Windows 10/11 Ручное обновление сертификатов Secure Boot в Windows

[akok]

Microsoft совместно с OEM-партнёрами готовит обновление сертификатов, которые станут новыми доверенными корнями для UEFI Secure Boot. Обновления базы данных (DB) и ключей обмена (KEK) будут внедряться поэтапно. Первое обновление DB доступно как опциональное обновление с 13 февраля 2024 года для всех устройств с включённым Secure Boot.

Что такое Secure Boot?​

Secure Boot — это функция безопасности UEFI, которая гарантирует запуск только доверенного ПО на этапе загрузки системы. Она проверяет цифровые подписи всех компонентов загрузки с использованием набора доверенных ключей.
Secure Boot использует иерархию доверия, где:

• Platform Key (PK) управляется OEM и подписывает обновления KEK;
• KEK подписывает обновления Allowed Signature DB (доверенные модули) и DBX (отозванные модули).

Предварительные шаги перед обновлением DB​

1. Проверка UEFI и прошивки: убедитесь, что версия прошивки актуальна.
2. Резервное копирование данных и ключей BitLocker:
   • Для устройств с BitLocker: убедитесь, что ключи восстановления сохранены в Azure AD, MSA или на USB.
   • Для локальных аккаунтов: распечатайте ключи или сохраните их в защищённом месте.

Шаги для ручного применения обновления DB​

1. Установите обновление безопасности февраля 2024 года или более позднее.
2. Откройте PowerShell с правами администратора и выполните команду:

Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot” -Name “AvailableUpdates” -Value 0x40

3. Запустите задачу планировщика:

Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”

4. Перезагрузите устройство дважды.
5. Проверьте успешность обновления командой PowerShell. Если вывод True — обновление прошло успешно.

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’

Важные рекомендации​

• Для организаций: сначала тестируйте на отдельных устройствах, чтобы избежать проблем с прошивкой.
• Microsoft будет постепенно приостанавливать обновления для устройств с обнаруженными проблемами прошивки до их исправления.
• Это первое масштабное DB-обновление; предыдущие обновления касались только DBX.

Полезные ссылки:

• События обновления базы данных безопасной загрузки и переменной DBX
• Срок действия сертификатов Secure Boot истекает в июне 2026

Источник:

• Updating Microsoft Secure Boot keys | Windows IT Pro blog