装机U盘突然进不去，多半不是盘坏了：微软换掉了15年的锁

源自86位全网作者

08:31

双11这轮涨价潮里，主板几乎是唯一下跌的品类。不少人趁收官把清仓板、二手板、去年型号的老板子淘回了家。什么值得买

配件到齐，插上那只用了三年的U盘装系统。屏幕蓝了一下，或者蹦出一句"无效签名"“拒绝访问”，又被弹回启动菜单。换一只盘，一样。把同一只盘插回旧电脑，一切正常。电脑爱好者电脑技术分享

先别怀疑U盘，也别急着找商家。

那把用了15年的钥匙，10月19日到期了

微软给Windows启动文件签名用的那套2011年证书，今年全部到期：两张在6月，最后一张Microsoft Windows Production PCA 2011在10月19日。接班的是2023版一整套——Windows UEFI CA 2023管启动管理器，Microsoft UEFI CA 2023管第三方引导程序和EFI应用，KEK也换成了2K CA 2023。知乎电脑技术分享

关键动作不是"到期"，是拉黑：从今年5月那轮更新起，新固件开始把旧证书写进DBX撤销列表。旧钥匙插新锁，门不开。电脑爱好者

而你那只老PE、那个老系统镜像，手里只有旧钥匙。

会在两个时刻撞上它

装机时：UEFI启动直接蓝屏黑屏，或报"启动失败"“签名无效”，或选中U盘又被弹回菜单，或来一句"意外错误，无法加载应用"。共同特征是只在新机器上犯。电脑技术分享

装完后：Windows安全中心里"安全启动"挂着黄标或红标。机器照样能用，但拿不到启动管理器、证书数据库和吊销列表的更新，也拿不到启动链漏洞的修复。2023年那个能绕过Secure Boot的BlackLotus（CVE-2023-24932），靠的就是旧引导程序。知乎易数数据恢复

定心丸先给：微软明确说，没拿到新证书的电脑"仍然可以正常启动和运行"，Windows更新照常安装。这是安全账，不是可用性账。知乎华硕服务

两分钟自查

先看颜色。Windows安全中心 → 设备安全性 → 安全启动，绿黄红三种标识对应不同状态。华硕服务

微软给每种状态都配了一句原文文案，照着对号入座就行。知乎

“所有必需的证书更新都已应用”——齐了
“较老的启动信任配置”——会自己推，装完待更新重启
“受已知问题影响”——微软暂停了你这台的推送
“硬件或固件限制”——得找主板厂或整机厂
“无法再接收所需更新”——还在用过期证书

压根没有"安全启动"这一栏，说明是传统BIOS、Secure Boot关着，或者绕过硬件限制装的Win11。知乎

再敲命令，管理员PowerShell两行：

Confirm-SecureBootUEFI

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’

第二行返回True就是有了。查KEK把引号里换成Microsoft Corporation KEK 2K CA 2023。易数数据恢复华硕服务

不想敲命令，DiskGenius免费版"工具 → 设置UEFI BIOS启动项 → 查看安全启动证书"，翻db列表也一样。易数数据恢复

怎么补

Win11：别暂停更新，联网等。微软按"高置信度设备"分组推送，每月刷两次数据，9月的KB5124008扩大了范围，你这台可能要等几周。知乎

过程会重启几次，C:Windows下多出一个SecureBoot文件夹——只认安全中心那个绿勾。知乎

主板：刷最新BIOS，或进BIOS把安全启动密钥"清除→恢复默认"，主板厂的官方口径就是这两条。2024年下半年之后出厂的机器多数已预置新证书。华硕服务易数数据恢复

Win10：只有订阅ESU才推证书。消费者ESU已延长到2027年10月12日，设置里就能订。第三方安全软件碰不到固件层，替不了这一步。知乎简明科学指南知乎

装机U盘：换成支持"双证书/双EFI"的新版PE，一套内核配两把钥匙，而不是塞两份内核白白吃掉4G。判断一个镜像认不认新锁，看WindowsBoot下有没有EFI_EX目录，别看版本号——有些打了补丁的Win10 LTSC反而有，有些看着挺新的版本没有。开机跳出两个引导项时，先试旧的，不行换新的。电脑技术分享电脑爱好者