วิธีการติดตั้งใบรับรอง Secure Boot ปี 2023 บน Windows 11 (และ 10) ก่อนหมดอายุในปี 2026

• ใบรับรอง Secure Boot ของ Windows 11 (และ 10) ที่ออกในปี 2011 จะหมดอายุในเดือนมิถุนายน ปี 2026
• โดยทั่วไปแล้ว คอมพิวเตอร์ที่ผลิตในปี 2024 และหลังจากนั้น จะมีใบรับรองปี 2023 รวมอยู่ด้วยแล้ว ส่วนระบบที่เก่ากว่านั้นอาจต้องทำการอัปเดตด้วยตนเอง
• คำแนะนำเหล่านี้จะช่วยคุณตรวจสอบรายละเอียดใบรับรองและติดตั้งใบรับรองปี 2023 ด้วยตนเอง

ในระบบปฏิบัติการ Windows 11และ Windows 10 ไมโครซอฟต์กำลังทยอยตรวจสอบและอัปเดตใบรับรอง Secure Boot ผ่านการอัปเดตระบบตามปกติ ในกรณีส่วนใหญ่ คุณเพียงแค่ต้องอัปเดตความปลอดภัยรายเดือนเพื่อให้แน่ใจว่าอุปกรณ์ของคุณพร้อมใช้งานก่อนถึงกำหนดเส้นตายในเดือนมิถุนายน 2026

อย่างไรก็ตาม หากคุณต้องการตรวจสอบหรือใช้งานใบรับรอง Secure Boot เวอร์ชันใหม่ปี 2023 ด้วยตนเอง คุณสามารถดำเนินการได้ด้วยตนเอง คู่มือนี้จะแนะนำขั้นตอนต่างๆ ให้คุณทราบ

Secure Bootเป็นคุณสมบัติความปลอดภัยระดับเฟิร์มแวร์ที่ติดตั้งอยู่ใน Unified Extensible Firmware Interface (UEFI) ช่วยให้มั่นใจได้ว่าอุปกรณ์จะเริ่มต้นทำงานด้วยซอฟต์แวร์ที่ได้รับการลงนามแบบดิจิทัลและได้รับการรับรองจากหน่วยงานออกใบรับรองที่ได้รับการอนุมัติเท่านั้น โดยการตรวจสอบความถูกต้องของบูตโหลดเดอร์และส่วนประกอบเฟิร์มแวร์ก่อนที่ระบบปฏิบัติการจะโหลด Secure Boot ช่วยป้องกันรูทคิตและมัลแวร์ระดับต่ำอื่นๆ จากการบุกรุกกระบวนการเริ่มต้นระบบ

เพื่อบังคับใช้การป้องกันนี้ Secure Boot อาศัยกุญแจเข้ารหัสลับที่เรียกว่าหน่วยงานออกใบรับรอง (CA) กุญแจเหล่านี้สร้างห่วงโซ่ความเชื่อมั่นระหว่างเฟิร์มแวร์และระบบปฏิบัติการ ป้องกันโค้ดที่ไม่ได้ลงนามหรือถูกดัดแปลงในช่วงเริ่มต้นการบูต

เช่นเดียวกับใบรับรองดิจิทัลทั้งหมด หน่วยงานออกใบรับรอง Secure Boot ก็มีวันหมดอายุเช่นกัน ใบรับรองเดิมปี 2011 จะหมดอายุในเดือนมิถุนายน 2026 ระบบจะต้องติดตั้งใบรับรองเวอร์ชันอัปเดตปี 2023 ก่อนวันดังกล่าว เพื่อหลีกเลี่ยงข้อผิดพลาดในการตรวจสอบความน่าเชื่อถือ ปัญหาในการบูต หรือการหยุดชะงักที่อาจเกิดขึ้นในการรับการอัปเดตในอนาคต

โดยทั่วไปแล้ว คอมพิวเตอร์ที่ผลิตในปี 2024 หรือหลังจากนั้น จะมาพร้อมกับใบรับรองปี 2023 ที่ติดตั้งไว้แล้ว สำหรับฮาร์ดแวร์รุ่นเก่ากว่านั้น Microsoft จะส่งใบรับรองที่อัปเดตแล้วผ่าน Windows Update ซึ่งเป็นส่วนหนึ่งของการบำรุงรักษาความปลอดภัยอย่างต่อเนื่อง แต่คุณก็สามารถติดตั้งและแทนที่ใบรับรองใหม่ด้วยตนเองได้เช่นกัน

ในคู่มือ นี้ ผมจะอธิบายขั้นตอนง่ายๆ ในการตรวจสอบและอัปเดตใบรับรอง Secure Boot ด้วยตนเองบนอุปกรณ์ Windows 11 ของคุณ

ข้อสำคัญ:แม้ว่ากระบวนการนี้จะไม่ทำให้ข้อมูลเสียหาย แต่เรายังคงแนะนำให้คุณสำรองข้อมูลคอมพิวเตอร์ทั้งหมดก่อนดำเนินการต่อคุณได้รับคำเตือนแล้ว

ติดตั้งใบรับรอง Secure Boot ปี 2023 บน Windows 11

หาก BitLocker เปิดใช้งานอยู่ คุณต้องปิดใช้งานการเข้ารหัสชั่วคราวใน PowerShell ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2) ก่อนที่เฟิร์มแวร์จะสามารถเขียนคีย์ใหม่ลงในอุปกรณ์ได้สำเร็จ นอกจากนี้ ก่อนดำเนินการต่อ โปรดตรวจสอบให้แน่ใจว่าคอมพิวเตอร์ของคุณได้รับการอัปเดตอย่างสมบูรณ์เป็นการอัปเดตความปลอดภัยเดือนกุมภาพันธ์ 2026 (KB5077181) หรือเวอร์ชันที่ใหม่กว่า

หากต้องการอัปเดตใบรับรอง Secure Boot ก่อนหมดอายุในปี 2026 โปรดทำตามขั้นตอนต่อไปนี้:

1. เปิดStart​

    

    

2. ค้นหาPowerShell (หรือTerminal ) คลิกขวาที่ผลการค้นหาอันดับแรก แล้วเลือกตัวเลือก " เรียกใช้ในฐานะผู้ดูแลระบบ "

3. พิมพ์คำสั่งนี้เพื่อยืนยันว่าอุปกรณ์กำลังใช้งาน UEFI โดยเปิดใช้งาน Secure Boot แล้วกด Enter :

   ยืนยัน SecureBootUEFI

   หมายเหตุ:หากผลลัพธ์เป็น“True”คุณสามารถดำเนินการตามขั้นตอนด้านล่างได้เลย แต่ถ้าไม่ใช่ คุณจะต้องเปิดใช้งาน Secure Bootหากคุณใช้ Windows 10 คุณอาจต้องเปลี่ยนจาก BIOS แบบเดิมเป็น UEFIด้วย

4. พิมพ์คำสั่งนี้เพื่อตรวจสอบวันหมดอายุของใบรับรอง Secure Boot แล้วกดEnter : 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

5. (ผลลัพธ์ที่ 1) หากผลลัพธ์เป็น“True” แสดงว่าคุณได้รับใบรับรองใหม่แล้ว (มีอายุใช้งานจนถึงปี 2053) หยุดและอย่าดำเนินการต่อ

6. (ผลลัพธ์ที่ 2) หากผลลัพธ์เป็น“เท็จ”แสดงว่าคุณอาจยังคงใช้ใบรับรองปี 2011 อยู่ (หมดอายุในปี 2026) ดำเนินการตามขั้นตอนด้านล่างต่อไป

7. พิมพ์คำสั่งนี้เพื่อตั้งค่าคีย์รีจิสทรีเพื่อติดตั้งใบรับรองที่จำเป็นทั้งหมด แล้วกดEnter : 

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

8. พิมพ์คำสั่งนี้เพื่อเริ่มการเปลี่ยนแปลงใบรับรองด้วยตนเอง แล้วกดEnter :

   เริ่มงานตามกำหนดเวลา -ชื่องาน "\Microsoft\Windows\PI\Secure-Boot-Update"

   

9. รีสตาร์ทคอมพิวเตอร์หนึ่งครั้ง

10. รีบูตอุปกรณ์อีกครั้ง แล้วดำเนินการตรวจสอบใบรับรองต่อไป

    หมายเหตุ:โดยปกติการอัปเดตจะต้องรีบูตเครื่องสองครั้งเพื่อให้การเปลี่ยนแปลงมีผลสมบูรณ์ หลังจากการรีบูตครั้งแรก ระบบจะอัปเดตตัวจัดการการบูต และหลังจากการรีบูตครั้งที่สอง ระบบจะทำการลงทะเบียนใบรับรองในฐานข้อมูล UEFI ให้เสร็จสมบูรณ์

11. เปิดStart​

12. ค้นหาPowerShell (หรือTerminal ) คลิกขวาที่ผลการค้นหาอันดับแรก แล้วเลือกตัวเลือก "เรียกใช้ในฐานะผู้ดูแลระบบ"

13. พิมพ์คำสั่งนี้เพื่อตรวจสอบว่าการอัปเดตเสร็จสมบูรณ์หรือไม่ แล้วกดEnter : 

    [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

เมื่อคุณทำตามขั้นตอนเสร็จแล้ว หากผลลัพธ์เป็น“True” แสดงว่าคุณได้ติดตั้งใบรับรองใหม่ (ใช้งานได้จนถึงปี 2053) บนคอมพิวเตอร์ของคุณเรียบร้อยแล้ว แต่หากผลลัพธ์เป็น“False” แสดง ว่า การติดตั้งใบรับรองไม่ถูกต้อง

สิ่งสำคัญที่ควรทราบคือ การตั้งค่าเป็น “True”จะยืนยันการลงทะเบียนของหน่วยงานออกใบรับรองปี 2023 แต่จะไม่ลบใบรับรองปี 2011 ออกทันทีในทุกกรณี บางระบบอาจแสดงทั้งสองใบรับรองชั่วคราว

หากผลลัพธ์ยังคงเป็น “False” หลังจากกระบวนการเสร็จสิ้น ให้ตรวจสอบEvent Viewer > Applications and Services Logs > Microsoft > Windows > SecureBoot-Updateเพื่อหาข้อผิดพลาด นอกจากนี้ ให้ตรวจสอบว่ามีงานที่กำหนดไว้หรือไม่โดยการเรียกใช้Get-ScheduledTask -TaskName "Secure-Boot-Update"คำสั่ง

หลังจากอัปเดตแล้ว หากคุณต้องปิดใช้งาน BitLocker คุณสามารถกลับมาเข้ารหัสได้โดยการเรียกใช้Resume-BitLocker -MountPoint "C:"คำสั่ง แม้ว่า-RebootCount 2จะกลับมาเข้ารหัสโดยอัตโนมัติหลังจากรีสตาร์ทสองครั้งก็ตาม

สิ่งหนึ่งที่ควรทราบคือ ใบรับรอง Secure Boot ปี 2023 ไม่ได้เกิดขึ้นมาเองโดยไม่มีที่มาที่ไป Microsoft ได้รวมใบรับรองใหม่เหล่านี้ไว้ในการอัปเดตบริการของ Windows ซึ่งโดยปกติจะเป็นส่วนหนึ่งของการอัปเดตแบบสะสมหรือการอัปเดตความปลอดภัยสำหรับ Windows 11 และอุปกรณ์ Windows 10 ที่รองรับ 

ที่จริงแล้ว บริษัทได้เริ่มรวมใบรับรอง Secure Boot รุ่นใหม่มาตั้งแต่การเปิดตัวการอัปเดตความปลอดภัยเดือนกุมภาพันธ์ 2026 (และเวอร์ชันที่สูงกว่า) แล้ว

ใบรับรองเหล่านี้ ซึ่งรู้จักกันในชื่อ Windows UEFI CA 2023 ได้รับการลงนามแบบดิจิทัลโดย Microsoft และได้รับการยอมรับจาก Secure Boot

หากใบรับรองอยู่ในคอมพิวเตอร์ของคุณอยู่แล้ว คำแนะนำเหล่านี้จะช่วยให้คุณสามารถใช้งานได้ทันทีโดยไม่ต้องรอให้ระบบประมวลผลการอัปเดตโดยอัตโนมัติ