Câu hỏi thường gặp về quy trình cập nhật Khởi động an toàn

Sau khi chứng chỉ Khởi động an toàn hết hạn, các thiết bị chưa nhận được chứng chỉ năm 2023 mới hơn sẽ tiếp tục khởi động và hoạt động bình thường, đồng thời các bản cập nhật Windows tiêu chuẩn sẽ tiếp tục cài đặt. Tuy nhiên, các thiết bị này sẽ không còn có thể nhận được các biện pháp bảo vệ bảo mật mới cho quá trình khởi động sớm, bao gồm các bản cập nhật cho Windows Boot Manager, cơ sở dữ liệu Khởi động an toàn, danh sách thu hồi hoặc các biện pháp giảm nhẹ cho các lỗ hổng ở cấp độ khởi động mới được phát hiện.

Theo thời gian, điều này sẽ giới hạn khả năng bảo vệ của thiết bị trước các mối đe dọa mới xuất hiện và có thể ảnh hưởng đến các tình huống dựa vào độ tin cậy của Secure Boot, chẳng hạn như tính năng tăng cường BitLocker hoặc bộ nạp khởi động của bên thứ ba. Hầu hết các thiết bị Windows sẽ tự động nhận được các chứng chỉ đã cập nhật và nhiều OEM đã cung cấp các bản cập nhật vi chương trình khi cần. Duy trì cập nhật cho thiết bị của bạn với các bản cập nhật này sẽ giúp đảm bảo thiết bị có thể tiếp tục nhận được toàn bộ bảo vệ bảo mật mà Khởi động an toàn được thiết kế để cung cấp.

Tốt nhất nên cập nhật chứng chỉ Khởi động an toàn trước ngày hết hạn tháng 6 năm 2026.

Nếu thiết bị của bạn được Microsoft quản lý và chia sẻ dữ liệu chẩn đoán với Microsoft, thì Microsoft sẽ cố gắng tự động cập nhật chứng chỉ Khởi động an toàn trong hầu hết các trường hợp. Mặc dù Microsoft sẽ cố gắng hết sức để cập nhật tính năng Khởi động an toàn, nhưng sẽ có một số tình huống bản cập nhật không được đảm bảo áp dụng và sẽ cần khách hàng xử lý. Khách hàng chịu trách nhiệm cuối cùng về việc cập nhật chứng chỉ Khởi động an toàn.

Ví dụ về các tình huống mà các thiết bị do Microsoft quản lý đã bật dữ liệu chẩn đoán có thể không nhận được bản cập nhật bao gồm:

• Các bản cập nhật Khởi động an toàn của Microsoft chỉ áp dụng cho một số phiên bản Windows đang được hỗ trợ.
• Dữ liệu chẩn đoán được bật trên thiết bị của bạn có thể bị tường lửa trong tổ chức của bạn chặn và không tiếp cận được Microsoft.
• Có thể đã xảy ra lỗi với vi chương trình trên thiết bị.

Lưu ý "Được quản lý bởi Microsoft" nghĩa là gì? Hệ thống chia sẻ dữ liệu chẩn đoán và được quản lý bởi Microsoft Cloud hoặc Intune.

Nếu thiết bị của bạn không chia sẻ dữ liệu chẩn đoán với Microsoft và được bộ phận CNTT trong tổ chức của bạn hoặc khách hàng quản lý, thì bộ phận CNTT có thể cập nhật các hệ thống theo hướng dẫn của Microsoft trong việc hết hạn chứng chỉ Khởi động an toàn Windows và các bản cập nhật CA.

Nếu máy tính được quản lý bởi Microsoft, chứng chỉ Khởi động an toàn được cập nhật thông qua Windows Update.

Nếu máy tính được quản lý bởi người quản trị CNTT của tổ chức hoặc doanh nghiệp của bạn, thì bộ phận CNTT có các phương pháp cập nhật hệ thống bằng cách sử dụng hướng dẫn trong quá hạn chứng chỉ Khởi động an toàn của Windows và các bản cập nhật CA.

Hỗ trợ dành cho Windows 10 sẽ kết thúc vào ngày 14 tháng 10 năm 2025. Để biết thêm thông tin, hãy xem hỗ trợ Windows 10 sẽ kết thúc vào ngày 14 tháng 10 năm 2025.

Để tiếp tục nhận được các bản Cập nhật bảo mật sau ngày này, những khách hàng còn lại trên Windows 10 có thể đăng ký:

• Chương trình Cập nhật Bảo mật Mở rộng (ESU) của Windows 10, hãy xem Chương trình Cập nhật Bảo mật Mở rộng (ESU) của Windows 10
• Hoặc nếu bạn có phiên bản LTSC được hỗ trợ của Windows 10, phiên bản này sẽ tiếp tục nhận được các Bản Cập nhật bảo mật cho đến ngày hết hạn LTSC. Ví dụ: xem chương trình Cập nhật Bảo mật Mở rộng (ESU) cho Windows 10

Ghi chú

• Windows 10 Enterprise LTSC có sẵn để mua dưới dạng SKU độc lập hoặc một phần của đăng ký Windows Enterprise E3.
• Windows IoT Enterprise LTSC có thể được mua trực tiếp từ một OEM hoặc thông qua Giấy phép của Nhà cung cấp dưới dạng SKU độc lập.

Chứng chỉ Khởi động an toàn cho phép vi chương trình xác minh rằng các thành phần quan trọng—chẳng hạn như trình quản lý khởi động, ROM tùy chọn (trình điều khiển chương trình cơ sở) và phần mềm dựa trên chương trình cơ sở khác—được tin cậy và chưa bị giả mạo. Microsoft sử dụng những chứng chỉ này để ký các trình quản lý khởi động và các cấu phần khác đáng tin cậy, cũng như các bản cập nhật Khởi động an toàn. Khi các chứng chỉ cũ hơn hết hạn, chúng không còn được dùng để ký các cấu phần hoặc bản cập nhật mới.

Các thiết bị bị tắt tính năng Khởi động an toàn sẽ không nhận được chứng chỉ Khởi động an toàn mới trong chương trình cơ sở. Do đó, chúng sẽ vẫn dễ bị tấn công bởi phần mềm độc hại cấp khởi động, chẳng hạn như bộ khởi động, vì các biện pháp bảo vệ Khởi động an toàn không được thực thi.

Đối với các thiết bị đủ điều kiện—chẳng hạn như những thiết bị nhận bản cập nhật tích lũy thông qua triển khai dựa trên sự tin cậy hoặc đã đăng ký Triển khai Tính năng có Kiểm soát (CFR) với dữ liệu chẩn đoán được bật—Microsoft sẽ cố gắng cập nhật tất cả các chứng chỉ hiện hành. Tuy nhiên, các bản cập nhật này được cung cấp như một mục đích hỗ trợ chứ không phải là sự đảm bảo. Người quản trị CNTT vẫn chịu trách nhiệm đảm bảo toàn bộ đội xe của họ được cập nhật, bằng cách sử dụng CFR tự động của Microsoft và các phương pháp triển khai có tài liệu khác.

Các chứng chỉ đã được tích hợp trong các bản cập nhật tích lũy (LCU) ngày 13 tháng 5 năm 2025 và sau đó. Tuy nhiên, chúng không được áp dụng tự động, các bước bổ sung là bắt buộc. Để biết hướng dẫn triển khai, hãy xem https://aka.ms/getsecureboot.

Chúng phục vụ các mục đích khác nhau.

Các bản cập nhật vi chương trình có thể cập nhật các biến Khởi động an toàn mặc định được lưu trữ trong vi chương trình. Điều này chủ yếu hữu ích nếu sau này cài đặt Khởi động an toàn được đặt lại về mặc định vì vi chương trình mặc định xác định chứng chỉ nào được khôi phục trong trường hợp đó.

Windows áp dụng các thay đổi cho các biến Khởi động an toàn hiện hoạt được thực thi trong quá trình khởi động bình thường. Các biến hiện hoạt này là những gì vi chương trình sử dụng để xác thực các cấu phần khởi động và những gì Windows dựa vào để cung cấp các biện pháp bảo vệ Khởi động an toàn trong tương lai.

Trên thực tế, Windows chịu trách nhiệm giữ cho cấu hình Khởi động an toàn hoạt động luôn cập nhật. Các bản cập nhật vi chương trình giúp đảm bảo rằng các giá trị mặc định cũng được cập nhật, giúp giảm rủi ro nếu Khởi động an toàn được đặt lại hoặc khởi tạo lại trong tương lai.

Quản trị viên nên đảm bảo rằng các biến Khởi động an toàn hiện hoạt được cập nhật và theo dõi trạng thái triển khai, bất kể có bản cập nhật vi chương trình hay không.

Có hai cách có thể xảy ra:

• Nếu máy tính được Microsoft quản lý với dữ liệu chẩn đoán được chia sẻ và hệ điều hành được hỗ trợ, Microsoft sẽ cố gắng cập nhật.
• Nếu thiết bị được khách hàng quản lý hoặc được quản lý bởi người quản trị CNTT, thì bộ phận CNTT có thể áp dụng các bản cập nhật trên bộ máy tính đã được xác thực có thể thực hiện các bản cập nhật một cách an toàn theo hướng dẫn của Microsoft trong quá trình hết hạn chứng chỉ Khởi động an toàn Windows và các bản cập nhật CA.

Các bước này dự kiến sẽ giải quyết được hầu hết khách hàng mà không cần cập nhật Vi chương trình từ OEM. Tuy nhiên, sẽ có những trường hợp nhất định mà các bản cập nhật không áp dụng do các sự cố đã biết hoặc chưa xác định trong chương trình cơ sở của thiết bị. Trong những trường hợp như vậy, hãy làm theo hướng dẫn của OEM về các bản cập nhật vi chương trình.

Lưu ý Quy trình trên áp dụng các biến hoạt động khởi động an toàn thông qua hệ điều hành. Các giá trị mặc định của chương trình cơ sở khởi động an toàn được duy trì trong Chương trình cơ sở do OEM phát hành. Hướng dẫn là không được thay đổi hoặc cập nhật cấu hình Khởi động an toàn trừ khi OEM đã phát hành bản cập nhật để thay đổi mặc định của Vi chương trình đối với các chứng chỉ mới.

Nếu chứng chỉ hết hạn, tính năng bảo vệ Khởi động an toàn sẽ bị giảm bớt. Nếu hệ thống đáp ứng các yêu cầu đối với hệ điều hành mới hơn như Windows 11, bạn có thể nâng cấp lên phiên bản HĐH mới hơn của Windows 11.

Nếu Khởi động an toàn không được bật trên thiết bị Windows 10 LTSC của bạn, các thiết bị này sẽ không được bao gồm trong bản triển khai hiện tại cho chứng chỉ Khởi động an toàn mới. Khi bạn bắt đầu nâng cấp lên Windows 11 LTSC, bạn sẽ cần làm theo các bước di chuyển cụ thể có liên quan tại thời điểm đó để đảm bảo các chứng chỉ 2023 mới được tích hợp.

Chỉ các phiên bản HĐH Windows được hỗ trợ mới nhận được chứng chỉ.

Đối với Windows chạy trong môi trường ảo, có hai phương pháp để thêm chứng chỉ mới vào các biến vi chương trình Khởi động an toàn:

• Người tạo ra môi trường ảo (AWS, Azure, Hyper-V, VMware, v.v.) có thể cung cấp bản cập nhật cho môi trường và bao gồm các chứng chỉ mới trong chương trình cơ sở ảo hóa. Điều này sẽ hoạt động với các thiết bị ảo hóa mới.
• Đối với Windows chạy trong thời gian dài trong máy ảo, các bản cập nhật có thể được áp dụng thông qua Windows như bất kỳ thiết bị nào khác, nếu chương trình cơ sở ảo hóa hỗ trợ các bản cập nhật Khởi động an toàn.

Các môi trường do Khách hàng/CNTT quản lý này thường thiếu dữ liệu chẩn đoán đầy đủ để Microsoft có thể tự tin và an toàn triển khai các tính năng mới. Ngoài ra, các bộ phận CNTT thường thích duy trì quyền kiểm soát hoàn toàn đối với thời gian và nội dung cập nhật để đảm bảo tuân thủ, ổn định và tương thích với các công cụ và quy trình làm việc nội bộ. Nhiều thiết bị doanh nghiệp cũng hoạt động trong môi trường nhạy cảm hoặc hạn chế, nơi việc truy cập hoặc quản lý bên ngoài—được ngụ ý bởi CFR—có thể không mong muốn hoặc bị cấm.

Nếu Windows đang sử dụng trình quản lý khởi động được ký năm 2023 nhưng vi chương trình đã được đặt lại về mặc định không bao gồm chứng chỉ Windows UEFI CA 2023, thì Khởi động an toàn sẽ chặn quá trình khởi động.

Để khắc phục vấn đề này, bạn cần áp dụng lại chứng chỉ 2023 cho DB của chương trình cơ sở bằng cách sử dụng ứng dụng khôi phục. Điều này được thực hiện bằng cách tạo một USB khôi phục, sau đó khởi động thiết bị bị ảnh hưởng từ USB đó để khôi phục chứng chỉ bị thiếu.

Để biết hướng dẫn từng bước, hãy xem hướng dẫn chính thức của Microsoft về việc cập nhật phương tiện cài đặt Windows.

Có. Các bản cập nhật tích lũy có chứa chứng chỉ Khởi động an toàn mới vẫn có thể được áp dụng ngay cả khi chứng chỉ hiện có đã hết hạn. Nếu thiết bị có thể khởi động Windows và cài đặt các bản cập nhật, chứng chỉ cập nhật có thể được ghi vào chương trình cơ sở bằng cách làm theo hướng dẫn triển khai đã phát hành. Hầu hết các thiết bị sẽ tự động nhận được các bản cập nhật này, nhưng một số hệ thống có thể yêu cầu các bản cập nhật vi chương trình bổ sung.