หากคอมพิวเตอร์ของคุณมีอายุมากกว่า 2 ปี ใบรับรอง Windows Secure Boot จะหมดอายุในเดือนมิถุนายน 2569 คุณจะไม่ได้รับการอัปเดต Secure Boot อีกต่อไป และอาจทำให้เกิดปัญหาการบูตในที่สุด แม้ Microsoft จะกำลังปรับใช้ใบรับรองใหม่ผ่าน Windows Update อย่างค่อยเป็นค่อยไป คุณสามารถหลีกเลี่ยงความไม่แน่นอนของการปรับใช้แบบขั้นตอนได้โดยทำตามคำแนะนำนี้เพื่ออัปเดตใบรับรอง Secure Boot ทันที
ใบรับรอง Secure Boot คืออะไร
ฟีเจอร์ Secure Boot ใน UEFI ของคอมพิวเตอร์รับประกันว่าคอมพิวเตอร์จะบูตด้วยซอฟต์แวร์ที่มีลายเซ็นดิจิทัลจากผู้ผลิตที่เชื่อถือได้เท่านั้น กระบวนการรับรองความถูกต้องนี้มีหลายขั้นตอน และขั้นตอนแรกที่สำคัญที่สุดคือการใช้ใบรับรองสาธารณะเพื่อระบุผู้ผลิตซอฟต์แวร์ที่เชื่อถือได้ ก่อนที่จะมีการรันโค้ดแม้แต่บรรทัดเดียว
สำหรับเรื่องนี้ UEFI firmware ของคอมพิวเตอร์เก็บรายการใบรับรองของผู้ผลิตที่ทำงานเหมือน "บัตรประจำตัว" เพื่อยืนยันว่าซอฟต์แวร์มาจากแหล่งที่เชื่อถือได้ นี่ช่วยป้องกัน bootkits และ rootkits เนื่องจากมัลแวร์ประเภทนี้จะไม่ทำงานได้หากไม่มีใบรับรองจากผู้ผลิตที่ลงทะเบียน
ทำไมต้องอัปเดตเป็นใบรับรอง Secure Boot ล่าสุด
ใบรับรอง Secure Boot เหมือนใบรับรองอื่นๆ ทุกประการ มีวันหมดอายุ คอมพิวเตอร์ส่วนใหญ่ที่ผลิตก่อนปี 2567 ใช้ใบรับรอง Microsoft Corporation UEFI CA 2011 ซึ่งหมดอายุในเดือนมิถุนายน 2569 เมื่อหมดอายุแล้ว คอมพิวเตอร์จะไม่ได้รับการอัปเดต Windows Boot Manager ทำให้คอมพิวเตอร์เปราะบางต่อภัยคุกคามใหม่ๆ คุณยังจะมีปัญหาในการใช้ฮาร์ดแวร์ล่าสุดที่ลงนามด้วยใบรับรองใหม่
คุณต้องอัปเดตเป็นใบรับรอง Windows UEFI CA 2023 ล่าสุด จริงๆ แล้ว Microsoft กำลังทำงานกับ OEM เพื่อเปิดใช้งานใบรับรองเหล่านี้ผ่าน Windows Update อยู่แล้ว แต่มีหลายเหตุผลที่คุณอาจต้องการเปิดใช้งานด้วยตนเองทันที ด้านล่างเป็นเหตุผลทั่วไป:
- ไม่มีการรับประกันว่า Microsoft จะเปิดใช้งานใบรับรองบนคอมพิวเตอร์เฉพาะของคุณก่อนวันหมดอายุ การปรับใช้แบบอัตโนมัติขึ้นอยู่กับความสำคัญของอุปกรณ์ คุณอาจต้องรอหลายเดือน (หรือไม่ได้เปิดใช้งานเลย)
- ใบรับรอง 2011 เก่ามีช่องโหว่ต่อ bootkit BlackLotus ที่สามารถ繞過 Secure Boot ได้ การอัปเดตทันทีจะให้คุณได้รับการป้องกันทันที
- หาก Windows Update ถูกปิดบนคอมพิวเตอร์ของคุณ หรือคุณชอบจัดการอัปเดตด้วยตนเอง ใบรับรองอาจต้องอัปเดตด้วยตนเอง
- หากคุณมีไดรฟ์กู้คืน (recovery drive) อาจไม่ทำงานหลังอัปเดตใบรับรอง ควรติดตั้งบนเงื่อนไขของคุณเองเพื่อสร้าง recovery drive ใหม่ทันเวลา
แม้คุณจะไม่ถูกล็อกเอาท์จากคอมพิวเตอร์หากไม่ติดตั้งใบรับรองล่าสุด แต่จะสร้างช่องโหว่ด้านความปลอดภัยและทำให้การอัปเกรดฮาร์ดแวร์ในอนาคตยากขึ้น
ตรวจสอบว่าคอมพิวเตอร์ใช้ใบรับรอง Secure Boot ล่าสุดอยู่หรือไม่
มีโอกาสที่ Microsoft อาจเปิดใช้งานใบรับรองบนคอมพิวเตอร์เฉพาะของคุณแล้ว คุณสามารถรันคำสั่ง PowerShell เพื่อยืนยันได้
ค้นหา "powershell" ใน Windows Search คลิกขวาที่ Windows PowerShell และเลือก Run as administrator
รันคำสั่งต่อไปนี้:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
หากผลลัพธ์แสดง True แสดงว่าคุณมีใบรับรองล่าสุดแล้ว และไม่ต้องทำอะไรเพิ่มเติม หากแสดง False คุณจะต้องอัปเดตและเปิดใช้งาน
ติดตั้งใบรับรอง Secure Boot 2023 บน Windows
ใบรับรอง Windows UEFI CA 2023 น่าจะอยู่บนคอมพิวเตอร์ของคุณแล้ว Microsoft เพิ่มใบรับรองเหล่านี้ให้กับคอมพิวเตอร์ทุกเครื่องผ่าน Windows 11 February 2024 cumulative update แต่ไม่ได้เปิดใช้งาน หากคอมพิวเตอร์ของคุณอัปเดตอย่างน้อย 1 ครั้งหลังจากอัปเดต Windows 11 เดือนกุมภาพันธ์ คุณสามารถทำตามขั้นตอนเหล่านี้เพื่อปรับใช้และเปิดใช้งานใบรับรอง:
เปิด PowerShell เป็น administrator อีกครั้งและรันคำสั่งต่อไปนี้:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
คำสั่งนี้จะแก้ไข Registry เพื่อปรับใช้ใบรับรอง 2023 0x5944 Bitmask ในคำสั่งนี้จะรันคำแนะนำ 6 รายการที่แตกต่างกันเพื่อทำให้คอมพิวเตอร์พร้อมติดตั้ง Windows UEFI CA 2023
ตอนนี้ เพื่อเปิดใช้งานคำแนะนำที่คำสั่งข้างต้นทำ คุณต้องรันคำสั่งต่อไปนี้ใน PowerShell:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"คำสั่งนี้จะรันงานที่จำเป็นสำหรับ Windows เพื่อติดตั้งใบรับรองในการบูตครั้งต่อไป เช่น ตรวจสอบความเข้ากันได้ หรือย้ายใบรับรองใหม่จากโฟลเดอร์ WinSxS ไปยังพื้นที่สเตจ คุณอาจสังเกตเห็นว่าคอมพิวเตอร์ค้างเล็กน้อยขณะรันคำสั่ง
ขั้นตอนสำคัญที่สุดคือ รีสตาร์ท Windows 2 ครั้ง คุณต้องรีสตาร์ทคอมพิวเตอร์ ไม่ใช่ปิดเครื่องและเปิดใหม่ หากคุณเปิด Fast Startup การปิดเครื่องแบบปกติจะไม่เคลียร์หน่วยความจำ ซึ่งจำเป็นสำหรับการเปลี่ยนแปลงเหล่านี้ให้มีผล
เสร็จแล้ว คอมพิวเตอร์ของคุณจะมีใบรับรอง Secure Boot ล่าสุดที่จะใช้ได้จนถึงปี 2581 แม้คุณไม่ควรเจอปัญหา แต่หากมี ให้ทำตามขั้นตอนในคู่มือเหล่านี้เพื่อแก้ไขปัญหา Windows ไม่เริ่มทำงาน และแก้ไข infinite reboot loop
