如果您的电脑机龄超过两年，您的 Windows 安全启动（Secure Boot）证书将于 2026 年 6 月 过期。届时您将停止接收安全启动更新，这最终可能导致启动问题。虽然微软正通过 Windows 更新逐步部署新证书，但您可以遵循本指南立即更新安全启动证书，从而避免分阶段推送带来的不确定性。

什么是安全启动证书？

PC UEFI 中的“安全启动”功能确保电脑仅使用来自受信任制造商的数字签名软件进行启动。此认证过程包含多个步骤，其中第一步也是最关键的一步，就是在执行任何代码之前，使用公钥证书来识别受信任的软件制造商。

Windows 安全启动证书

为此，您电脑的 UEFI 固件持有一份制造商证书列表，这些证书本质上相当于“身份证”，用于确认软件来源可靠。这有助于防范 bootkit 和 rootkit 等恶意软件，因为如果没有注册制造商的证书，此类恶意软件将无法运行。

为什么需要更新至最新的安全启动证书？

安全启动证书与其他证书一样，都有有效期。2024 年之前生产的大多数电脑使用的是 Microsoft Corporation UEFI CA 2011 证书，该证书将于 2026 年 6 月过期。一旦过期，您的电脑将无法接收 Windows 启动管理器（Windows Boot Manager）的更新，使您的电脑容易受到新威胁的攻击。此外，您在使用带有新证书签名的最新硬件时也会遇到困难。

您需要更新至最新的 Windows UEFI CA 2023 证书。事实上，微软正在与 OEM 厂商合作，通过 Windows 更新激活这些证书。然而，您可能希望立即手动激活这些证书，原因如下：

• 无法保证自动推送：微软不能保证在过期前会在您的特定电脑上激活证书。自动部署基于设备的重要性排序，您可能需要等待数月（甚至可能永远不会自动激活）。
• 防范 BlackLotus 攻击：旧的 2011 证书易受 BlackLotus bootkit 攻击，该恶意软件可绕过安全启动。立即更新可即刻获得安全防护。
• 更新策略控制：如果您的电脑禁用了 Windows 更新，或者您更喜欢自行管理更新，则需要手动更新证书。
• 恢复驱动器兼容性：如果在证书更新后创建恢复驱动器，它可能无法工作。最好在您可控的时间安装证书，以便及时创建新的恢复驱动器。

虽然不安装最新证书不会导致您无法进入电脑，但这会削弱电脑的安全性，并使未来的硬件升级变得困难。

检查您的电脑是否已运行最新的安全启动证书

微软可能已经在您的特定电脑上激活了证书。您可以运行一个 PowerShell 命令来确认。

在 Windows 搜索栏中输入“powershell”。

右键点击 Windows PowerShell，选择 “以管理员身份运行”。运行以下命令：

1
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

如果输出显示 True，说明您已拥有最新证书，无需进行任何操作。如果输出显示 False，则需要进行更新和激活。

在 Windows 上安装 2023 安全启动证书

Windows UEFI CA 2023 证书很可能已经存在于您的电脑中。微软实际上已通过 Windows 11 2024 年 2 月累积更新 将这些证书添加到所有电脑中，但并未激活它们。如果您的电脑在该更新之后至少更新过一次，请按照以下步骤部署并激活证书：

步骤 1：部署证书
再次以管理员身份打开 PowerShell，并运行以下命令：

1
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

此命令将编辑注册表以部署 2023 证书。命令中的位掩码（Bitmask）0x5944 实际上运行了六条不同的指令，使您的电脑准备好安装 Windows UEFI CA 2023。

步骤 2：激活任务
为了执行上述命令生成的指令，您需要在 PowerShell 中运行以下命令：

1
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

此命令将运行必要的任务，以便 Windows 在下次启动时安装证书（例如检查兼容性或将新证书从 WinSxS 文件夹移动到暂存区）。运行该命令时，您可能会注意到电脑稍有卡顿。

步骤 3：重启电脑（关键步骤）
最重要的步骤是 重启 Windows 两次。

您必须选择 “重启”，而不是“关机”再开机。

如果您启用了“快速启动”，简单的关机不会清除内存，而这些更改需要清除内存才能生效。完成以上步骤后，您的电脑现在将拥有最新的安全启动证书，其有效期将持续到 2038 年。