安全启动 – mylogs.cn https://mylogs.cn 发现、记录、分享 Tue, 29 Sep 2026 16:44:58 +0000 zh-Hans hourly 1 安全启动证书六月到期，三步查清电脑状态 https://mylogs.cn/%e5%ae%89%e5%85%a8%e5%90%af%e5%8a%a8%e8%af%81%e4%b9%a6%e5%85%ad%e6%9c%88%e5%88%b0%e6%9c%9f%ef%bc%8c%e4%b8%89%e6%ad%a5%e6%9f%a5%e6%b8%85%e7%94%b5%e8%84%91%e7%8a%b6%e6%80%81/ Fri, 14 Aug 2026 02:00:30 +0000 https://mylogs.cn/%e5%ae%89%e5%85%a8%e5%90%af%e5%8a%a8%e8%af%81%e4%b9%a6%e5%85%ad%e6%9c%88%e5%88%b0%e6%9c%9f%ef%bc%8c%e4%b8%89%e6%ad%a5%e6%9f%a5%e6%b8%85%e7%94%b5%e8%84%91%e7%8a%b6%e6%80%81/ 绝大多数 Windows 电脑十多年来一直在用同一批微软证书来完成安全启动（Secure Boot，开机时校验引导程序签名、拦住引导层恶意代码的机制）。按微软支持文档给出的时间表，这批老证书将在 2026 年集中到期：Microsoft Corporation KEK CA 2011 到 6 月 24 日，Microsoft UEFI CA 2011 到 6 月 27 日，负责签名 Windows 引导程序的 Microsoft Windows Production PCA 2011 到 10 月 19 日，对应的替代品统一是 2023 版证书。

安全启动证书六月到期，三步查清电脑状态
图片来源：PCWorld

到期不会让电脑立刻开不了机。没换上新证书的机器照样能启动、照样能装系统更新，但拿不到开机早期环节的新防护——引导管理器更新、签名撤销列表、新曝光的引导层漏洞缓解都会停在门外，长期还可能影响 BitLocker 加固和第三方引导程序的信任链。真正容易踩的坑在另一头：一旦系统已经换用 2023 签名的引导管理器，而主板设置被恢复成不含新证书的出厂默认值，安全启动就会直接拦下开机，报出 Secure Boot Violation。

Windows 10 一侧，PCWorld 报道微软本周发布了 KB5120249，面向 22H2、21H2 以及企业版和 IoT 企业版 LTSC 2021。这个约 1GB 的补丁扩大了可自动接收新证书的设备范围，同时修好了「文件历史记录」通过 SMB 网络共享自动备份时误报「凭据无效」、导致计划备份一个文件都不复制的问题，并顺带更新了 Defender、.NET Framework 和恶意软件删除工具。

一、先确认安全启动是否开着

  1. 按下 Win+R，输入 msinfo32 回车。
  2. 在「系统摘要」里查看「安全启动状态」一行，显示「启用」才会走后面的证书更新流程。

关闭了安全启动的机器不会收到新证书，同时也一直暴露在引导层恶意软件之下。

二、查证书有没有换新

  1. 打开「Windows 安全中心」→「设备安全性」，查看新增的「安全启动」一栏。这个入口是 2026 年 4 月的 KB5083769 之后才加上的，装了该补丁或更新版本即可看到。
  2. 更确切的判断方式是用管理员身份打开 PowerShell，执行 [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'。返回 True 说明新证书已经写进签名数据库。
  3. 把命令里的 db 换成 KEK、匹配串换成 Microsoft Corporation KEK 2K CA 2023，可再核对密钥交换密钥；把匹配串换成 Microsoft UEFI CA 2023，可核对第三方引导程序用的那张。

三、状态位和日志二次确认

  1. 打开注册表编辑器，定位到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureBootServicing，查看 UEFICA2023Status 记录的部署状态；同目录下若出现 UEFICA2023Error，说明过程报错。
  2. 打开「事件查看器」的系统日志，事件 ID 1808 表示证书已成功应用，1801 会给出更新状态或错误详情。

需要注意，注册表状态位落后于实际情况的情形确实存在。以固件里是否真的存在 2023 证书为准，也就是以第二步 PowerShell 返回的结果为准。

注意事项

查出仍是老证书时，最省事的办法是保持 Windows 更新开启、等微软按机型分批推送，必要时再去主板或整机厂商页面找固件更新。Windows 10 用户还有一层前提：标准支持已于 2025 年 10 月结束，只有加入 ESU（扩展安全更新）计划的机器才收得到 KB5120249 这类补丁，未加入的建议尽快补办。补丁通常自动安装，也可从 Microsoft Update 目录手动下载。此外，在证书完成更新前后，都不建议随手把 BIOS/UEFI 恢复出厂默认设置。

来源：PCWorld

]]> Windows安全启动证书没更新？微软喊话别慌，一招自查 https://mylogs.cn/windows%e5%ae%89%e5%85%a8%e5%90%af%e5%8a%a8%e8%af%81%e4%b9%a6%e6%b2%a1%e6%9b%b4%e6%96%b0%ef%bc%9f%e5%be%ae%e8%bd%af%e5%96%8a%e8%af%9d%e5%88%ab%e6%85%8c%ef%bc%8c%e4%b8%80%e6%8b%9b%e8%87%aa%e6%9f%a5/ Thu, 30 Jul 2026 02:03:20 +0000 https://mylogs.cn/windows%e5%ae%89%e5%85%a8%e5%90%af%e5%8a%a8%e8%af%81%e4%b9%a6%e6%b2%a1%e6%9b%b4%e6%96%b0%ef%bc%9f%e5%be%ae%e8%bd%af%e5%96%8a%e8%af%9d%e5%88%ab%e6%85%8c%ef%bc%8c%e4%b8%80%e6%8b%9b%e8%87%aa%e6%9f%a5/ 不少 Windows 用户最近都在关注”安全启动（Secure Boot）证书过期”的问题：微软原计划通过 6 月 24 日的专项更新，把新证书推送给所有需要的电脑，但眼看 8 月将至，仍有大量电脑没有收到新证书。科技媒体 PCWorld 报道称，微软的最新态度是——先别慌。

Windows安全启动证书没更新？微软喊话别慌，一招自查
图片来源：PCWorld

根据微软 2026 年 7 月的更新说明：没有收到新证书的设备仍会正常启动，Windows 更新也会照常安装，未来几个月微软将继续通过 Windows 更新分发新证书。

为什么这事值得关注

安全启动是一项重要的安全功能，它在系统启动阶段核对每一个被加载软件的数字签名，拦截可疑程序，防止恶意软件在开机过程中植入。同时微软维护着一份已知被攻破的引导加载程序黑名单，并通过 DBX 更新不断扩充。

问题在于，部分电脑上支撑安全启动的证书是 2011 年首次签发的，有效期 15 年，今年起陆续到期：

  1. Microsoft Corporation KEK CA 2011：有效期至 2026 年 6 月 24 日；
  2. Microsoft UEFI CA 2011：有效期至 2026 年 6 月 27 日；
  3. Microsoft Windows Production PCA 2011：有效期至 2026 年 10 月 19 日。

也就是说，最迟到今年 10 月中旬前拿到 2023 版新证书，安全启动功能就能继续正常工作。

如何自查证书状态

微软已在 Windows 11 中内置了检查入口，操作步骤如下：

  1. 打开”设置”；
  2. 依次进入”Windows 安全中心 → 设备安全性 → 安全启动”；
  3. 查看状态指示灯的颜色。

指示灯像红绿灯一样直观：绿色表示一切正常；黄色表示 Windows 还需要获取固件的更多信息才能推送证书；红色则是警告——有问题阻碍了更新，可能需要先安装厂商提供的 BIOS 更新。

微软正与各大电脑厂商合作推送必要的 BIOS 更新，但部分情况下用户需要主动去厂商官网检查并安装。

注意事项

Windows 10 用户只有加入扩展安全更新（ESU）计划，才能继续收到包括安全启动证书在内的更新；未注册 ESU 的 Windows 10 电脑将无法获得新证书。

另外，一些老电脑将彻底无缘新证书：戴尔不为支持期在 2026 年 1 月 1 日前结束的机型提供 BIOS 更新；惠普排除了 2018 年及更早的电脑；联想的情况类似。这类设备的用户需自行评估继续使用的安全风险。

来源：PCWorld

]]>