دليل استكشاف أخطاء التمهيد الآمن وإصلاحها

عندما لا تظهر تحديثات التمهيد الآمن أي تقدم، فهذا يعني عادة أن عملية التحديث لم تبدأ أبدا. ونتيجة لذلك، تكون قيم سجل Secure Boot المتوقعة وسجلات الأحداث مفقودة لأن آلية التحديث لم يتم تشغيلها أبدا.

ماذا حدث

لم تبدأ عملية تحديث التمهيد الآمن، لذلك لم يتم تطبيق شهادات التمهيد الآمن أو مدير التمهيد المحدث على الجهاز.

كيفية التعرف عليه

• لا توجد قيم سجل خدمة التمهيد الآمن، مثل UEFICA2023Status.

• أحداث التمهيد الآمن المتوقعة (على سبيل المثال، 1043، 1044، 1045، 1799، 1801) مفقودة من سجل أحداث النظام.

• يستمر الجهاز في استخدام شهادات التمهيد الآمن القديمة ومكونات التمهيد.

لماذا يحدث ذلك

يحدث هذا السيناريو عادة عندما يكون واحد أو أكثر من الشروط التالية صحيحا:

• تم تعطيل المهمة المجدولة Secure-Boot-Update أو فقدانها.

• تم تعطيل التمهيد الآمن في البرنامج الثابت UEFI.

• لا يفي الجهاز بالمتطلبات الأساسية لخدمة Windows، مثل تشغيل إصدار Windows مدعوم أو تثبيت التحديثات المطلوبة.

ما يجب فعله بعد ذلك

• تحقق من أن الجهاز يفي بمتطلبات خدمة Windows وأهلية النظام الأساسي.

• تأكد من تمكين Secure Boot في البرامج الثابتة.

• تأكد من وجود مهمة SecureBootUpdate المجدولة وتمكينها.

إذا تم تعطيل المهمة المجدولة أو فقدانها، فاتبع الإرشادات الواردة في مهمة التمهيد الآمن المجدولة معطلة أو محذوفة لاستعادتها. بعد استعادة المهمة، أعد تشغيل الجهاز أو قم بتشغيل المهمة يدويا لبدء خدمة التمهيد الآمن.

في بعض الحالات، يمكن أن تتسبب التحديثات المتعلقة بالتمهيد الآمن في إدخال جهاز استرداد BitLocker. يمكن أن يكون السلوك عابرا أو ثابتا، اعتمادا على السبب الأساسي.

السيناريو 1: استرداد BitLocker مرة واحدة بعد تحديث التمهيد الآمن

ماذا يحدث

يدخل الجهاز استرداد BitLocker في التمهيد الأول بعد تحديث التمهيد الآمن، ولكن يتم التمهيد عادة عند إعادة التشغيل اللاحقة.

لماذا يحدث ذلك

أثناء التمهيد الأول بعد التحديث، لا يقوم البرنامج الثابت بعد بالإبلاغ عن قيم التمهيد الآمن المحدثة عندما يحاول Windows إعادة تنسيق BitLocker. يؤدي هذا إلى عدم تطابق مؤقت في قيم التمهيد المقاسة ويشغل الاسترداد. في التمهيد التالي، يقوم البرنامج الثابت بالإبلاغ عن القيم المحدثة بشكل صحيح، وإعادة تنسيق BitLocker بنجاح، ولا تتكرر المشكلة.

كيفية التعرف عليه

• يحدث استرداد BitLocker مرة واحدة.

• بعد إدخال مفتاح الاسترداد، لا تطالب التمهيدات اللاحقة باسترداد البيانات.

• لا يوجد أمر تمهيد مستمر أو مشاركة PXE.

ما يجب فعله بعد ذلك

• أدخل مفتاح استرداد BitLocker لاستئناف Windows.

• تحقق من تحديثات البرامج الثابتة.

السيناريو 2: استرداد BitLocker المتكرر بسبب تكوين التمهيد الأول ل PXE

ماذا يحدث

يدخل الجهاز استرداد BitLocker على كل تمهيد.

لماذا يحدث ذلك

تم تكوين الجهاز لمحاولة تمهيد PXE (الشبكة) أولا. تفشل محاولة تمهيد PXE، ثم يعود البرنامج الثابت إلى مدير تمهيد Windows على القرص.

يؤدي هذا إلى قياس سلطتي توقيع مختلفتين أثناء دورة تمهيد واحدة:

• تم توقيع مسار تمهيد PXE بواسطة Microsoft UEFI CA 2011.

• تم توقيع مدير تمهيد Windows على القرص بواسطة Windows UEFI CA 2023.

نظرا لأن BitLocker يراقب سلاسل ثقة Secure Boot مختلفة أثناء بدء التشغيل، فإنه لا يمكنه إنشاء مجموعة مستقرة من قياسات TPM لإعادة الترسيخ مقابلها. ونتيجة لذلك، يدخل BitLocker في الاسترداد على كل تمهيد.

كيفية التعرف عليه

• يتم تشغيل استرداد BitLocker في كل إعادة تشغيل.

• يسمح إدخال مفتاح الاسترداد ل Windows بالبدء، ولكن تعود المطالبة على التمهيد التالي.

• يتم تكوين PXE أو تمهيد الشبكة قبل القرص المحلي بترتيب تمهيد البرنامج الثابت.

ما يجب فعله بعد ذلك

• قم بتكوين ترتيب تمهيد البرنامج الثابت، بحيث يكون مدير تمهيد Windows على القرص أولا.

• قم بتعطيل تمهيد PXE إذا لم يكن مطلوبا.

• إذا كانت PXE مطلوبة، فتأكد من أن البنية الأساسية ل PXE تستخدم محمل تمهيد Windows موقع 2023.

ماذا حدث

وهذا يعكس تغييرا على مستوى البرنامج الثابت بدلا من مشكلة Windows. تم إكمال تحديث التمهيد الآمن بنجاح، ولكن بعد إعادة التشغيل لاحقا، لم يعد الجهاز يعمل في Windows.

كيفية التعرف عليه

• يفشل الجهاز في بدء تشغيل Windows وقد يعرض رسالة برنامج ثابت أو BIOS تشير إلى انتهاك التمهيد الآمن.

• يحدث الفشل بعد إعادة تعيين إعدادات التمهيد الآمن إلى الإعدادات الافتراضية للبرامج الثابتة.

• قد يسمح تعطيل التمهيد الآمن للجهاز بالتمهيد مرة أخرى.

لماذا يحدث ذلك

تؤدي إعادة تعيين التمهيد الآمن إلى الإعدادات الافتراضية للبرامج الثابتة إلى مسح قواعد بيانات التمهيد الآمن المخزنة في البرامج الثابتة. على الأجهزة التي انتقلت بالفعل إلى مدير التمهيد الموقع من Windows UEFI CA 2023، تزيل إعادة التعيين هذه الشهادات المطلوبة للثقة في مدير التمهيد هذا.

ونتيجة لذلك، لم يعد البرنامج الثابت يتعرف على مدير تمهيد Windows المثبت كموثوق به ويحظر عملية التمهيد.

لا يحدث هذا السيناريو بسبب تحديث التمهيد الآمن نفسه ولكن بسبب إجراء البرنامج الثابت اللاحق الذي يزيل نقاط ارتساء الثقة المحدثة.

ما يجب فعله بعد ذلك

• استخدم الأداة المساعدة استرداد التمهيد الآمن لاستعادة الشهادة المطلوبة، حتى يتمكن الجهاز من التمهيد مرة أخرى.

• بعد الاسترداد، تأكد من أن الجهاز لديه أحدث البرامج الثابتة المتوفرة المثبتة من الشركة المصنعة للجهاز.

• تجنب إعادة تعيين التمهيد الآمن إلى الإعدادات الافتراضية للبرامج الثابتة ما لم يتضمن البرنامج الثابت للشركة المصنعة للمعدات الأصلية الإعدادات الافتراضية للتمهيد الآمن المحدثة التي تثق في شهادات 2023.

الأداة المساعدة لاسترداد التمهيد الآمن

لاسترداد النظام:

1. على كمبيوتر Windows ثان مثبت عليه تحديث Windows في يوليو 2024 أو أحدث، انسخ SecureBootRecovery.efi من C:\Windows\Boot\EFI\.

2. ضع الملف على محرك أقراص USB بتنسيق FAT32 ضمن \EFI\BOOT\ وأعد تسميته إلى bootx64.efi.

3. قم بتمهيد الجهاز المتأثر من محرك أقراص USB واسمح بتشغيل الأداة المساعدة للاسترداد. ستضيف الأداة المساعدة Windows UEFI CA 2023 إلى DB.

بعد استعادة الشهادة وإعادة تشغيل النظام، يجب أن يبدأ Windows بشكل طبيعي.

الهامه: ستقوم هذه العملية بإعادة تطبيق إحدى الشهادات الجديدة فقط. بمجرد استرداد الجهاز، تأكد من أنه يحتوي على أحدث الشهادات التي تمت إعادة تطبيقها، وفكر في تحديث BIOS/UEFI للنظام إلى أحدث إصدار متوفر. يمكن أن يساعد هذا في منع تكرار مشكلة إعادة تعيين التمهيد الآمن، حيث أصدرت العديد من الشركات المصنعة للمشغلات إصلاحات للبرامج الثابتة لهذه المشكلة المحددة.

ماذا حدث

بعد تطبيق تحديث شهادة التمهيد الآمن وإعادة التشغيل، يفشل الجهاز في التمهيد ولا يصل إلى Windows.

كيفية التعرف عليه

• يفشل الجهاز مباشرة بعد إعادة التشغيل المطلوبة بواسطة تحديث التمهيد الآمن.

• قد يتم عرض خطأ في البرنامج الثابت أو التمهيد الآمن، أو يمكن أن يتوقف النظام قبل تحميل Windows.

• قد يسمح تعطيل التمهيد الآمن للجهاز بالتمهيد.

لماذا يحدث ذلك

قد تكون هذه المشكلة ناتجة عن عيب في تنفيذ البرنامج الثابت UEFI للجهاز.

عندما يطبق Windows تحديثات شهادة التمهيد الآمن، من المتوقع أن يقوم البرنامج الثابت بإلحاق شهادات جديدة بقاعدة بيانات التوقيع المسموح بها ل Secure Boot الحالية (DB). تقوم بعض تطبيقات البرامج الثابتة بالكتابة فوق قاعدة البيانات بشكل غير صحيح بدلا من إلحاقها به.

عند حدوث ذلك،

• تتم إزالة الشهادات الموثوق بها سابقا، بما في ذلك شهادة bootloader Microsoft 2011.

• إذا كان النظام لا يزال يستخدم مدير تمهيد موقع مع شهادة 2011 في تلك المرحلة، فلن يثق البرنامج الثابت به.

• يرفض البرنامج الثابت مدير التمهيد ويحظر عملية التمهيد.

في بعض الحالات، قد تصبح قاعدة البيانات أيضا تالفة بدلا من الكتابة فوقها بشكل نظيف، مما يؤدي إلى نفس النتيجة. تمت ملاحظة هذا السلوك على تطبيقات برامج ثابتة محددة ولا يتوقع وجوده على البرامج الثابتة المتوافقة.

ما يجب فعله بعد ذلك

• أدخل قوائم إعداد البرنامج الثابت وحاول إعادة تعيين إعدادات التمهيد الآمن.

• إذا تم تمهيد الجهاز بعد إعادة التعيين، فتحقق من موقع دعم الشركة المصنعة للجهاز للحصول على تحديث البرنامج الثابت الذي يصحح معالجة Secure Boot DB.

• إذا كان تحديث البرنامج الثابت متوفرا، فقم بتثبيته قبل إعادة تمكين التمهيد الآمن وإعادة تطبيق تحديثات شهادة التمهيد الآمن.

إذا لم تقم إعادة تعيين التمهيد الآمن باستعادة وظائف التمهيد، من المحتمل أن يتطلب مزيد من الاسترداد إرشادات خاصة ب OEM.

ماذا حدث

لم يكتمل تحديث شهادة التمهيد الآمن ويظل محظورا في مرحلة تحديث مفتاح Exchange (KEK).

كيفية التعرف عليه

• تظل قيمة التسجيل AvailableUpdates معينة بت KEK (0x0004) ولا يتم مسحها.

• لا يتقدم UEFICA2023Status إلى حالة مكتملة.

• يسجل سجل أحداث النظام معرف الحدث 1803 بشكل متكرر، مما يشير إلى أنه تعذر تطبيق تحديث KEK.

• يستمر الجهاز في إعادة محاولة التحديث دون إحراز تقدم للأمام.

لماذا يحدث ذلك

يتطلب تحديث Secure Boot KEK تخويلا من مفتاح النظام الأساسي (PK) الخاص بالجهاز، والذي تملكه الشركة المصنعة للمعدات الأصلية.

لكي ينجح التحديث، يجب على الشركة المصنعة للجهاز تزويد Microsoft ب KEK موقع من قبل PK لهذا النظام الأساسي المحدد. يتم تضمين KEK الموقع من قبل الشركة المصنعة للمعدات الأصلية (OEM) في تحديثات Windows ويسمح ل Windows بتحديث متغير KEK للبرامج الثابتة.

إذا لم توفر الشركة المصنعة للمعدات الأصلية KEK موقعة من قبل PK للجهاز، فلن يتمكن Windows من إكمال تحديث KEK. في هذه الحالة:

• يتم حظر تحديثات التمهيد الآمن حسب التصميم.

• يتعذر على Windows حل التخويل المفقود.

• يمكن أن يظل الجهاز غير قادر بشكل دائم على إكمال خدمة شهادة التمهيد الآمن.

يمكن أن يحدث هذا على الأجهزة القديمة أو خارج الدعم حيث لم تعد الشركة المصنعة للمعدات الأصلية توفر البرامج الثابتة أو التحديثات الرئيسية. لا يوجد مسار استرداد يدوي مدعوم لهذا الشرط.

الرجوع لأعلى

عند فشل تطبيق تحديثات شهادة التمهيد الآمن، يسجل Windows الأحداث التشخيصية التي تشرح سبب حظر التقدم. تتم كتابة هذه الأحداث عند تحديث قاعدة بيانات توقيع التمهيد الآمن (DB) أو مفتاح Exchange الرئيسي (KEK) لا يمكن إكمالها بأمان بسبب البرامج الثابتة أو حالة النظام الأساسي أو شروط التكوين. تشير السيناريوهات الموجودة في هذا القسم إلى هذه الأحداث لتحديد أنماط الفشل الشائعة وتحديد المعالجة المناسبة. يهدف هذا القسم إلى دعم تشخيص وتفسير المشكلات الموضحة سابقا، وليس لتقديم سيناريوهات فشل جديدة.

للحصول على قائمة كاملة بمعرفات الأحداث والأوصاف وإدخالات المثال، راجع أحداث تحديث متغير التمهيد الآمن DB وDBX (KB5016061).

فشل تحديث KEK (تنجح تحديثات DB، KEK لا)

يمكن للجهاز تحديث الشهادات بنجاح في قاعدة بيانات التمهيد الآمن ولكنه يفشل أثناء تحديث KEK. عند حدوث ذلك، لا يمكن إكمال عملية تحديث التمهيد الآمن.

الأعراض

• تشير أحداث شهادة DB إلى التقدم، ولكن لم تكتمل مرحلة KEK.

• تظل AvailableUpdates معينة إلى 0x4004 ولا يتم مسح بت 0x0004 بعد تشغيل مهام متعددة.

• قد يكون الحدث 1795 أو 1803 موجودا.

تفسير

• يشير 1795 عادة إلى فشل البرنامج الثابت أثناء محاولة تحديث متغير التمهيد الآمن.

• يشير 1803 إلى أنه لا يمكن تخويل تحديث KEK لأن حمولة KEK المطلوبة الموقعة من قبل الشركة المصنعة للمعدات الأصلية (PK) غير متوفرة للنظام الأساسي.

الخطوات التالية

• بالنسبة إلى 1795، تحقق من تحديثات البرامج الثابتة لشركة OEM وتحقق من صحة دعم البرامج الثابتة لتحديثات متغير التمهيد الآمن.

• بالنسبة إلى 1803، تأكد من أن الشركة المصنعة للمعدات الأصلية قد زودت Microsoft ب KEK الموقع من قبل PK المطلوب لنموذج الجهاز.

فشل تحديث KEK على الأجهزة الظاهرية الضيف المستضافة على Hyper-V 

على الأجهزة الظاهرية Hyper-V، تتطلب تحديثات شهادة التمهيد الآمن تثبيت تحديثات Windows لشهر مارس 2026 على كل من مضيف Hyper-V ونظام التشغيل الضيف.

يتم الإبلاغ عن حالات فشل التحديث من داخل الضيف، ولكن الحدث يشير إلى مكان الحاجة إلى المعالجة:

• يشير الحدث 1795 (على سبيل المثال، "الوسائط محمية بالكتابة") الذي تم الإبلاغ عنه في الضيف إلى أن مضيف Hyper-V يفتقد تحديث مارس 2026 ويجب تحديثه.

• يشير الحدث 1803 الذي تم الإبلاغ عنه في الضيف إلى أن الجهاز الظاهري الضيف نفسه يفتقد تحديث مارس 2026 ويجب تحديثه.