Как проверить сертификаты безопасной загрузки

Затронутые операционные системы:

• Windows 11
• Windows 10

Сертификаты безопасной загрузки можно проверить в PowerShell с помощью командлета. Во избежание проблем с доступом необходимо запустить PowerShell от имени администратора.

Существует два способа.

• Способ 1
  • Проверьте активную базу данных:
    • Введите ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
      Примечание. Активная база данных — это то, что компьютер использует для загрузки.
    Это сертификаты, которые операционная система использует для безопасной загрузки компьютера.
    В этом примере показана проблема, когда сертификат CA 2023 UEFI Windows отсутствует в активной базе данных:
    

• • Проверьте базу данных по умолчанию:
    • Введите ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
    Этот пример показывает, что сертификат CA Windows UEFI 2023 присутствует в базе данных по умолчанию:
    
• Способ 2
  Примечание. Для установки модуля PowerShell требуется подключение к Интернету.
  • Установите модуль PowerShell
    • Введите Install-Module -Name UEFIv2
      • Введите Y (если ответ — да) на вопросы об установке поставщика NuGet и установке из PSGallery
    • Введите Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
    • Введите Import-Module -Name UEFIv2
  • Проверка активной базы данных:
    • Введите (Get-UEFISecureBootCerts db).signature
      Примечание. Активная база данных — это то, что компьютер использует для загрузки. Это сертификаты, которые операционная система использует для безопасной загрузки компьютера.
    В этом примере показаны только сертификаты 2011 (CA) в активной базе данных.
    
  • Проверьте базу данных по умолчанию:
    • Введите (Get-UEFISecureBootCerts dbdefault).signature
      Примечание. База данных по умолчанию — это резервная копия базы данных безопасной загрузки. Это сертификаты, которые используются для перезаписи активной базы данных при запросе BIOS (в режиме экспертного ключа или в режиме сброса BIOS). См. Как обновить активную базу данных безопасной загрузки из BIOS.
    В этом примере показаны сертификаты 2011 и 2023 (CA) в базе данных по умолчанию:
    

  Сертификаты безопасной загрузки:

  Сертификаты 2011 (CA)	Сертификаты 2023 (CA)
  Microsoft Corporation KEK CA 2011	Microsoft Corporation KEK 2K CA 2023
  Microsoft Windows Production PCA 2011	Windows UEFI CA 2023
  Microsoft Corporation UEFI CA 2011	Microsoft UEFI CA 2023
  	Microsoft Option ROM UEFI CA 2023

  Примечание. Не все сертификаты отображаются на каждом сертификате. Важными сертификатами для загрузки Windows являются Microsoft Windows Production PCA 2011 и Windows UEFI CA 2023.

  Дополнительные сведения об обновлении сертификата безопасной загрузки на компьютерах Dell см. в статье Истечение срока действия сертификата безопасной загрузки Microsoft 2011.