Kā pārbaudīt, vai datoram ir atjaunināti drošās sāknēšanas sertifikāti operētājsistēmā Windows 11, 10

• Microsoft 2011. gada drošās sāknēšanas sertifikātu derīguma termiņš beidzas 2026. gada jūnijā.
• Jaunie Windows UEFI CA 2023 sertifikāti pagarina aizsardzību līdz 2053. gadam.
• Ierīcēs, kas iegādātas 2024. gadā vai vēlāk, parasti jau ir iekļauti atjauninātie sertifikāti.
• Vecāki datori atjauninājumu saņem pakāpeniski, izmantojot Windows Update.
• Sertifikāta statusu var pārbaudīt, izmantojot PowerShell komandu.

Dažās Windows 11 un Windows 10 ierīcēs drošās sāknēšanas sertifikāti, kas pirmo reizi tika izsniegti 2011. gadā, beigsies 2026. gada jūnijā. Lai gan Microsoft tos aktīvi aizstāj ar 2023. gada sertifikātiem, jums jāpārbauda, ​​vai jūsu sistēma jau ir pārgājusi uz jaunākiem sertifikātiem, lai novērstu startēšanas vai drošības traucējumus.

Droša sāknēšana ir uz programmaparatūru balstīta aizsardzības funkcija vienotajā paplašināmajā programmaparatūras saskarnē (UEFI), kas nodrošina, ka ierīce ielādē tikai programmatūru, ko ražotājs ir digitāli parakstījis un uzticējis. Tā aizsargā startēšanas procesu, novēršot neatļautas izmaiņas kritiskos sāknēšanas komponentos pirms operētājsistēmas ielādes.

Lai to panāktu, drošā sāknēšana izmanto kriptogrāfiskās atslēgas, kas pazīstamas kā sertifikātu izdevējas (CA), lai validētu programmaparatūras moduļus un sāknēšanas ielādētājus. Šie sertifikāti izveido uzticības ķēdi, kas bloķē ļaunprātīga koda palaišanu agrīnas startēšanas laikā.

Tāpat kā visiem digitālajiem sertifikātiem, arī Secure Boot sertifikātiem ir noteikti derīguma termiņi. 2011. gada sertifikātu derīguma termiņš beigsies 2026. gada jūnijā, kas nozīmē, ka sistēmās ir jābūt instalētiem jaunākajiem 2023. gada sertifikātiem, lai turpinātu saņemt atjauninājumus un normāli startētos bez uzticamības validācijas kļūmēm.

Tā kā digitālajiem sertifikātiem ir derīguma termiņi, sistēmām ir jāinstalē 2023. gada sertifikāti pirms 2011. gada sertifikācijas sertifikātu derīguma termiņa beigām 2026. gada jūnijā, lai turpinātu pareizu palaišanu un atjauninājumu saņemšanu.

Ierīcēs, kas iegādātas 2024. gadā vai vēlāk, jaunie sertifikāti parasti jau ir iekļauti. Vecākai aparatūrai Microsoft tos izplata, izmantojot Windows Update.

Microsoft jau identificē un automātiski atjaunina drošās sāknēšanas sertifikātus, izmantojot regulārus sistēmas atjauninājumus, tāpēc nav nepieciešamas nekādas manuālas darbības, izņemot Windows Update iespējošanu un ikmēneša drošības atjauninājumu instalēšanu pirms 2026. gada jūnija termiņa. Tomēr vienmēr ir ieteicams pārbaudīt un saprast, vai jūsu ierīcei ir atbilstoši sertifikāti.

Šajā rokasgrāmatā es izklāstīšu darbības, lai pārbaudītu, vai jūsu datorā jau ir instalēti 2023. gada drošās sāknēšanas sertifikāti.

• Pārbaudiet, vai jūsu datoram ir Secure Boot 2023 sertifikāti, izmantojot PowerShell
• Pārbaudiet, vai jūsu datoram ir Secure Boot 2023 sertifikāti, izmantojot Windows drošību

Pārbaudiet, vai jūsu datoram ir Secure Boot 2023 sertifikāti, izmantojot PowerShell

Lai pārbaudītu, vai jums ir “atjauninātie” 2023. gada drošās sāknēšanas sertifikāti (kas aizstāj tos, kuru derīguma termiņš beidzas 2026. gadā), veiciet tālāk norādītās darbības.

1. Atveriet Sākt operētājsistēmā Windows 11.

    

    

2. Meklējiet PowerShell (vai Terminal ), ar peles labo pogu noklikšķiniet uz augšējā rezultāta un izvēlieties opciju Palaist kā administratoram.

3. Ierakstiet šo komandu, lai pārbaudītu drošās sāknēšanas sertifikātu derīguma termiņu, un nospiediet taustiņu Enter: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

Kad esat pabeidzis šīs darbības, ja rezultāts ir “True”, jums ir jauns sertifikāts (derīgs līdz 2053. gadam). Ja rezultāts ir “False”, jums, visticamāk, joprojām ir 2011. gada sertifikāts (derīgs līdz 2026. gadam).

Secure Boot 2011 sertifikātu derīguma termiņš beidzas 2026. gadā — ko katrs sertifikāts dara

Gandrīz visas mūsdienu drošās sāknēšanas ķēdes balstās uz Microsoft 2011. gada sertifikātiem, kuriem ir šādi derīguma termiņi :

• Microsoft Corporation KEK CA 2011 (2026. gada 24. jūnijs). 
• Microsoft Corporation UEFI CA 2011 (2026. gada 27. jūnijs).
• Microsoft Option ROM UEFI CA 2011 (2026. gada 27. jūnijs).
• Microsoft Windows Production PCA 2011 (2026. gada 19. oktobris).

Atsaucei, lūk, ko dara katrs sertifikāts:

• KEK sertifikāts: uzticamības enkurs, kas ļauj atjaunināt drošās sāknēšanas parakstu datubāzes (DB/DBX).
• UEFI CA sertifikāti: uzticieties sāknēšanas ielādētāju un programmaparatūras komponentu parakstiem (tostarp trešo pušu EFI lietojumprogrammām).
• Option ROM CA: Uzticas programmaparatūras opciju ROM moduļiem.
• Microsoft Windows Production PCA 2011: Nodrošina, ka programmaparatūra drošās sāknēšanas ietvaros uzticas Windows sāknēšanas ielādētājam un saistītajiem binārajiem failiem.

Ja jūsu sertifikātu derīguma termiņš tuvojas beigām, Microsoft un jūsu datora ražotājs (OEM) automātiski izlaidīs programmaparatūras atjauninājumus vai “DBX” atjauninājumus, izmantojot Windows Update vai sistēmas atjauninājumus, lai reģistrētu jaunos 2023. gada CA sertifikātus. Jaunos drošās sāknēšanas sertifikātus vienmēr varat instalēt manuāli .

Kāpēc notikumu skatītājā tiek parādīts notikuma ID 1801 (un kāpēc tā nav kļūda)

Visbeidzot, jūs, iespējams, pamanīsiet, ka avotam “TPM-WMI (Microsoft-Windows-TPM-WMI)” tiek parādīts notikuma ID 1801 ar ziņojumu “BucketConfidenceLevel: Novērojumā — nepieciešami vairāk datu” .

Lai gan tas izskatās pēc kļūdas, tā nav kļūme. Šis ieraksts nozīmē, ka operētājsistēma ir noteikusi atjauninātus drošās sāknēšanas sertifikātus, bet vēl nav tos lietojusi programmaparatūrai.

Ierīce atrodas izstrādes un validācijas fāzē, kamēr Microsoft pakāpeniski izlaiž atjauninājumu. Tā kā drošās sāknēšanas atslēgas atrodas UEFI programmaparatūrā un ietekmē sāknēšanas ķēdi, pāreja tiek rūpīgi koordinēta, lai izvairītos no sāknēšanas problēmām.

Vienkārši sakot, notikuma ID 1801 ir tikai statusa pārbaude, kas norāda, ka Windows novērtē jūsu ierīci kā daļu no drošās sāknēšanas sertifikāta izlaišanas. Ziņojums “Novērošanā” atspoguļo šo novērtēšanas procesu. Tas nenorāda uz TPM problēmu, drošās sāknēšanas bojājumu vai BIOS kļūmi. Lai gan tas tiek reģistrēts kā kļūda, tam ir tikai informatīvs raksturs.

Drošas sāknēšanas sertifikāta pāreja notiek divos posmos. Vispirms operētājsistēma Windows 11 (vai 10) lejupielādē un sagatavo jauno sertifikātu operētājsistēmā. Vēlāk pēc saderības pārbaudēm un validācijas sertifikāts tiek ierakstīts sistēmas programmaparatūrā un aktivizēts.

Ierīces var atrasties starp šiem diviem posmiem noteiktu laiku, tāpēc TPM-WMI ieraksti var turpināt parādīties notikumu skatītājā, pat ja nekas nav nepareizi.

Pārbaudiet, vai jūsu datoram ir Secure Boot 2023 sertifikāti, izmantojot Windows drošību

Papildus PowerShell izmantošanai ir atjaunināta arī Windows drošības lietotne , lai parādītu precīzu drošās sāknēšanas sertifikātu stāvokli, kuru derīguma termiņš beidzas 2026. gadā. 

Lai pārbaudītu, vai jūsu datoram ir jaunākie drošās sāknēšanas sertifikāti, veiciet tālāk norādītās darbības.

1. Atvērt Sākt .

2. Meklējiet Windows drošību un noklikšķiniet uz augšējā rezultāta, lai atvērtu lietotni.

3. Kreisajā rūtī noklikšķiniet uz Ierīces drošība .

4. Apstipriniet drošās sāknēšanas emblēmas krāsu un ziņojumu.

5. (1. variants) Zaļā krāsa nozīmē, ka sistēma ir pilnībā atjaunināta ar jaunākajiem sertifikātiem un sāknēšanas komponentiem.

   

6. (2. opcija) Dzeltenā krāsa norāda, ka atjauninājums ir gaidīšanas režīmā vai to ierobežo saderības ierobežojumi.

   

7. (3. variants) Sarkana krāsa nozīmē, ka sistēma nevar lietot nepieciešamos atjauninājumus un ir nepieciešama iejaukšanās.

   

Pēc šo darbību veikšanas jums būs skaidrāks priekšstats par to, vai nav nepieciešamas nekādas darbības vai arī ir jāturpina manuālais process, lai atjauninātu sistēmas programmaparatūru ar jaunāko drošās sāknēšanas sertifikātu versiju.

Ziņojums, ko redzēsiet Windows drošības lietotnē, ir saistīts ar sertifikātu atjauninājumiem, kas piegādāti, izmantojot Windows Update. Sistēma novērtē programmaparatūras saderību, pārbauda sertifikātu izvietošanu un reāllaikā ziņo par rezultātu.

Microsoft pakāpeniski ievieš šo atjauninājumu lietotnē Windows Update. Ja nevarat noteikt sertifikātu stāvokli, izmantojiet PowerShell opciju.

Turklāt, sākot ar 2026. gada maiju, sistēmas līmeņa paziņojumi atspoguļos šos stāvokļus, palielinot redzamību, kad nepieciešama rīcība.