Sådan kontrollerer du, om din pc har de opdaterede Secure Boot-certifikater i Windows 11 og 10

• Microsofts 2011 Secure Boot-certifikater udløber i juni 2026.
• De nye Windows UEFI CA 2023-certifikater forlænger beskyttelsen frem til 2053.
• Enheder købt i 2024 eller senere inkluderer typisk allerede de opdaterede certifikater.
• Ældre pc'er modtager opdateringen gradvist via Windows Update.
• Du kan verificere certifikatstatus ved hjælp af en PowerShell-kommando.

På nogle Windows 11- og Windows 10-enheder udløber de Secure Boot-certifikater, der først blev udstedt i 2011, i juni 2026. Selvom Microsoft aktivt erstatter dem med 2023-certifikater, bør du kontrollere, at dit system allerede er overgået til de nyere certifikater for at forhindre opstart eller sikkerhedsforstyrrelser.

Secure Boot er en firmwarebaseret beskyttelsesfunktion i Unified Extensible Firmware Interface (UEFI), der sikrer, at en enhed kun indlæser software, der er digitalt signeret og betroet af producenten. Den beskytter opstartsprocessen ved at forhindre uautoriserede ændringer af kritiske opstartskomponenter, før operativsystemet indlæses.

For at opnå dette bruger Secure Boot kryptografiske nøgler, kendt som certifikatmyndigheder (CA'er), til at validere firmwaremoduler og bootloadere. Disse certifikater skaber en tillidskæde, der blokerer for kørsel af skadelig kode under tidlig opstart.

Ligesom alle digitale certifikater har Secure Boot CA'er definerede udløbsdatoer. Da 2011-certifikaterne udløber i juni 2026, skal systemer have de nyere 2023-certifikater installeret for at fortsætte med at modtage opdateringer og starte normalt uden fejl i tillidsvalideringen.

Da digitale certifikater har udløbsdatoer, skal systemer installere 2023-certifikaterne, før 2011-CA'erne udløber i juni 2026, for at fortsætte med at starte og modtage opdateringer korrekt.

Enheder købt i 2024 eller senere inkluderer typisk allerede de nye certifikater. For ældre hardware distribuerer Microsoft det via Windows Update.

Microsoft identificerer og opdaterer allerede automatisk Secure Boot-certificeringer via regelmæssige systemopdateringer, så der kræves ingen manuel handling ud over at holde Windows Update aktiveret og installere månedlige sikkerhedsopdateringer inden fristen i juni 2026. Det er dog altid en god idé at kontrollere og forstå, om din enhed har de relevante certifikater.

I denne vejledning beskriver jeg trin til at kontrollere, om 2023 Secure Boot-certifikaterne allerede er installeret på din computer.

• Tjek om din pc har Secure Boot 2023-certifikater ved hjælp af PowerShell
• Kontroller, om din pc har Secure Boot 2023-certifikater ved hjælp af Windows Sikkerhed

Tjek om din pc har Secure Boot 2023-certifikater ved hjælp af PowerShell

For at kontrollere, om du har de "opdaterede" 2023 Secure Boot-certifikater (som erstatter dem, der udløber i 2026), skal du følge disse trin:

1. Åbn Start i Windows 11.

    

    

2. Søg efter PowerShell (eller Terminal ), højreklik på det øverste resultat, og vælg indstillingen Kør som administrator.

3. Skriv denne kommando for at kontrollere udløbsdatoen for Secure Boot-certifikaterne, og tryk på Enter: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

Når du har gennemført trinnene, og resultatet er "Sandt", har du det nye certifikat (gyldigt indtil 2053). Hvis resultatet er "Falsk", har du sandsynligvis stadig 2011-certifikatet (udløber i 2026).

Secure Boot 2011-certifikater udløber i 2026 – hvad hvert certifikat gør

Næsten alle moderne Secure Boot-kæder er afhængige af Microsofts 2011-certifikater, som har følgende udløbsdatoer :

• Microsoft Corporation KEK CA 2011 (24. juni 2026). 
• Microsoft Corporation UEFI CA 2011 (27. juni 2026).
• Microsoft Option ROM UEFI CA 2011 (27. juni 2026).
• Microsoft Windows Produktions-PCA 2011 (19. oktober 2026).

Til reference, dette er hvad hvert certifikat gør:

• KEK-certifikat: Tillidsanker, der tillader opdatering af Secure Boot-signaturdatabaser (DB/DBX).
• UEFI CA-certifikater: Stol på signaturer fra bootloadere og firmwarekomponenter (herunder tredjeparts EFI-applikationer).
• Option ROM CA: Har tillid til firmware-ROM-moduler.
• Microsoft Windows Production PCA 2011: Sikrer, at Windows bootloader og relaterede binære filer er betroet af firmwaren under Secure Boot.

Hvis dine certifikater er ved at udløbe, vil Microsoft og din computerproducent (OEM) automatisk sende firmwareopdateringer eller "DBX"-opdateringer via Windows Update eller systemopdateringer for at tilmelde de nye 2023 CA-certifikater. Du kan altid installere de nye Secure Boot-certifikater manuelt .

Hvorfor vises hændelses-ID 1801 i Logbog (og hvorfor det ikke er en fejl)

Endelig vil du sandsynligvis bemærke, at hændelses-ID 1801 vises for kilden "TPM-WMI (Microsoft-Windows-TPM-WMI)" med meddelelsen "BucketConfidenceLevel: Under Observation – More Data Needed" .

Selvom det ligner en fejl, er det ikke en fejl. Denne indtastning betyder, at operativsystemet har registreret opdaterede Secure Boot-certifikater, men endnu ikke har anvendt dem på firmwaren.

Enheden er i en opstarts- og valideringsfase, mens Microsoft gradvist udruller opdateringen. Da Secure Boot-nøgler findes i UEFI-firmwaren og påvirker bootkæden, koordineres overgangen omhyggeligt for at undgå bootproblemer.

Kort sagt er hændelses-ID 1801 blot en statuskontrol, der angiver, at Windows evaluerer din enhed som en del af udrulningen af ​​Secure Boot-certifikatet. Meddelelsen "Under observation" afspejler denne evalueringsproces. Den indikerer ikke et TPM-problem, en beskadiget Secure Boot eller en BIOS-fejl. Selvom den er logget som en fejl, er den udelukkende til information.

Overgangen til Secure Boot-certifikatet sker i to faser. Først downloader og placerer Windows 11 (eller 10) det nye certifikat i operativsystemet. Senere, efter kompatibilitetstjek og validering, skrives certifikatet til systemets firmware og aktiveres.

Enheder kan forblive mellem disse to stadier i et stykke tid, hvilket er grunden til, at TPM-WMI-poster muligvis fortsat vises i Logbog, selvom der ikke er noget galt.

Kontroller, om din pc har Secure Boot 2023-certifikater ved hjælp af Windows Sikkerhed

Ud over at bruge PowerShell er Windows Security-appen blevet opdateret for at vise den nøjagtige status for Secure Boot-certifikater, der udløber i 2026. 

For at kontrollere, om din computer har de nyeste Secure Boot-certifikater, skal du følge disse trin:

1. Åbn Start .

2. Søg efter Windows-sikkerhed , og klik på det øverste resultat for at åbne appen.

3. Klik på Enhedssikkerhed i venstre rude.

4. Bekræft farven og meddelelsen på Sikker opstart-badget.

5. (Mulighed 1) Grøn betyder, at systemet er fuldt opdateret med de nyeste certifikater og opstartskomponenter.

   

6. (Mulighed 2) Gul angiver, at en opdatering venter eller er begrænset af kompatibilitetsbegrænsninger.

   

7. (Mulighed 3) Rød betyder, at systemet ikke kan implementere de nødvendige opdateringer og har brug for handling.

   

Når du har gennemført trinnene, vil du have en klarere forståelse af, om der ikke kræves nogen handling, eller om du skal fortsætte med den manuelle proces for at opdatere dit systems firmware med den nyere version af Secure Boot-certifikaterne.

Den meddelelse, du ser i Windows-sikkerhedsappen, er knyttet til certifikatopdateringer, der leveres via Windows Update. Systemet evaluerer firmwarekompatibilitet, verificerer certifikatinstallationen og rapporterer resultatet i realtid.

Microsoft udruller denne opdatering til Windows Update-appen gradvist. Hvis du ikke kan fastslå status for certifikaterne, skal du bruge PowerShell-indstillingen.

Fra maj 2026 vil notifikationer på systemniveau også afspejle disse tilstande, hvilket øger synligheden, når der er behov for handling.