วิธีตรวจสอบว่าพีซีของคุณมีใบรับรอง Secure Boot ที่อัปเดตแล้วหรือไม่ บน Windows 11 และ 10

• ใบรับรอง Secure Boot ของ Microsoft ปี 2011 จะหมดอายุในเดือนมิถุนายน ปี 2026
• ใบรับรอง Windows UEFI CA 2023 ใหม่นี้ขยายระยะเวลาการป้องกันไปจนถึงปี 2053
• โดยทั่วไปแล้ว อุปกรณ์ที่ซื้อในปี 2024 หรือหลังจากนั้น จะมีใบรับรองที่อัปเดตแล้วรวมอยู่ด้วย
• คอมพิวเตอร์รุ่นเก่าจะได้รับการอัปเดตทีละน้อยผ่านทาง Windows Update
• คุณสามารถตรวจสอบสถานะของใบรับรองโดยใช้คำสั่ง PowerShell ได้

ใน อุปกรณ์ Windows 11และ Windows 10 บางรุ่น ใบรับรอง Secure Boot ที่ออกครั้งแรกในปี 2011 จะหมดอายุในเดือนมิถุนายน 2026 แม้ว่า Microsoft จะกำลังดำเนินการเปลี่ยนเป็นใบรับรองปี 2023 อย่างต่อเนื่อง แต่คุณควรตรวจสอบให้แน่ใจว่าระบบของคุณได้เปลี่ยนไปใช้ใบรับรองรุ่นใหม่แล้ว เพื่อป้องกันปัญหาในการเริ่มต้นระบบหรือปัญหาด้านความปลอดภัย

Secure Bootคือคุณสมบัติการป้องกันที่ใช้เฟิร์มแวร์ใน Unified Extensible Firmware Interface (UEFI) ซึ่งช่วยให้มั่นใจได้ว่าอุปกรณ์จะโหลดเฉพาะซอฟต์แวร์ที่ได้รับการลงนามดิจิทัลและได้รับการรับรองจากผู้ผลิตเท่านั้น โดยจะปกป้องกระบวนการเริ่มต้นระบบด้วยการป้องกันการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตต่อส่วนประกอบการบูตที่สำคัญก่อนที่ระบบปฏิบัติการจะโหลด

เพื่อให้บรรลุเป้าหมายนี้ Secure Boot ใช้คีย์เข้ารหัสลับที่เรียกว่าหน่วยงานออกใบรับรอง (CA) เพื่อตรวจสอบความถูกต้องของโมดูลเฟิร์มแวร์และบูตโหลดเดอร์ ใบรับรองเหล่านี้สร้างห่วงโซ่ความไว้วางใจที่ป้องกันไม่ให้โค้ดที่เป็นอันตรายทำงานในช่วงเริ่มต้นการทำงาน

เช่นเดียวกับใบรับรองดิจิทัลทั้งหมด ใบรับรอง CA ของ Secure Boot ก็มีวันหมดอายุที่กำหนดไว้ ใบรับรองปี 2011 จะหมดอายุในเดือนมิถุนายน 2026 ซึ่งหมายความว่าระบบจะต้องติดตั้งใบรับรองใหม่ปี 2023 เพื่อให้สามารถรับการอัปเดตและบูตเครื่องได้ตามปกติโดยไม่มีปัญหาการตรวจสอบความน่าเชื่อถือ

เนื่องจากใบรับรองดิจิทัลมีวันหมดอายุ ระบบจึงต้องติดตั้งใบรับรองปี 2023 ก่อนที่ใบรับรอง CA ปี 2011 จะหมดอายุในเดือนมิถุนายน 2026 เพื่อให้สามารถบูตเครื่องและรับการอัปเดตได้อย่างถูกต้องต่อไป

โดยทั่วไปแล้ว อุปกรณ์ที่ซื้อในปี 2024 หรือหลังจากนั้น จะมีใบรับรองใหม่รวมอยู่แล้ว สำหรับฮาร์ดแวร์รุ่นเก่ากว่านั้น ไมโครซอฟต์จะแจกจ่ายผ่าน Windows Update

ไมโครซอฟต์ได้ตรวจสอบและอัปเดตใบรับรอง Secure Boot โดยอัตโนมัติผ่านการอัปเดตระบบเป็นประจำอยู่แล้ว ดังนั้นจึงไม่จำเป็นต้องดำเนินการใดๆ เพิ่มเติม นอกจากการเปิด ใช้งาน Windows Updateและติดตั้งการอัปเดตความปลอดภัยรายเดือนก่อนถึงกำหนดเส้นตายในเดือนมิถุนายน 2026 อย่างไรก็ตาม การตรวจสอบและทำความเข้าใจว่าอุปกรณ์ของคุณมีใบรับรองที่เหมาะสมหรือไม่นั้นเป็นเรื่องที่ควรพิจารณาเสมอ

ในคู่มือ นี้ ผมจะอธิบายขั้นตอนในการตรวจสอบว่าใบรับรอง Secure Boot ปี 2023 ได้ติดตั้งบนคอมพิวเตอร์ของคุณแล้วหรือไม่

• ตรวจสอบว่าพีซีของคุณมีใบรับรอง Secure Boot 2023 หรือไม่ โดยใช้ PowerShell
• ตรวจสอบว่าพีซีของคุณมีใบรับรอง Secure Boot 2023 หรือไม่ โดยใช้โปรแกรมรักษาความปลอดภัยของ Windows

ตรวจสอบว่าพีซีของคุณมีใบรับรอง Secure Boot 2023 หรือไม่ โดยใช้ PowerShell

หากต้องการตรวจสอบว่าคุณมีใบรับรอง Secure Boot ปี 2023 ที่ "อัปเดตแล้ว" (ซึ่งจะมาแทนที่ใบรับรองที่จะหมดอายุในปี 2026) หรือไม่ ให้ทำตามขั้นตอนต่อไปนี้:

1. เปิดเมนู Startบน Windows 11

    

    

2. ค้นหาPowerShell (หรือTerminal ) คลิกขวาที่ผลการค้นหาอันดับแรก แล้วเลือกตัวเลือก "เรียกใช้ในฐานะผู้ดูแลระบบ"

3. พิมพ์คำสั่งนี้เพื่อตรวจสอบวันหมดอายุของใบรับรอง Secure Boot แล้วกด Enter: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

เมื่อคุณทำตามขั้นตอนเสร็จแล้ว หากผลลัพธ์เป็น“True” แสดงว่าคุณได้รับใบรับรองใหม่แล้ว (มีอายุใช้งานจนถึงปี 2053) หากผลลัพธ์เป็น“False”แสดงว่าคุณอาจยังคงใช้ใบรับรองปี 2011 อยู่ (หมดอายุในปี 2026)

ใบรับรอง Secure Boot 2011 จะหมดอายุในปี 2026 – ใบรับรองแต่ละประเภทมีหน้าที่อะไรบ้าง

ระบบ Secure Boot สมัยใหม่เกือบทั้งหมดใช้ใบรับรองของ Microsoft ปี 2011 ซึ่งมีวันหมดอายุ ดังต่อไปนี้ :

• บริษัท ไมโครซอฟต์ คอร์ปอเรชั่น KEK CA 2011 (24 มิถุนายน 2026) 
• Microsoft Corporation UEFI CA 2011 (27 มิถุนายน 2026)
• Microsoft Option ROM UEFI CA 2011 (27 มิถุนายน 2026)
• Microsoft Windows Production PCA 2011 (19 ตุลาคม 2026)

เพื่อเป็นข้อมูลอ้างอิง นี่คือหน้าที่ของใบรับรองแต่ละประเภท:

• ใบรับรอง KEK:ตัวยึดความเชื่อถือที่อนุญาตให้ทำการอัปเดตฐานข้อมูลลายเซ็น Secure Boot (DB/DBX)
• ใบรับรอง CA ของ UEFI:เชื่อถือลายเซ็นของบูตโหลดเดอร์และส่วนประกอบเฟิร์มแวร์ (รวมถึงแอปพลิเคชัน EFI ของบุคคลที่สาม)
• Option ROM CA:เชื่อถือโมดูล Option ROM เฟิร์มแวร์
• Microsoft Windows Production PCA 2011:ตรวจสอบให้แน่ใจว่าบูตโหลดเดอร์ของ Windows และไบนารีที่เกี่ยวข้องได้รับความไว้วางใจจากเฟิร์มแวร์ภายใต้ Secure Boot

หากใบรับรองของคุณใกล้หมดอายุ Microsoft และผู้ผลิตคอมพิวเตอร์ของคุณ (OEM) จะทำการอัปเดตเฟิร์มแวร์หรืออัปเดต “DBX” ผ่าน Windows Update หรือการอัปเดตระบบโดยอัตโนมัติ เพื่อลงทะเบียนใบรับรอง CA ปี 2023 ใหม่ คุณสามารถ ติด ตั้งใบรับรอง Secure Boot ใหม่ด้วยตนเอง ได้เสมอ

เหตุใด Event ID 1801 จึงปรากฏใน Event Viewer (และเหตุใดจึงไม่ใช่ข้อผิดพลาด)

สุดท้ายนี้ คุณอาจสังเกตเห็นว่าEvent ID 1801ปรากฏขึ้นสำหรับแหล่งที่มา“TPM-WMI (Microsoft-Windows-TPM-WMI)”พร้อมข้อความ“BucketConfidenceLevel: Under Observation – More Data Needed”

ถึงแม้จะดูเหมือนข้อผิดพลาด แต่ก็ไม่ใช่ความล้มเหลว ข้อความนี้หมายความว่าระบบปฏิบัติการตรวจพบใบรับรอง Secure Boot ที่อัปเดตแล้ว แต่ยังไม่ได้นำไปใช้กับเฟิร์มแวร์

อุปกรณ์อยู่ในขั้นตอนการทดสอบและตรวจสอบความถูกต้อง ในขณะที่ Microsoft ทยอยปล่อยอัปเดตออกมา เนื่องจากคีย์ Secure Boot อยู่ในเฟิร์มแวร์ UEFI และส่งผลต่อลำดับการบูต การเปลี่ยนผ่านจึงต้องมีการประสานงานอย่างระมัดระวังเพื่อหลีกเลี่ยงปัญหาในการบูต

กล่าวโดยง่าย Event ID 1801 เป็นเพียงการตรวจสอบสถานะที่บ่งชี้ว่า Windows กำลังประเมินอุปกรณ์ของคุณซึ่งเป็นส่วนหนึ่งของการติดตั้งใบรับรอง Secure Boot ข้อความ “Under Observation”สะท้อนถึงกระบวนการประเมินนั้น ไม่ได้บ่งชี้ถึงปัญหา TPM ความเสียหายของ Secure Boot หรือความล้มเหลวของ BIOS แม้ว่าจะถูกบันทึกเป็นข้อผิดพลาด แต่ก็เป็นเพียงข้อมูลเท่านั้น

การเปลี่ยนใบรับรอง Secure Boot เกิดขึ้นสองขั้นตอน ขั้นแรก Windows 11 (หรือ 10) จะดาวน์โหลดและจัดเก็บใบรับรองใหม่ไว้ในระบบปฏิบัติการ ต่อมา หลังจากตรวจสอบความเข้ากันได้และการตรวจสอบความถูกต้องแล้ว ใบรับรองจะถูกเขียนลงในเฟิร์มแวร์ของระบบและเปิดใช้งาน

อุปกรณ์อาจอยู่ในสถานะระหว่างสองขั้นตอนดังกล่าวเป็นระยะเวลาหนึ่ง ซึ่งเป็นเหตุผลว่าทำไมรายการ TPM-WMI จึงอาจยังคงปรากฏใน Event Viewer แม้ว่าจะไม่มีอะไรผิดปกติก็ตาม

ตรวจสอบว่าพีซีของคุณมีใบรับรอง Secure Boot 2023 หรือไม่ โดยใช้โปรแกรมรักษาความปลอดภัยของ Windows

นอกจากการใช้ PowerShell แล้วแอป Windows Security ยังได้รับการอัปเดตเพื่อแสดงสถานะที่แน่นอนของใบรับรอง Secure Boot ที่จะหมดอายุในปี 2026 อีกด้วย 

หากต้องการตรวจสอบว่าคอมพิวเตอร์ของคุณมีใบรับรอง Secure Boot เวอร์ชันล่าสุดหรือไม่ ให้ทำตามขั้นตอนต่อไปนี้:

1. เปิดStart​

2. ค้นหา"Windows Security"แล้วคลิกผลลัพธ์แรกเพื่อเปิดแอป

3. คลิกที่"ความปลอดภัยของอุปกรณ์"จากแผงด้านซ้าย

4. ตรวจสอบสีและข้อความของตราสัญลักษณ์ Secure Boot ให้แน่ใจ

5. (ตัวเลือกที่ 1) สีเขียวหมายความว่าระบบได้รับการอัปเดตอย่างสมบูรณ์ด้วยใบรับรองและส่วนประกอบการบูตล่าสุดแล้ว

   

6. (ตัวเลือกที่ 2) สีเหลืองแสดงว่ากำลังรอการอัปเดตหรือถูกจำกัดด้วยข้อจำกัดด้านความเข้ากันได้

   

7. (ตัวเลือกที่ 3) สีแดงหมายความว่าระบบไม่สามารถทำการอัปเดตที่จำเป็นได้และต้องได้รับการแก้ไข

   

หลังจากทำตามขั้นตอนเสร็จแล้ว คุณจะเข้าใจได้ชัดเจนยิ่งขึ้นว่าไม่จำเป็นต้องดำเนินการใดๆ หรือจำเป็นต้องดำเนินการอัปเดตเฟิร์มแวร์ของระบบด้วยใบรับรอง Secure Boot เวอร์ชันใหม่กว่าด้วย ตนเอง

ข้อความที่คุณจะเห็นในแอปความปลอดภัยของ Windows นั้นเกี่ยวข้องกับการอัปเดตใบรับรองที่ส่งผ่าน Windows Update ระบบจะประเมินความเข้ากันได้ของเฟิร์มแวร์ ตรวจสอบการติดตั้งใบรับรอง และรายงานผลลัพธ์แบบเรียลไทม์

ไมโครซอฟต์กำลังทยอยปล่อยอัปเดตนี้ให้กับแอป Windows Update หากคุณไม่สามารถตรวจสอบสถานะของใบรับรองได้ ให้ใช้วิธีการผ่าน PowerShell แทน

นอกจากนี้ ตั้งแต่เดือนพฤษภาคม 2569 เป็นต้นไป การแจ้งเตือนระดับระบบจะสะท้อนสถานะเหล่านี้ ทำให้มองเห็นได้ชัดเจนยิ่งขึ้นเมื่อจำเป็นต้องดำเนินการ