roku. Starsze systemy mogą wymagać ręcznych aktualizacji.
• Poniższe instrukcje pomogą Ci sprawdzić szczegóły certyfikatu i ręcznie zainstalować certyfikaty 2023.

W systemach Windows 11 i Windows 10 firma Microsoft stopniowo weryfikuje i aktualizuje certyfikaty bezpiecznego rozruchu za pośrednictwem standardowych aktualizacji systemu. W większości przypadków wystarczy na bieżąco aktualizować zabezpieczenia, aby mieć pewność, że urządzenie będzie gotowe przed czerwcem 2026 roku.

Jeśli jednak chcesz samodzielnie zweryfikować lub zastosować nowsze certyfikaty Secure Boot z 2023 roku, możesz wykonać ten proces ręcznie. Ten przewodnik przeprowadzi Cię przez kolejne kroki.

Secure Boot to funkcja bezpieczeństwa na poziomie oprogramowania układowego wbudowana w Unified Extensible Firmware Interface (UEFI). Gwarantuje ona, że ​​urządzenie uruchamia się wyłącznie z oprogramowaniem podpisanym cyfrowo i zaufanym przez zatwierdzone urzędy certyfikacji. Poprzez weryfikację bootloaderów i komponentów oprogramowania układowego przed załadowaniem systemu operacyjnego, Secure Boot pomaga zapobiegać zagrożeniom procesu uruchamiania przez rootkity i inne złośliwe oprogramowanie niskiego poziomu.

Aby zapewnić tę ochronę, Secure Boot wykorzystuje klucze kryptograficzne znane jako urzędy certyfikacji (CA). Klucze te tworzą łańcuch zaufania między oprogramowaniem układowym a systemem operacyjnym, blokując niepodpisany lub zmodyfikowany kod podczas wczesnego rozruchu.

Podobnie jak wszystkie certyfikaty cyfrowe, urzędy certyfikacji Secure Boot mają daty ważności. Oryginalne certyfikaty z 2011 roku wygasają w czerwcu 2026 roku. Systemy muszą mieć zainstalowane zaktualizowane certyfikaty z 2023 roku przed tą datą, aby uniknąć błędów walidacji zaufania, problemów z rozruchem lub potencjalnych przerw w odbieraniu przyszłych aktualizacji.

Komputery wyprodukowane w 2024 roku lub później zazwyczaj są dostarczane z certyfikatami z 2023 roku. W przypadku starszego sprzętu firma Microsoft udostępnia zaktualizowane certyfikaty za pośrednictwem usługi Windows Update w ramach bieżących działań konserwacyjnych, ale można również ręcznie zainstalować i zastąpić nowe certyfikaty.

W tym przewodniku przedstawię proste kroki umożliwiające sprawdzenie i ręczną aktualizację certyfikatów bezpiecznego rozruchu na urządzeniu z systemem Windows 11.

Ważne: Chociaż jest to proces nieniszczący, zaleca się wykonanie pełnej kopii zapasowej komputera przed kontynuacją. Zostałeś ostrzeżony.

Zainstaluj certyfikaty bezpiecznego rozruchu z 2023 r. w systemie Windows 11

Jeśli funkcja BitLocker jest aktywna, należy tymczasowo wyłączyć szyfrowanie w programie PowerShell ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2), aby oprogramowanie układowe mogło pomyślnie zapisać nowe klucze na urządzeniu. Przed kontynuowaniem upewnij się również, że komputer jest w pełni zaktualizowany do wersji z lutego 2026 r. (KB5077181) lub nowszej.

Aby zaktualizować certyfikaty Secure Boot przed ich wygaśnięciem w 2026 r., wykonaj następujące kroki:

1. Otwórz Start .

    

    

2. Wyszukaj PowerShell (lub Terminal ), kliknij prawym przyciskiem myszy wynik powyżej i wybierz opcję Uruchom jako administrator .

3. Wpisz to polecenie, aby potwierdzić, że urządzenie korzysta z UEFI z włączonym bezpiecznym rozruchem, i naciśnij klawisz Enter :

   Potwierdź-Bezpieczny rozruch UEFI

   Krótka uwaga: Jeśli wynik to „True”, możesz wykonać poniższe kroki. W przeciwnym razie konieczne będzie włączenie funkcji Secure Boot . W systemie Windows 10 może być konieczne przełączenie się ze starszej wersji BIOS-u na UEFI .

4. Wpisz to polecenie, aby sprawdzić datę wygaśnięcia certyfikatów Secure Boot i naciśnij Enter : 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

5. (Wyjście 1) Jeśli wynik brzmi „Prawda”, masz nowy certyfikat (ważny do 2053 r.). Zatrzymaj się i nie kontynuuj.

6. (Wyjście 2) Jeśli wynik to „Fałsz”, prawdopodobnie nadal posiadasz certyfikat z 2011 roku (ważny do 2026 roku). Wykonaj poniższe kroki.

7. Wpisz to polecenie, aby ustawić klucz rejestru w celu wdrożenia wszystkich wymaganych certyfikatów i naciśnij Enter : 

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

8. Wpisz to polecenie, aby ręcznie uruchomić zmiany certyfikatu i naciśnij Enter :

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   

9. Uruchom ponownie komputer.

10. Uruchom urządzenie ponownie po raz drugi i kontynuuj proces sprawdzania certyfikatów.

    Krótka uwaga: Aktualizacja zazwyczaj wymaga dwóch ponownych uruchomień, aby została w pełni zastosowana. Po pierwszym ponownym uruchomieniu system aktualizuje menedżera rozruchu. Po drugim finalizuje rejestrację certyfikatu w bazie danych UEFI.

11. Otwórz Start .

12. Wyszukaj PowerShell (lub Terminal ), kliknij prawym przyciskiem myszy wynik powyżej i wybierz opcję Uruchom jako administrator.

13. Wpisz to polecenie, aby sprawdzić, czy aktualizacja zakończyła się pomyślnie i naciśnij Enter : 

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Po wykonaniu tych kroków, jeśli wynik to „Prawda”, nowe certyfikaty (ważne do 2053 roku) zostały pomyślnie zainstalowane na komputerze. Jeśli wynik to „Fałsz”, certyfikaty nie zostały poprawnie zainstalowane.

Należy pamiętać, że wartość „True” potwierdza rejestrację urzędu certyfikacji z 2023 roku, ale nie powoduje natychmiastowego usunięcia certyfikatu z 2011 roku we wszystkich scenariuszach. Niektóre systemy mogą tymczasowo wyświetlać obie wartości.

Jeśli po zakończeniu procesu wynik nadal wskazuje „Fałsz”, sprawdź Podgląd zdarzeń > Dzienniki aplikacji i usług > Microsoft > Windows > SecureBoot-Update pod kątem błędów. Sprawdź również, czy zaplanowane zadanie istnieje, uruchamiając polecenie Get-ScheduledTask -TaskName "Secure-Boot-Update".

Po aktualizacji, jeśli konieczne było wyłączenie funkcji BitLocker, można wznowić szyfrowanie, uruchamiając odpowiednie Resume-BitLocker -MountPoint "C:"polecenie, nawet jeśli -RebootCount 2zostanie ono automatycznie wznowione po dwóch ponownego uruchomieniach.

Warto zauważyć, że certyfikaty Secure Boot z 2023 roku nie wzięły się znikąd. Firma Microsoft dołącza nowe certyfikaty do aktualizacji serwisowych systemu Windows, zazwyczaj w ramach aktualizacji zbiorczej lub aktualizacji zabezpieczeń dla systemu Windows 11 i obsługiwanych urządzeń z systemem Windows 10. 

W rzeczywistości firma uwzględnia nowe certyfikaty Secure Boot już od wydania aktualizacji zabezpieczeń z lutego 2026 r. (i nowszych wersji).

Te certyfikaty, znane jako Windows UEFI CA 2023, są podpisane cyfrowo przez firmę Microsoft i uznawane za zaufane przez Secure Boot.

Jeśli certyfikaty znajdują się już na Twoim komputerze, poniższe instrukcje pomogą Ci zastosować je natychmiast, bez konieczności czekania, aż system automatycznie przetworzy aktualizację.