Surface 安全開機憑證

Applies To

Surface Pro Surface Laptop Surface Go Surface Studio Surface Book Surface Hub Windows Dev Kit 2023

安全開機是整合可延伸韌體介面 (UEFI) 型韌體中的安全性功能，可協助確保只有受信任的軟體在裝置開機期間執行， (啟動) 順序。其運作方式是根據儲存在裝置韌體中的一組受信任數位憑證 (也稱為憑證授權單位或 CA) 驗證預先啟動軟體的數位簽章。 UEFI 安全開機是業界標準，定義平台韌體如何管理憑證、驗證韌體，以及作業系統 (作業系統) 如何與此程序介面。

即將於 2026 年到期的 Windows 安全開機憑證

為了協助保護您的 Windows 裝置安全，Microsoft 正在更新安全開機所使用的憑證，這是一項安全性功能，可協助在啟動期間保護您的裝置不受惡意程式碼攻擊。這些憑證最初於 2011 年頒發，將於 2026 年 6 月開始到期。若要保持受到保護，您的裝置必須在那之前收到一組較新的 2023 年安全開機憑證。對大部分使用者而言，不需要使用者動作，Windows 匯報會自動提供所需的更新。

是否已成功套用更新可以透過 Windows 安全性應用程式驗證，如 Windows 安全性應用程式中的安全開機憑證更新狀態中所述。組織中的 IT 專業人員也可以透過 PowerShell 偵測指令碼驗證受管理裝置的狀態。

這對 Surface 裝置有何影響？

2024 年及更新版本發行的所有 Surface 裝置都有更新的 UEFI 安全開機簽章資料庫 (DB) ，其中包含較新的 2023 年安全開機憑證。對於舊版 Surface 裝置，如果您不想等待透過 Window Update 自動傳遞所需的更新，且這些裝置已有 IT 管理的更新，有幾種部署方法可供使用：

·Microsoft Intune 方法

· 登錄機碼方法

·群組原則物件 (GPO) 方法

某些 Surface 裝置也可以透過其 UEFI 部署這些安全開機更新，但這需要其他步驟和使用者介入。下表顯示哪些裝置已準備好這些更新以供手動部署，但這樣做會觸發 BitLocker 復原案例，因此如果您執行下列步驟，請確保您的 BitLocker 修復金鑰可用：

1. 按住音量調高和電源，開機進入 UEFI 韌體設定選單

2. 移至 [ 安全性 ] 區段，然後在 [安全開機] 下，按一下 [變更設定] 按鈕

3. 在下拉式功能表中選擇“僅 Microsoft”，然後選擇“確定”

4. 在設定選單的左側， 選擇退出選項 ，然後選擇「立即重新啟動」

無論使用何種方法來更新安全開機憑證， (下表中的所有 Surface 裝置，以及 2024 年及更新版本發行的裝置，) 都有需要這些憑證的Microsoft提供的更新復原映像。

產品名稱	具有可用安全開機更新的最低 UEFI 版本
Surface Hub 3¹	6.104.143.0
Surface Go 4	8.200.143.0
Surface Laptop Go 3	10.200.143.0
Surface Laptop Studio 2	16.200.143.0
Surface Laptop 5	9.200.143.0
Surface Pro 9	12.200.143.0
Surface Pro 9 具有 5G	18.7.235.0
Windows 開發套件 2023	12.6.235.0
Surface Studio 2+	20.101.143.0
Surface Laptop Go 2	26.102.143.0
Surface Laptop SE	7.9.139.0
Surface Pro X WiFi	10.703.140.0
Surface Go 3	11.200.143.0
Surface Pro 8	23.200.143.0
Surface Laptop Studio	23.200.143.0
Surface Laptop 4 (Intel)	23.200.143.0
Surface Laptop 4 (AMD)	4.200.140.0
Surface Pro 7+	23.200.143.0
Surface Pro 7	17.200.140.0
Surface Book 3	17.200.140.0