咨询热线:020-82315523 18988993510 18988993505

Windows系统的UEFI安全引导根证书更新

前情提要:
当初UEFI安全引导规范指定的时候,大家都在头疼让谁去维护安全引导根证书。
微软:我是UEFI论坛成员,我来?
然后大家欢天喜地的同意了微软作为UEFI安全引导根证书颁发者和维护者,然后……当初的UEFI安全引导根证书再有两年

微软在2024年2月发布了一个奇怪的更新,这个更新提到了升级微软内置在UEFI固件中的安全引导根证书。
技术背景么……最初的UEFI安全引导根证书是2011年发布的,一共三个根证书:
1.Microsoft Corporation KEK CA 2011(KEK:第三方密钥交换密钥,平台制造商生成平台密钥PK,PK签署信任KEK,KEK用于签署安全引导可信根证书,这是个看起来很美实则难以言说的链条)
2.Microsoft Windows Production PCA 2011(用于签署Windows相关的东西,比如引导加载器和Windows组件)
3.Microsoft UEFI CA 2011(微软第三方合作伙伴UEFI根证书,用于签发微软的合作伙伴、第三方需要支持安全引导的厂商的证书,比如Linux就是用UEFI CA签署的安全引导证书)
但是,这三个根证书都将在2026年到期:如果不执行更新(升级为2023 KEK和2023 DB),那么到了2026年的某天,所有启用了安全引导的电脑将不能启动任何操作系统,甚至是硬件(因为安全引导也会同时验证第三方硬件的固件是否被签名)。

那么如何升级UEFI安全引导证书呢?
非常好问题:首先,你需要有一个装了2024-02安全更新的Windows,其次,按照下面的操作开始。
第零步:如果你开启了Bitlocker,麻烦你暂停一下Bitlocker保护(顺带检查一下备份密钥有没有丢,不然到时候被Bitlocker拒之门外你就囧死了)。
第一步:在Powershell下执行这两条命令
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot” -Name “AvailableUpdates” -Value 0x40
Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”
第二步:重启你的电脑两次,确保你的电脑真的应用了2023根证书更新。
(如果你遵守第零步暂停了Bitlocker,那么第一次重启后麻烦进Bitlocker管理再暂停一次)
第三步:完成后,执行以下命令
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
如果返回“True”,恭喜你,你成功安装了新的UEFI安全引导根证书!

有些人可能要问我,我执行了这些命令,但是奇怪的是安装失败没有任何变化该怎么办?
这问题有两个原因:
1.你的Windows引导程序使用老旧的2011根证书签名,请升级你的WinDOS(我没打错字)。
2.你的主板有那么一些奇葩操作,比如有些主板会恶意的锁死安全引导数据库,此问题重买就可以解决了!
还有些天才会问:我手动导入不就可以了?
那我带大家复习一下安全引导链条:
1.平台制造商(板厂?)生成出一个PK(平台密钥),PK用于验证主板固件和接下来的KEK。
2.平台制造商使用PK签名KEK(第三方密钥交换密钥),KEK是微软的Microsoft Corporation KEK CA。
3.Microsoft Corporation KEK CA 签名和信任Microsoft Windows Production PCA和Microsoft UEFI CA。
因此,如果你试图自行导入这三个新证书解决问题,那么……PK不信任你的KEK,你剩下来的那两个根证书也自然不会被信任。你自己只能操作DB(安全引导可信数据库)部分,操纵不了KEK和PK(摊手)。
有人可能会试图重新签发PK来完成这个操作,但是,PK只能存在这一个,而如果PK被更换,你的主板固件不是你的PK签名的……

迅恒运营的IDC数据中心机房介绍
机房名称 机房介绍 是否推荐
广州较场西路机房 中国电信5星级机房,华南骨干出口,广州市中心机房,交通便利,总带宽200G,为华南骨干出口。
广州人民中路机房 中国电信3星级机房,超高速的20Gx2主备双线路带宽直接接入ChinaNET骨干层。
广州天河科技园机房 天河软件园建中路4号,中国互联网应急中心机房,国家政府机关直属。多线接入骨干BGP线路。
电子商务部广州机房 天河软件建业路上(科韵路)的国际电子商务中心大厦甲级写字楼内,机房环境一流。多线接入骨干BGP线路。
广州电信加速器机房 位于广州市萝岗区开源大道1号企业加速器B1栋一楼,按照国际T3+及国标B+级标准建造,机房环境一流。多线接入骨干网。
广州移动旗锐机房 广州科学城南翔二路1号旗锐数字科技园区内,属于第三方私立机房,现由移动运营,从粤西汇聚节点直连CMNET骨干网。
广州移动南方基地机房 中国移动广州南方基地机房位于广州市天河软件园高塘大道333号,用于移动骨干网线路,是移动服务器托管优质机房。
东莞电信道滘机房 中国电信4星级机房,总带宽320G,可提供电信和多线BGP线路,华南骨干机房,稳定高速,性价比高。
东莞电信东城机房 中国电信4星级机房,总带宽320G,性价比高,可提供电信和多线BGP线路和200G集群硬件防火墙VIP防护。
东莞电信樟木头机房 中国电信4星级机房,总带宽320G,可提供电信和多线BGP线路和100G集群硬件防火墙企业级防护。
深圳互联港湾机房 深圳南山高新区中区软件大厦四楼,电信3星级机房,20G带宽接入骨干网络。
深圳南山科兴机房 位于深圳市南山区科技园科苑路15号科兴科学园,3星级机房,可提供双线接入等业务。
深圳百旺信机房 深圳市南山区西丽松白公路百旺信工业区A区(一区)一栋属于第三方机房,可提供双线接入等业务。
佛山电信信息大厦机房 佛山市汾江南路35号电信佛山分公司信息大厦8-9层,是中国电信3星级机房,可提供双线接入等业务。
中山电信火炬机房 机房位于中山市火炬区康乐大道47号电信3楼,是中国电信3星级机房,可提供双线接入等业务。
江苏徐州电信机房 机房位于江苏徐州市新城区镜泊东路4号,徐州市档案馆东侧,是中国电信3星级机房,可提供双线接入等业务。
江苏常州电信机房 机房位于江苏省常州市清凉路108号常州信息港,是中国电信4星级机房,可提供双线接入等业务。
香港TKO机房 机房靠近香港交易所的数据中心位置和香港商业中心,拥有PCCW、GTT、Cogent、Telia、TATA、CT、CN2、CU线路。
香港将军澳机房 机房在香港新界將軍澳工業邨駿昌街22號,与阿里云香港机房同属一栋楼,拥有多种线路接入。
香港新世界机房 香港新世界机房的海底电缆系统遍布全球,能直接连接多个国家,免备案,服务器租用、云服务器等业务。
香港NTT机房 香港NTT电讯机房,是一座专用数据中心,在香港大埔,免备案,提供服务器租用、VPS云服务器等业务。
美国洛杉矶机房 位于美国洛杉矶,直连全球,是全球带宽最集中的地方,是外贸企业首选,该机房只提供服务器租用业务。
美国加州DCS机房 位于美国加州,直连全球,是美国的华人机房,是外贸企业首选,该机房只提供服务器租用业务。
美国圣何塞机房 位于美国圣何塞,紧邻科技中心-硅谷,直连全球,是外贸企业首选,该机房只提供服务器租用业务。
韩国首尔KT机房 韩国首尔的江南区道谷洞数据中心,光纤直连电信(CN2)、移动、PCCW、NTT等网络核心骨干。
台湾中华电信机房 台湾中华电信机房位于台湾台北市114内湖区瑞光路68号3楼,是台湾对外最重要的电信枢纽之一。
菲律宾PLDT机房 菲律宾PLDT机房拥有PCCW、TATA、CT、CN2等线路接入,优化线路到中国大陆速度快,延迟低,网络稳定。
迅恒十多年IT企业和IDC运维经验为您提供优质服务
迅恒专注网站建设10多年,几十人技术团队,品质卓越,服务有保障!
  • 云虚拟主机

    ¥99元/年起 网站空间 原价:199元

  • 独立物理服务器

    ¥488/月起 物理机 原价:699元

  • 网站建设

    ¥580企业建站 原价:1999元起

    迅恒建站·ABOUT US

    迅恒专注于企业建站,海量精美网站风格模板供您选择!

广州网站设计公司哪家好

    建站流程·PROCEDURE

    网络营销推广的第一步就是做一个属于自己的网站

  • 沟通联系

    提出需求,咨询报价
  • 达成协议

    交流达成详细建站协议
  • 支付费用

    支付建站相关费用
  • 建站开发

    根据客户需求,制作网站
  • 验收

    客户验收网站
  • 提交上线

    验收合格,解析域名上线
  • 售后服务

    一对一的售后服务客服
    • 我们的优势·OUR STRENGTHS

      做网站,为什么要选迅恒建站?

  • 技术团队

    专业的设计团队、技术团队,为客户提供专业的技术服务支持

  • 源码交付

    客户查验合格,提供源码交付/FTP信息。网站商业授权,避免产权纠纷

  • 四合一建站多终端展示

    网站能够在CP+平板+手机+小程序 完美响应展示。

  • 无隐形收费

    所有收费项公开透明,正规签订合同,合同清楚明确

  • 高端设计

    提供网站个性化定制设计,拒绝千篇一律

  • 安全稳定

    我司与华为云/腾讯云长期合作,采用安全稳定服务器,保障网站安全稳定运行

  • 迅恒累计为上万网站稳定运行 100000000
    机房接入电信带宽400G、联通带宽200G、移动带宽100G,直连核心骨干网络;
    所有重要网络节点和核心设备均采用华为电信级交换设备,网络总体交换能力高达684G,网络联通率达到99.99%,
    并且多点冗余备份,提高网络性能,避免单点故障。
  • 快速导航
  • 广州迅恒信息科技有限公司:
  • 增值电信业务经营许可证和ICP备案 粤B2-20061054
  • 公司业务咨询电话:
  • 020-82315523
  • 公司企业QQ/商务QQ:
  • 923109991 16764407 20300996
  • 销售经理:18988993510 13533213185
  • 备案咨询和售后服务电话:18988993505
  • 专注广州服务器托管
    请加销售经理微信
    Copyright 2005-2020 迅恒 版权所有   公司地址:广州市天河区中山大道中路77号  广州机房:较长西路21号广州电信超级信息港 香港机房:香港新界葵涌葵丰街钟意恒胜中心  粤公网安备44010602002183