31
32
Windows 证书即将到期，你的电脑该更新了！
2026-04-13 16:17:40
1点赞
1收藏
0评论
安全启动 (Secure Boot) 有助于确保设备使用受信任的系统和软件启动。所有基于Windows的设备都使用了同一组Microsoft证书，这些2011 年颁发的原始证书将于今年6月起到期。
图片证书过期后有何影响？
✔ 设备仍可启动并正常运行
▲ Windows 更新也将继续安装，但需要更新证书的与启动相关的安全组件除外
❌ 设备无法应用新的安全启动和启动管理器保护
❌ 早期启动环境的漏洞修复将不可用
❌ 某些依赖于安全启动信任的第三方组件需要较新的证书条目时，可能无法更新
我们需要做什么？
为维持开机安全与信任链完整，建议启用安全启动的设备在证书到期前更新2023年新版Microsoft证书（不更新的后果，可以参考上面的3个❌哦）。
大部分设备将自动接收这些更新，某些设备则可能需要固件更新才能正确应用新证书。
如何更新安全启动证书？
方法一
通过Windows Update自动更新
依次点击【开始---设置--- Windows更新---开启“在最新更新可用后立即获取”】，启用安全启动的Windows设备会自动下载并应用新版证书与新的Boot Manager。
图片如何查看安全启动的状态是否开启：
在Windows系统中按下【Win+R】快捷键打开运行窗口，输入【msinfo32】回车，即可查看【安全启动状态】是否启用。
图片
图片方法二
手动更新UEFI BIOS
无法通过Windows Update收到更新的系统可使用此方法更新安全启动证书。
1. 更新BIOS后可能会被提示输入BitLocker恢复密钥以解锁系统
▶️ 点我查看：如何获取BitLocker恢复密钥
因此，建议在更新BIOS前先停用设备加密与标准BitLocker加密，在更新BIOS后再重新启用，以确保数据安全。
▶️ 点我查看：如何停用或启用设备加密与标准BitLocker加密
2. 更新BIOS以取得更新后的安全启动证书
▶️ 点我查看：如何在Windows操作系统环境中更新BIOS
华硕笔记本产品更新安全启动证书
1. 恢复【设置模式】
华硕笔记本开机按【F2】键进入BIOS，依次点选【进阶设置---安全性---安全启动---密钥管理---恢复为设置模式---是】。
图片
图片
图片
图片
图片2. 确认所有UEFI安全启动密钥清除成功
安全启动参数下方的【平台密钥/密钥交换密钥/授权签名….】等各项值均为【0】和【无密钥】。
然后点击上方的【恢复出厂密钥】，点击【是】。
图片
图片3. 此时【平台密钥/密钥交换密钥/授权签名….】等各项值不再是【0】，安全启动密钥更新成功。
分别点击【密钥交换密钥】(Key Exchange Keys) 和【授权签名】(Authorized Signature)，然后点击【详细】，可以查看安全启动密钥的状态及版本。
图片
图片4.【密钥交换密钥】包含【Microsoft Corporation KEK 2K CA 2023】、【授权签名】同时包含【Microsoft UEFI CA 2023】和【Windows UEFI CA 2023】，说明已更新至 2023 年版的 Microsoft 证书。
图片
图片1. 清除安全启动密钥
华硕主板开机按【Del】、台式机/MiniPC开机按【F2】键进入BIOS，依次点选【Advanced---Boot---Secure Boot---Secure Boot Mode---Custom】。
* 不同产品和型号BIOS显示界面可能会有差异
图片依次点击【Key Management---Clear Secure Boot Keys---Yes】，确认所有UEFI安全启动密钥 (PK、KEK、DB、DBX) 清除成功，各项值均为【0】和【无密钥】。
图片
图片
图片
图片2. 安装默认安全启动密钥
依次点击【Install Default Secure Boot Keys---Yes】，确认【PK/KEK/DB/DBX】的【Size/Number of Keys】均不为0，【Key Source】为【Default】，安全启动密钥更新成功。
图片
图片
图片3. 将【Windows UEFI CA 2023】证书应用至Windows Boot Manager
在Windows系统中搜索并以管理员身份运行【PowerShell】。
分别输入【reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f 】回车；
输入【Start-ScheduledTask -TaskName MicrosoftWindowsPISecure-Boot-Update】回车。即可完成Boot Manager的证书更新。
图片4. 确认证书更新成功
回到BIOS，依次点选【Advanced---Boot---Secure Boot---Key Management】，分别点击【KEK Management】和【DB Management】。
图片点击【Delete Keys---No】（注意：此操作是为了显示密钥信息；不要选择【Yes】，【Yes】会删除启动密钥）。
图片
图片确认【KEK Management】包含【Microsoft Corporation KEK 2K CA 2023】、【DB Management】同时包含【Microsoft UEFI CA 2023】和【Windows UEFI CA 2023】，说明已更新证书。
图片图片小A总结
手动更新安全启动密钥的主要步骤：
更新BIOS→清除安全启动密钥
→恢复默认密钥；
自动更新安全启动密钥的步骤：
打开Windows Update自动更新。
