关于Microsoft安全启动证书到期说明

尊敬的用户您好，微软 2011年版 Secure Boot（安全启动）证书将从 2026 年 6 月开始到期，需要过渡到新的 2023 年版 Microsoft Secure Boot 证书。该新版本证书将通过 Windows 更新自动推送，无需您手动操作，请参考《计算机如何在 BIOS 中设置安全启动》保持系统更新并且打开安全启动功能。

通过微软Windows 更新可以切换到2023 年版 Microsoft Secure Boot 证书，部分早期上市的设备或平台不支持微软证书过渡，具体支持更新的产品列表如下：

更新完成后建议不要关闭BIOS安全启动功能，否则再次启用时，可能导致操作系统无法启动。

常见问题答复：

Q1：系统事件查看器中出现1801事件如何解决？

A1：您好，该错误指示更新的证书尚未应用于设备的固件，可通过以下方法解决。

1. 使用管理员权限打开命令提示符 (CMD) 或 终端，运行以下命令：

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

2. 重启电脑后，使用管理员权限打开命令提示符 (CMD) 或 终端，运行以下命令：

   Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update

3. 建议等待10分钟后，再次重启电脑，重复步骤2中的命令。
4. 以上方案由微软官网提供，如仍未解决，请访问微软获取官方指导。

Q2：安全启动证书过期后有什么影响？

A2：安全启动证书过期后，尚未收到新的 2023 年证书的设备仍然可以正常启动和运行，并且标准的 Windows 更新也将继续安装。但是，这些设备在启动初期将无法获得新的安全保护，包括更新 Windows 启动管理器、安全启动数据库、吊销列表，以及针对新发现的启动级漏洞的缓解措施。

Q3：2023 年版 Microsoft Secure Boot 证书需要哪些内容？

A3：更新证书列表如下：

Q4：如何检查安全启动证书的状态？

A4：您好，请参考以下步骤：

1. Windows UEFI CA 2023证书检查：

   在终端管理员中运行命令： ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')，结果为True代表已更新成功。

2. Microsoft UEFI CA 2023证书检查：

   在终端管理员中运行命令： ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023')，结果为True代表已更新成功。

3. Microsoft Option ROM UEFI CA 2023 证书检查：

   在终端管理员中运行命令： ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023')，结果为True代表已更新成功。

4. Microsoft Corporation KEK 2K CA 2023证书检查：

   在终端管理员中运行命令： ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI kek).bytes) -match 'Microsoft Corporation KEK 2K CA 2023')，结果为True代表已更新成功。

Q5：更新后如出现设备无法启动问题怎么处理？

A5：您好，请参考以下步骤：

1. 请参考《计算机如何在 BIOS 中设置安全启动》关闭安全启动功能。
2. 关闭安全启动后，如果机器能恢复正常启动到系统，继续执行步骤3，若仍未解决，建议备份资料前往门店重装系统。
3. 登录到系统后，以管理员身份打开命令提示符窗口，运行以下命令，以恢复 EFI 系统启动分区中的启动文件：

   Mountvol s: /s

   del s:\*.* /f /s /q

   bcdboot %systemroot% /s S:

4. 打开安全启动功能，重启电脑后即可正常进入Windows系统。