Jak sprawdzić, czy na komputerze znajdują się zaktualizowane certyfikaty bezpiecznego rozruchu w systemie Windows 11 i 10

• Certyfikaty Secure Boot firmy Microsoft z 2011 r. wygasają w czerwcu 2026 r.
• Nowe certyfikaty Windows UEFI CA 2023 przedłużają ochronę do roku 2053.
• Urządzenia zakupione w 2024 r. lub później zazwyczaj zawierają już zaktualizowane certyfikaty.
• Starsze komputery otrzymują aktualizację stopniowo za pośrednictwem usługi Windows Update.
• Status certyfikatu można sprawdzić za pomocą polecenia programu PowerShell.

Na niektórych urządzeniach z systemem Windows 11 i Windows 10 certyfikaty bezpiecznego rozruchu, wydane po raz pierwszy w 2011 r., wygasną w czerwcu 2026 r. Chociaż firma Microsoft aktywnie zastępuje je certyfikatami z 2023 r., należy sprawdzić, czy system przeszedł już na nowsze certyfikaty, aby zapobiec zakłóceniom podczas uruchamiania lub problemom z zabezpieczeniami.

Secure Boot to oparta na oprogramowaniu układowym funkcja zabezpieczająca w interfejsie Unified Extensible Firmware Interface (UEFI), która gwarantuje, że urządzenie załaduje wyłącznie oprogramowanie podpisane cyfrowo i zaufane przez producenta. Chroni ona proces uruchamiania, zapobiegając nieautoryzowanym zmianom w kluczowych komponentach rozruchowych przed załadowaniem systemu operacyjnego.

Aby to osiągnąć, Secure Boot wykorzystuje klucze kryptograficzne, znane jako urzędy certyfikacji (CA), do walidacji modułów oprogramowania sprzętowego i bootloaderów. Certyfikaty te tworzą łańcuch zaufania, który blokuje uruchamianie złośliwego kodu na wczesnym etapie uruchamiania.

Podobnie jak wszystkie certyfikaty cyfrowe, urzędy certyfikacji Secure Boot CA mają zdefiniowane daty wygaśnięcia. Certyfikaty z 2011 roku, których ważność kończy się w czerwcu 2026 roku, oznaczają, że systemy muszą mieć zainstalowane nowsze certyfikaty z 2023 roku, aby nadal otrzymywać aktualizacje i uruchamiać się prawidłowo bez błędów weryfikacji zaufania.

Ponieważ certyfikaty cyfrowe mają daty wygaśnięcia, systemy muszą zainstalować certyfikaty z 2023 r. przed wygaśnięciem urzędów certyfikacji z 2011 r. w czerwcu 2026 r., aby mogły się uruchamiać i poprawnie odbierać aktualizacje.

Urządzenia zakupione w 2024 roku lub później zazwyczaj zawierają już nowe certyfikaty. W przypadku starszego sprzętu Microsoft dystrybuuje je za pośrednictwem usługi Windows Update.

Firma Microsoft identyfikuje i automatycznie aktualizuje certyfikaty Secure Boot za pośrednictwem regularnych aktualizacji systemu, więc nie są wymagane żadne działania ręczne poza włączeniem usługi Windows Update i instalacją comiesięcznych aktualizacji zabezpieczeń przed terminem wyznaczonym na czerwiec 2026 roku. Zawsze jednak warto sprawdzić, czy urządzenie posiada odpowiednie certyfikaty.

W tym przewodniku przedstawię kroki, które pozwolą sprawdzić, czy certyfikaty Secure Boot 2023 są już zainstalowane na Twoim komputerze.

• Sprawdź, czy Twój komputer ma certyfikaty Secure Boot 2023 za pomocą programu PowerShell
• Sprawdź, czy Twój komputer ma certyfikaty Secure Boot 2023 za pomocą Zabezpieczeń systemu Windows

Sprawdź, czy Twój komputer ma certyfikaty Secure Boot 2023 za pomocą programu PowerShell

Aby sprawdzić, czy posiadasz „zaktualizowane” certyfikaty bezpiecznego rozruchu z 2023 r. (zastępujące te wygasające w 2026 r.), wykonaj następujące kroki:

1. Otwórz Start w systemie Windows 11.

    

    

2. Wyszukaj PowerShell (lub Terminal ), kliknij prawym przyciskiem myszy wynik powyżej i wybierz opcję Uruchom jako administrator.

3. Wpisz to polecenie, aby sprawdzić datę wygaśnięcia certyfikatów Secure Boot i naciśnij Enter: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

Po wykonaniu tych kroków, jeśli wynik to „Prawda”, masz nowy certyfikat (ważny do 2053 roku). Jeśli wynik to „Fałsz”, prawdopodobnie nadal korzystasz z certyfikatu z 2011 roku (ważnego do 2026 roku).

Certyfikaty Secure Boot 2011 wygasają w 2026 r. – co robi każdy certyfikat

Prawie wszystkie nowoczesne łańcuchy Secure Boot opierają się na certyfikatach firmy Microsoft z 2011 r., które mają następujące daty wygaśnięcia :

• Microsoft Corporation KEK CA 2011 (24 czerwca 2026). 
• Microsoft Corporation UEFI CA 2011 (27 czerwca 2026).
• Microsoft Option ROM UEFI CA 2011 (27 czerwca 2026).
• Microsoft Windows Production PCA 2011 (19 października 2026 r.).

Dla porównania, oto co robi każdy certyfikat:

• Certyfikat KEK: zaufany punkt odniesienia umożliwiający aktualizację baz danych podpisów Secure Boot (DB/DBX).
• Certyfikaty CA UEFI: zaufaj podpisom bootloaderów i komponentów oprogramowania sprzętowego (w tym aplikacji EFI innych firm).
• Option ROM CA: ufa modułom ROM opcji oprogramowania sprzętowego.
• Microsoft Windows Production PCA 2011: zapewnia, że ​​oprogramowanie układowe w ramach bezpiecznego rozruchu ufa programowi ładującemu systemu Windows i powiązanym plikom binarnym.

Jeśli Twoje certyfikaty zbliżają się do wygaśnięcia, Microsoft i producent komputera (OEM) automatycznie wyślą aktualizacje oprogramowania układowego lub aktualizacje „DBX” za pośrednictwem usługi Windows Update lub aktualizacji systemu, aby zarejestrować nowe certyfikaty CA z 2023 roku. Zawsze możesz ręcznie zainstalować nowe certyfikaty Secure Boot .

Dlaczego zdarzenie o identyfikatorze 1801 pojawia się w Podglądzie zdarzeń (i dlaczego nie jest to błąd)

Na koniec prawdopodobnie zauważysz, że zdarzenie o identyfikatorze 1801 pojawia się dla źródła „TPM-WMI (Microsoft-Windows-TPM-WMI)” z komunikatem „BucketConfidenceLevel: Pod obserwacją – Potrzebne są dodatkowe dane” .

Chociaż wygląda to jak błąd, nie jest to awaria. Ten wpis oznacza, że ​​system operacyjny wykrył zaktualizowane certyfikaty Secure Boot, ale nie zastosował ich jeszcze do oprogramowania sprzętowego.

Urządzenie znajduje się w fazie testowania i walidacji, podczas gdy Microsoft stopniowo wdraża aktualizację. Ponieważ klucze Secure Boot są zawarte w oprogramowaniu układowym UEFI i wpływają na łańcuch rozruchowy, przejście jest starannie skoordynowane, aby uniknąć problemów z rozruchem.

Mówiąc najprościej, zdarzenie o identyfikatorze 1801 to po prostu sprawdzenie stanu wskazujące, że system Windows ocenia urządzenie w ramach wdrażania certyfikatu Secure Boot. Komunikat „Pod obserwacją” odzwierciedla ten proces. Nie oznacza on problemu z modułem TPM, uszkodzenia Secure Boot ani awarii systemu BIOS. Pomimo zarejestrowania jako błąd, zdarzenie to ma charakter wyłącznie informacyjny.

Przejście na certyfikat Secure Boot przebiega w dwóch fazach. Najpierw system Windows 11 (lub 10) pobiera i umieszcza nowy certyfikat w systemie operacyjnym. Następnie, po sprawdzeniu zgodności i walidacji, certyfikat jest zapisywany w oprogramowaniu układowym systemu i aktywowany.

Urządzenia mogą pozostawać pomiędzy tymi dwoma etapami przez pewien czas, dlatego wpisy TPM-WMI mogą nadal pojawiać się w Podglądzie zdarzeń, mimo że nic złego się nie dzieje.

Sprawdź, czy Twój komputer ma certyfikaty Secure Boot 2023 za pomocą Zabezpieczeń systemu Windows

Oprócz możliwości korzystania z programu PowerShell, aplikacja Zabezpieczenia systemu Windows została zaktualizowana tak, aby pokazywać dokładny stan certyfikatów bezpiecznego rozruchu wygasających w 2026 r. 

Aby sprawdzić, czy na Twoim komputerze znajdują się najnowsze certyfikaty Secure Boot, wykonaj następujące czynności:

1. Otwórz Start .

2. Wyszukaj aplikację Zabezpieczenia systemu Windows i kliknij jej górny wynik, aby otworzyć aplikację.

3. Kliknij Zabezpieczenia urządzenia w lewym panelu.

4. Sprawdź kolor i komunikat odznaki Secure Boot.

5. (Opcja 1) Kolor zielony oznacza, że ​​system jest w pełni zaktualizowany i zawiera najnowsze certyfikaty i komponenty rozruchowe.

   

6. (Opcja 2) Kolor żółty oznacza, że ​​aktualizacja jest w toku lub jest ograniczona ze względu na ograniczenia zgodności.

   

7. (Opcja 3) Kolor czerwony oznacza, że ​​system nie może zastosować wymaganych aktualizacji i wymaga interwencji.

   

Po wykonaniu tych kroków będziesz mieć jaśniejsze pojęcie, czy nie jest wymagane żadne działanie, czy też należy przejść do ręcznej aktualizacji oprogramowania sprzętowego systemu przy użyciu nowszej wersji certyfikatów Secure Boot.

Komunikat, który zobaczysz w aplikacji Zabezpieczenia systemu Windows, jest powiązany z aktualizacjami certyfikatów dostarczanymi za pośrednictwem usługi Windows Update. System ocenia zgodność oprogramowania układowego, weryfikuje wdrożenie certyfikatu i raportuje wynik w czasie rzeczywistym.

Firma Microsoft stopniowo wprowadza tę aktualizację do aplikacji Windows Update. Jeśli nie możesz określić stanu certyfikatów, skorzystaj z opcji programu PowerShell.

Ponadto od maja 2026 r. powiadomienia na poziomie systemu będą odzwierciedlać te stany, co zwiększy przejrzystość informacji o konieczności podjęcia działań.