Nếu máy tính của bạn đã sử dụng hơn 2 năm, chứng chỉ Windows Secure Boot sẽ hết hạn vào tháng 6 năm 2026. Bạn sẽ ngừng nhận các bản cập nhật Secure Boot, và cuối cùng có thể gây ra sự cố khởi động. Mặc dù Microsoft đang triển khai dần các chứng chỉ mới thông qua Windows Update, bạn có thể tránh sự không chắc chắn của việc triển khai theo giai đoạn bằng cách làm theo hướng dẫn này để cập nhật chứng chỉ Secure Boot ngay lập tức.
Chứng chỉ Secure Boot là gì?
Tính năng Secure Boot trong UEFI của máy tính đảm bảo rằng máy chỉ khởi động với phần mềm được ký số từ các nhà sản xuất đáng tin cậy. Quy trình xác thực này có nhiều bước, và bước đầu tiên cũng quan trọng nhất là sử dụng chứng chỉ công khai để xác định các nhà sản xuất phần mềm tin cậy trước khi một dòng mã nào được thực thi.
Để làm điều này, firmware UEFI của máy tính chứa danh sách chứng chỉ nhà sản xuất về cơ bản hoạt động như "thẻ căn cước" để xác nhận phần mềm đến từ nguồn tin cậy. Điều này giúp bảo vệ chống lại bootkit và rootkit, vì mã độc này sẽ không hoạt động nếu không có chứng chỉ từ các nhà sản xuất đã đăng ký.
Tại sao cần cập nhật lên chứng chỉ Secure Boot mới nhất?
Chứng chỉ Secure Boot, giống như mọi chứng chỉ khác, đều có ngày hết hạn. Hầu hết các máy tính sản xuất trước năm 2024 sử dụng chứng chỉ Microsoft Corporation UEFI CA 2011, sẽ hết hạn vào tháng 6 năm 2026. Khi chúng hết hạn, máy tính của bạn sẽ không nhận được cập nhật Windows Boot Manager, khiến máy dễ bị tổn thương trước các mối đe dọa mới. Bạn cũng sẽ gặp khó khăn khi sử dụng phần cứng mới nhất được ký bằng chứng chỉ mới.
Bạn cần cập nhật lên chứng chỉ Windows UEFI CA 2023 mới nhất. Thực tế, Microsoft đã hợp tác với các OEM để kích hoạt các chứng chỉ này thông qua Windows Update. Tuy nhiên, có nhiều lý do bạn có thể muốn kích hoạt thủ công ngay bây giờ. Dưới đây là những lý do phổ biến nhất:
- Không có đảm bảo Microsoft sẽ kích hoạt chứng chỉ trên máy cụ thể của bạn trước ngày hết hạn. Việc triển khai tự động dựa trên mức độ quan trọng của thiết bị; bạn có thể phải chờ đợi nhiều tháng (hoặc không bao giờ kích hoạt).
- Chứng chỉ 2011 cũ dễ bị tấn công bởi bootkit BlackLotus có thể vượt qua Secure Boot. Bằng cách cập nhật ngay bây giờ, bạn nhận được bảo mật đó ngay lập tức.
- Nếu Windows Update bị tắt trên máy của bạn hoặc bạn thích tự quản lý cập nhật, chứng chỉ có thể cần được cập nhật thủ công.
- Nếu bạn có ổ khôi phục, nó có thể không hoạt động sau khi cập nhật chứng chỉ. Tốt nhất là cài đặt chúng theo ý muốn của bạn để có thể tạo ổ khôi phục mới kịp thời.
Mặc dù bạn sẽ không bị khóa ngoài máy tính nếu không cài đặt chứng chỉ mới nhất, nhưng điều này sẽ làm giảm bảo mật của máy và gây khó khăn cho việc nâng cấp phần cứng trong tương lai.
Kiểm tra xem máy tính có đang chạy chứng chỉ Secure Boot mới nhất không
Có khả năng Microsoft đã kích hoạt chứng chỉ trên máy cụ thể của bạn. Bạn có thể chạy lệnh PowerShell để xác nhận.
Tìm "powershell" trong Tìm kiếm Windows, chuột phải vào Windows PowerShell, và chọn Chạy với tư cách quản trị viên.
Chạy lệnh sau:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'Nếu kết quả trả về True, bạn đã có chứng chỉ mới nhất và không cần làm gì thêm. Nếu trả về False, bạn sẽ phải cập nhật và kích hoạt chúng.
Cài đặt chứng chỉ Secure Boot 2023 trên Windows
Chứng chỉ Windows UEFI CA 2023 rất có thể đã có trên máy tính của bạn. Microsoft thực tế đã thêm các chứng chỉ này vào tất cả các máy tính với bản cập nhật tích lũy Windows 11 tháng 2 năm 2024, nhưng chưa kích hoạt chúng. Nếu máy của bạn đã được cập nhật ít nhất một lần sau bản cập nhật Windows 11 tháng 2, bạn có thể làm theo các bước sau để triển khai và kích hoạt chứng chỉ:
Mở PowerShell với quyền quản trị viên và chạy lệnh sau:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /fLệnh này sẽ chỉnh sửa Registry để triển khai chứng chỉ 2023. Bitmask 0x5944 trong lệnh thực tế chạy sáu hướng dẫn khác nhau để chuẩn bị máy tính cài đặt Windows UEFI CA 2023.
Bây giờ, để kích hoạt các hướng dẫn mà lệnh trên tạo ra, bạn cần chạy lệnh sau trong PowerShell:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"Lệnh này sẽ chạy các tác vụ cần thiết để Windows cài đặt chứng chỉ عند khởi động tiếp theo, như kiểm tra tương thích hoặc di chuyển chứng chỉ mới từ thư mục WinSxS vào khu vực staging. Bạn có thể nhận thấy máy tính bị đơ một chút khi lệnh chạy.
Bước quan trọng nhất là khởi động lại Windows hai lần. Bạn phải khởi động lại máy tính, không phải tắt và bật lại. Nếu Fast Startup được bật, việc tắt máy đơn giản sẽ không xóa bộ nhớ, điều này là bắt buộc để các thay đổi có hiệu lực.
Xong! Máy tính của bạn bây giờ sẽ có chứng chỉ Secure Boot mới nhất kéo dài đến năm 2038. Mặc dù bạn không nên gặp vấn đề gì, nếu có sự cố, hãy làm theo các hướng dẫn trong các bài viết khắc phục sự cố Windows không khởi động và sửa vòng lặp khởi động lại vô hạn.