Príručka na riešenie problémov s bezpečným spustením

Keď aktualizácie zabezpečeného spustenia nezobrazujú žiadny priebeh, zvyčajne to znamená, že proces aktualizácie sa nikdy nespustil. Výsledkom je, že očakávané hodnoty databázy Registry zabezpečeného spustenia a denníky udalostí chýbajú, pretože mechanizmus aktualizácie sa nikdy nespustil.

Čo sa stalo

Proces aktualizácie zabezpečeného spustenia sa nespustí, preto sa v zariadení nepoužili žiadne certifikáty zabezpečeného spustenia ani aktualizovaný správca spúšťania.

Ako ho rozpoznať

• Nie sú prítomné žiadne hodnoty databázy Registry služby zabezpečeného spustenia, napríklad UEFICA2023Status.

• Očakávané udalosti zabezpečeného spustenia (napríklad 1043, 1044, 1045, 1799, 1801) chýbajú v denníku systémových udalostí.

• Zariadenie naďalej používa staršie certifikáty zabezpečeného spustenia a súčasti spúšťania.

Prečo sa to stane

Tento scenár sa zvyčajne vyskytuje, keď je pravdivá jedna alebo viacero z nasledujúcich podmienok:

• Naplánovaná úloha secure-boot-update je vypnutá alebo chýba.

• Secure Boot is disabled in UEFI firmware.

• Zariadenie nespĺňa požiadavky na údržbu Systému Windows, ako je napríklad spustenie podporovanej verzie Windowsu alebo nainštalované požadované aktualizácie.

Čo ďalej

• Overte, či zariadenie spĺňa požiadavky na servis a platformu Windowsu.

• Potvrďte, že vo firmvéri je zapnuté zabezpečené spustenie.

• Skontrolujte, či naplánovaná úloha SecureBootUpdate existuje a či je povolená.

Ak je naplánovaná úloha vypnutá alebo chýba, postupujte podľa pokynov v časti Plánovaná úloha zabezpečeného spustenia zakázaná alebo odstránená a obnovte ju. Po obnovení úlohy reštartujte zariadenie alebo spustite úlohu manuálne a spustite údržbu zabezpečeného spustenia.

V niektorých prípadoch môžu aktualizácie týkajúce sa zabezpečeného spustenia spôsobiť, že zariadenie prejde na obnovenie šifrovania BitLocker. Správanie môže byť prechodné alebo trvalé, v závislosti od základnej príčiny.

Scenár 1: Obnovenie onetime bitlocker po aktualizácii zabezpečeného spustenia

Čo sa stane

Zariadenie prejde na obnovenie šifrovania BitLocker pri prvom spustení po aktualizácii zabezpečeného spustenia, ale spúšťa sa normálne pri následných reštartoch.

Prečo sa to stane

Počas prvého spustenia po aktualizácii firmvér zatiaľ neoznámi aktualizované hodnoty zabezpečeného spustenia, keď sa Windows pokúsi o opätovné spustenie šifrovania BitLocker. To spôsobuje dočasnú nezhodu v nameraných hodnotách spustenia a spúšťa obnovenie. Pri ďalšom spustení firmvér správne nahlási aktualizované hodnoty, funkcia BitLocker úspešne prehodnotí a problém sa neopakuje.

Ako ho rozpoznať

• Obnovenie šifrovania BitLocker sa vykoná raz.

• Po zadaní kľúča na obnovenie, následné topánky nevyzývajte na obnovenie.

• Nie je prítomná žiadna prebiehajúca objednávka spustenia ani zapojenie PXE.

Čo ďalej

• Ak chcete obnoviť Windows, zadajte kľúč na obnovenie šifrovania BitLocker.

• Vyhľadajte aktualizácie firmvéru.

Scenár 2: Opakované obnovenie šifrovania BitLocker z dôvodu konfigurácie prvého spustenia PXE

Čo sa stane

Zariadenie prejde na obnovenie šifrovania BitLocker pri každom spustení.

Prečo sa to stane

Zariadenie je nakonfigurované tak, aby sa najskôr pokúsilo o spustenie PXE (siete). Pokus o spustenie systému PXE zlyhá a firmvér sa potom vráti späť do správcu spúšťania systému Windows na disku.

Výsledkom je meranie dvoch rôznych podpisovacích orgánov počas jedného cyklu spúšťania:

• Cesta spustenia PXE je podpísaná knižnicou Microsoft UEFI CA 2011.

• Správca spúšťania systému Windows na disku je podpísaný rozhraním Windows UEFI CA 2023.

Keďže funkcia BitLocker počas spúšťania pozoruje rôzne reťazce dôveryhodnosti zabezpečeného spustenia, nemôže vytvoriť stabilnú množinu meraní modulu TPM, proti ktorým by sa znovu priradila. Výsledkom je, že funkcia BitLocker prejde na obnovenie pri každom spustení.

Ako ho rozpoznať

• Obnovenie šifrovania BitLocker sa spustí pri každom reštarte.

• Zadaním kľúča na obnovenie sa windows spustí, ale výzva sa vráti pri ďalšom spustení.

• Spustenie PXE alebo siete je nakonfigurované pred lokálnym diskom v poradí spustenia firmvéru.

Čo ďalej

• Nakonfigurujte poradie spustenia firmvéru tak, aby bol najskôr správca spustenia systému Windows na disku.

• Vypnite spúšťanie PXE, ak to nie je povinné.

• Ak sa vyžaduje PXE, uistite sa, že infraštruktúra PXE používa zavádzací nakladač systému Windows podpísaný 2023.

Čo sa stalo

Odráža to zmenu na úrovni firmvéru namiesto problému s Windowsom. Aktualizácia zabezpečeného spustenia sa úspešne dokončila, ale po neskoršom reštarte sa zariadenie prestane spúšťať do Windowsu.

Ako ho rozpoznať

• Zariadenie nespustí Windows a môže zobraziť firmware alebo BIOS hlásenie označujúce porušenie zabezpečeného spustenia.

• K zlyhaniu dochádza po obnovení nastavení zabezpečeného spustenia na predvolené hodnoty firmvéru.

• Vypnutie zabezpečeného spustenia môže umožniť opätovné spustenie zariadenia.

Prečo sa to stane

Obnovenie predvoleného nastavenia zabezpečeného spustenia firmvéru vymaže databázy zabezpečeného spustenia uložené vo firmvéru. V zariadeniach, ktoré už prešli na správcu spúšťania systému Windows UEFI s podpisom CA 2023, sa týmto resetom odstránia certifikáty potrebné na dôverovanie tomuto správcovi spúšťania.

V dôsledku toho už firmvér nerozpoznáva nainštalovaného správcu spustenia systému Windows ako dôveryhodného a blokuje proces spustenia.

Tento scenár nie je spôsobený samotnou aktualizáciou zabezpečeného spustenia, ale následnou akciou firmvéru, ktorá odstraňuje aktualizované ukotvenia dôveryhodnosti.

Čo ďalej

• Na obnovenie požadovaného certifikátu použite pomôcku na obnovenie zabezpečeného spustenia, aby zariadenie bolo možné spustiť znova.

• Po obnovení skontrolujte, či má zariadenie nainštalovaný najnovší dostupný firmvér od výrobcu zariadenia.

• Nenastavujte predvolené nastavenia zabezpečeného spustenia firmvéru, pokiaľ firmvér OEM neobsahuje aktualizované predvolené hodnoty zabezpečeného spustenia, ktoré sú dôveryhodné pre certifikáty 2023.

Pomôcka na obnovenie zabezpečeného spustenia

Obnovenie systému:

1. V druhom počítači s Windowsom s nainštalovanou aktualizáciou pre Júl 2024 alebo novšou aktualizáciou systému Windows skopírujte súbor SecureBootRecovery.efi z priečinka C:\Windows\Boot\EFI\.

2. Umiestnite súbor na USB kľúč vo formáte FAT32 v časti \EFI\BOOT\ a premenujte ho na bootx64.efi.

3. Spustite ovplyvnené zariadenie z USB kľúča a povoľte spustenie nástroja na obnovenie. Pomôcka pridá windows UEFI CA 2023 do databázy.

Po obnovení certifikátu a reštartovaní systému by sa windows mal spustiť normálne.

Dôležité: Tento proces znova použije len jeden z nových certifikátov. Po obnovení zariadenia sa uistite, že má znova získané najnovšie certifikáty, a zvážte aktualizáciu systému BIOS/UEFI na najnovšiu dostupnú verziu. Môže to pomôcť zabrániť opakovaniu problému s obnovením zabezpečeného spustenia, keďže mnohé OEM vydali opravy firmvéru pre tento konkrétny problém.

Čo sa stalo

Po použití aktualizácie certifikátu zabezpečeného spustenia a reštartovaní sa zariadenie nepodarí spustiť a nedosiahne windows.

Ako ho rozpoznať

• Zariadenie zlyhá ihneď po reštarte požadovanom aktualizáciou zabezpečeného spustenia.

• Môže sa zobraziť chyba firmvéru alebo zabezpečeného spustenia, alebo sa systém môže zastaviť pred načítaním systému Windows.

• Vypnutie zabezpečeného spustenia môže umožniť spustenie zariadenia.

Prečo sa to stane

Tento problém môže spôsobovať chyba implementácie firmvéru UEFI zariadenia.

Keď Systém Windows použije aktualizácie certifikátov zabezpečeného spustenia, očakáva sa, že firmvér pripojí nové certifikáty do existujúcej databázy povolených podpisov zabezpečeného spustenia. Niektoré implementácie firmvéru nesprávne prepíšu databázu namiesto toho, aby sa k nej pripojili.

Keď k tomu dôjde,

• Predtým dôveryhodné certifikáty, vrátane certifikátu zavádzacieho stroja Microsoft 2011, sa odstránia.

• Ak systém stále používa správcu spúšťania, ktorý bol v tom čase podpísaný certifikátom 2011, firmvér mu už nedôveruje.

• Firmvér odmietne správcu spustenia a blokuje proces spustenia.

V niektorých prípadoch sa databáza môže tiež poškodiť, nie prepísať čisto, čo vedie k rovnakému výsledku. Toto správanie bolo pozorované na konkrétnych implementáciách firmvéru a neočakáva sa v kompatibilom firmvéri.

Čo ďalej

• Zadajte ponuky nastavenia firmvéru a pokúste sa obnoviť nastavenia zabezpečeného spustenia.

• Ak sa zariadenie po resetovaní obnoví, skontrolujte na lokalite technickej podpory výrobcu zariadenia aktualizáciu firmvéru, ktorá opravuje spracovanie databázy zabezpečeného spustenia.

• Ak je k dispozícii aktualizácia firmvéru, nainštalujte ju pred opätovným povolením zabezpečeného spustenia a opätovným vykonaním aktualizácií certifikátov zabezpečeného spustenia.

Ak obnovenie funkcie zabezpečeného spustenia neobnoví funkčnosť spustenia, ďalšie obnovenie pravdepodobne vyžaduje sprievodný materiál špecifický pre OEM.

Čo sa stalo

Aktualizácia certifikátu zabezpečeného spustenia sa nedokončila a zostáva blokovaná vo fáze aktualizácie kľúča Exchange (KEK).

Ako ho rozpoznať

• Hodnota databázy Registry AvailableUpdates zostane nastavená s bitom KEK (0x0004) a nevymaže sa.

• Stav UEFICA2023Status neposunie do dokončeného stavu.

• Denník systémových udalostí opakovane zaznamenáva IDENTIFIKÁCIU udalosti 1803, čo znamená, že aktualizáciu KEK sa nepodarilo použiť.

• Zariadenie bude pokračovať v opakovaní aktualizácie bez toho, aby sa dosiahol pokrok vpred.

Prečo sa to stane

Aktualizácia protokolu KEK zabezpečeného spustenia vyžaduje oprávnenie od kľúča platformy zariadenia (PK), ktorý vlastní OEM.

Ak má byť aktualizácia úspešná, výrobca zariadenia musí spoločnosti Microsoft poskytnúť kód KEK podpísaný technológiou PK pre danú konkrétnu platformu. Tento KEK podpísaný OEM je súčasťou aktualizácií Windowsu a umožňuje Windowsu aktualizovať premennú KEK firmvéru.

Ak OEM neposkytol KEK pre zariadenie podpísaný technológiou PK, Windows nemôže dokončiť aktualizáciu KEK. V tomto stave:

• Aktualizácie zabezpečeného spustenia sú predvolene blokované.

• Systém Windows nemôže obísť chýbajúce oprávnenie.

• Zariadenie nemôže natrvalo dokončiť údržbu certifikátu zabezpečeného spustenia.

Môže sa to vyskytnúť v starších alebo nepodporovaných zariadeniach, kde OEM už neposkytuje aktualizácie firmvéru alebo kľúča. Pre túto podmienku neexistuje žiadna podporovaná manuálna cesta obnovenia.

Späť na začiatok

Keď sa aktualizácie certifikátu zabezpečeného spustenia nepoužijú, Windows zaznamená diagnostické udalosti, ktoré vysvetľujú, prečo bol priebeh zablokovaný. Tieto udalosti sa píšu pri aktualizácii databázy podpisu zabezpečeného spustenia (DB) alebo kľúča Exchange kľúčov (KEK) nie je možné bezpečne dokončiť z dôvodu firmvéru, stavu platformy alebo podmienok konfigurácie. Scenáre v tejto časti odkazujú na tieto udalosti, aby identifikovali bežné vzory zlyhania a určili vhodnú nápravu. Táto časť je určená na podporu diagnostiky a interpretácie problémov popísaných vyššie, nie na zavedenie nových scenárov zlyhania.

Úplný zoznam ID udalostí, popisov a vzorových položiek nájdete v témach Secure Boot DB a DBX variable update events (KB5016061).

Zlyhanie aktualizácie KEK (aktualizácie databázy sú úspešné, KEK nie)

Zariadenie môže úspešne aktualizovať certifikáty v databáze zabezpečeného spustenia, ale počas aktualizácie KEK zlyhá. V takom prípade nie je možné dokončiť proces aktualizácie zabezpečeného spustenia.

Príznaky

• Udalosti certifikátu DB označujú priebeh, ale fáza KEK nie je dokončená.

• Funkcia AvailableUpdates zostane nastavená na 0x4004 a 0x0004 bit sa po spustení viacerých úloh nevymaže.

• Udalosť 1795 alebo 1803 môže byť prítomná.

Výklad

• 1795 zvyčajne označuje zlyhanie firmvéru pri pokuse o aktualizáciu premennej zabezpečeného spustenia.

• 1803 označuje, že aktualizáciu KEK nie je možné povoliť, pretože požadovaná údajová časť KEK podpísaná OEM PK nie je pre platformu k dispozícii.

Ďalšie kroky

• Pre rok 1795 skontrolujte aktualizácie firmvéru OEM a overte podporu firmvéru pre aktualizácie premenných zabezpečeného spustenia.

• V roku 1803 potvrďte, či OEM poskytol spoločnosti Microsoft KEK s podpisom PK požadovaným pre model zariadenia.

Zlyhanie aktualizácie KEK v hosťovských virtuálnych počítačoch hosťovaných v Hyper-V 

Vo virtuálnych počítačoch Hyper-V vyžadujú aktualizácie certifikátov zabezpečeného spustenia aktualizácie windowsu z marca 2026, ktoré sa majú nainštalovať do hostiteľa Hyper-V aj hosťovského OS.

Zlyhania aktualizácie sa hlásia v rámci hosťa, ale udalosť označuje, kde sa vyžaduje náprava:

• Udalosť 1795 (napríklad "The media is write-protected" (Médiá sú chránené proti zápisu) hlásená v hosťe označuje, že hostiteľ Hyper-V chýba v aktualizácii z marca 2026 a musí sa aktualizovať.

• Udalosť 1803 hlásená u hosťa označuje, že samotný virtuálny počítač hosťa chýba v aktualizácii z marca 2026 a musí byť aktualizovaný.