这个月给 ThinkPad 打补丁，大概率撞上两件怪事：重启次数比平时多，进度条走好几轮；有人开机直接停在 BitLocker 恢复界面，被要求输一串 48 位密钥。
不是中毒，也不是机器坏了。11 月的安全更新 KB5132061 在批量推送 Secure Boot 证书更替——服役十五年的 Windows UEFI CA 2011 已经到期，微软要把 2023 版新证书写进更多设备的主板固件，同时把旧证书加入撤销列表。证书是写在 UEFI 里的，写入和校验得分阶段生效，所以要走两次甚至更多次重启。看到它反复重启，别硬关机。知乎易数数据恢复哔哩哔哩
为什么会弹 BitLocker
BitLocker 加密时会把开机时的安全测量值一起封存，Secure Boot 的证书状态就在里面。固件里的证书一换，第一次开机测出来的值和当初加密时记录的对不上，保护机制就触发了。绝大多数情况只发生这一次：输对恢复密钥进系统，BitLocker 会重新封存新的安全值，之后重启不再提示。知乎
ThinkPad 中招的概率比普通消费本高——商用机和企业批量采购里 BitLocker 默认开着的多，不少人用了三四年都不知道自己的盘是加密的。知乎
更新前先做两件事
一，把恢复密钥找出来。登录微软账户，「设备 - 恢复密钥」页面能查到对应设备的 48 位密钥；也可以翻当年开启加密时存下的 TXT 文件、U 盘或纸质打印版。公司发的 ThinkPad 别自己翻，直接联系 IT，密钥一般由管理员统一管理。知乎
千万别等弹了恢复界面再找，那时候你连系统都进不去。微软官方的说法很直接：没有正确的密钥，没有任何正规方法能绕过 BitLocker 解密。网上那些号称能破解的工具，不是骗子就是带毒。知乎
二，不想被打断就提前暂停保护。管理员身份打开命令提示符：
```
Manage-bde -Protectors -Disable %systemdrive% -RebootCount 2
```
接下来两个重启周期内暂停 BitLocker 启动保护，正好覆盖证书更新需要的重启次数，之后自动恢复。知乎
查一下自己换了没有
管理员 PowerShell 里先跑 `Confirm-SecureBootUEFI` 确认安全启动开着，再执行：
```
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’
```
返回 True 说明 2023 证书已经入库。返回 False 有两条路：走 Windows Update 检查更新，微软在分批推送，最省事；或者去联想官网刷最新 BIOS，较新固件通常已预置 2023 证书，刷的时候务必插电。易数数据恢复
还在 Win10 的老 ThinkPad，这里才是真正的坎
证书是跟着月度安全更新推的，而 Win10 主流支持 2025 年 10 月就结束了，现在靠 ESU 续命。微软今年 6 月把个人 ESU 的截止日又悄悄顺延了一年，新期限推到 2027 年 10 月，已注册的设备自动顺延、不用再做任何操作。知乎泡泡网
还没订阅的现在也能开：设置 → 更新与安全 → Windows 更新 → 立即订阅。登录的微软账户如果在其他设备上做过设置，会自动拿到免费资格，否则用 1000 个 Microsoft Rewards 积分兑换。知乎
最容易误判的一点：装了 360 不等于有补丁。第三方安全软件只能搬运微软公开的 MSU 独立补丁包，修的是系统上层和内核的普通漏洞；它碰不到 UEFI 固件，也碰不到 Secure Boot 信任链。Win10 设备想拿到 2023 新证书，只有订阅 ESU 这一条路。知乎
三件事别做
别为了省事关掉 Secure Boot。换证书的直接动因之一就是 CVE-2023-24932——BlackLotus 是首个在真实环境里绕过 Secure Boot 的 Bootkit，靠降级旧版引导程序在系统启动前植入代码，杀软根本检测不到。关掉它等于拆掉整条启动信任链。易数数据恢复
别手动删 2011 旧证书，过渡期新旧必须共存，删早了依赖旧证书的启动组件会验不过。Linux 双系统的先把发行版更到最新，确认 shim 和 GRUB 是新版再动 Windows 这边。易数数据恢复
顺带说一句二手
这条线正在给二手 ThinkPad 重新划价。T480、T480s 这批 2018 年前后的机型，被玩家公认为 ThinkPad 可升级设计的分水岭。知乎
双内存槽更新 BIOS 后能拉满 32G，M.2 固态随便换，二手两三千就能收一台成色尚可的本体。知乎
再往前的老机器，官方已经装不了 Win11。绕过检查硬装技术上能做，只是微软不为这种机器的兼容性背书。真要硬装，最大的坑还不在 TPM 而在磁盘：MBR 转 GPT 之后必须进 BIOS 把启动模式从 Legacy/CSM 改成纯 UEFI，否则直接黑屏。知乎知乎
不想折腾的就换 Win10 IoT Enterprise LTSC 2021，安全更新给到 2032 年，比普通企业版 LTSC 多出五年。知乎
机器都还能打，只是别再让它裸着开机。
