Cum să afli dacă PC-ul tău are activat Secure Boot

¿Cum știu dacă PC-ul meu are activat Secure Boot? Dacă folosești Windows 10 sau Windows 11 și te întrebi Cum să afli dacă PC-ul tău are activat Secure BootNu ești singurul. Această opțiune UEFI a devenit aproape obligatorie odată cu apariția Windows 11 și oferă, de asemenea, un nivel suplimentar de protecție împotriva programelor malware care încearcă să se strecoare imediat ce pornești computerul.

În rândurile următoare veți vedea un ghid foarte complet pentru Verificați starea Secure Boot, înțelegeți ce înseamnă fiecare mesaj Și, dacă este necesar, cum să pregătești computerul (hard disk, UEFI, TPM etc.) pentru a-l activa fără probleme. Vei vedea, de asemenea, ce trebuie să faci dacă BIOS-ul afișează doar opțiuni de bază sau dacă spune că nu este compatibil cu computerul.

Ce este mai exact un pornire sigură și de ce este important?

Așa-numita pornire sigură este o funcție de securitate integrată în firmware-ul UEFI al computerelor moderne. Misiunea sa este simplă: să prevină încărcarea codului care nu a fost semnat și validat de firmware-ul în sine atunci când PC-ul este pornit, cum ar fi bootkit-uri sau programe malware care se atașează chiar înainte de pornirea Windows.

Pentru a realiza acest lucru, firmware-ul menține un set de chei criptografice și semnături digitaleÎn timpul procesului de pornire, verifică încărcătorul de boot, driverele de boot și alte componente critice și le permite să ruleze doar dacă semnăturile lor corespund cu cele stocate. Dacă ceva nu se potrivește, firmware-ul îl blochează înainte ca sistemul să aibă timp să facă ceva.

Acest mecanism este strâns legat de modul UEFI: Nu funcționează în modul BIOS vechi (Legacy sau CSM în BIOS)De aceea, multe computere care încă pornesc în Legacy nu pot activa Secure Boot fără a migra mai întâi la UEFI și, dacă este necesar, a converti discul de sistem în format GPT.

În cazul specific al Windows 11, Microsoft impune ca Boot-ul securizat este prezent și poate fi activatpe lângă alte cerințe precum TPM 2.0. Deși activarea Secure Boot în sine nu este întotdeauna obligatorie pentru instalarea sistemului, aceasta face parte din specificațiile oficiale ale hardware-ului compatibil. Dacă intenționați să forțați instalarea Windows 11 pe computere necompatibileVa trebui să accepți anumite riscuri și limitări.

Cum să verifici dacă PC-ul tău are activat Secure Boot în Windows

Cea mai rapidă metodă de a verifica acest lucru din Windows este utilizând Instrumentul Informații de sistem (msinfo32)ceea ce oferă o imagine destul de clară a modului BIOS și a stării Secure Boot.

Pentru a-l deschide, apăsați Tasta Windows + R Pentru a lansa caseta de dialog Executare, tastați: msinfo32 și confirmați cu Enter. Se va deschide o fereastră numită „Informații despre sistem” cu un rezumat al configurației computerului.

În panoul din stânga, asigurați-vă că sunteți în „Rezumatul sistemului”, iar în dreapta, căutați intrările „Mod BIOS” și „Stare bootare securizată”Poate fi necesar să derulați puțin în jos pentru a le găsi, dar sunt întotdeauna în blocul principal.

Pe baza a ceea ce vedeți acolo, există câteva posibilități destul de clare:

• Mod BIOS = UEFI și Stare Secure Boot = ActivatPerfect, PC-ul tău folosește deja Secure Boot și nu trebuie să atingi nimic altceva pentru această funcție.
• Mod BIOS = UEFI și Stare Secure Boot = DezactivatCalculatorul este compatibil, dar pornirea securizată este dezactivată; o puteți activa din setările UEFI.
• Mod BIOS = Legacy sau CSMSistemul pornește în modul BIOS clasic; în acest caz, chiar dacă placa de bază acceptă UEFI, Nu vei putea utiliza Secure Boot până nu treci la UEFI. iar discul de sistem este în format GPT.
• Stare de pornire sigură = IncompatibilFie placa de bază este prea veche, fie folosește un firmware care nu acceptă Secure Boot. În aceste cazuri, dacă nu efectuați o actualizare a plăcii de bază sau o actualizare de firmware foarte specifică, nu există nicio modalitate de a o activa.

Cu această simplă întrebare, știi deja dacă pornirea securizată este activată, disponibilă dar dezactivată sau deloc acceptatăDe acolo, următorii pași depind de cazul specific cu care aveți de-a face.

Verificați dacă discul este formatat ca MBR sau GPT (cerința cheii)

Înainte de a lua în considerare activarea Secure Boot, este esențial să confirmați că Discul pe care este instalat Windows folosește stilul de partiție GPT.Boot-ul securizat este legat de boot-ul UEFI, iar acest lucru, pentru Windows, necesită GPT pe unitatea de sistem.

Pentru a o vedea rapid, faceți clic dreapta pe butonul Start din Windows și selectați „Gestionarea discului”În fereastra care se deschide, localizați discul unde se află partiția C: (de obicei, va fi „Discul 0”, dar nu presupuneți acest lucru fără a verifica).

Faceți clic dreapta pe eticheta discului (unde scrie „Disc 0”, „Disc 1”... în stânga partițiilor) și alegeți „Proprietăți”Apoi accesați fila „Volume”Acolo veți vedea un câmp numit „Stil partiție”, care va indica ceva de genul:

• Tabela de partiții GUID (GPT)Perfect, discul este acum gata de boot în modul UEFI cu Secure Boot.
• „Înregistrare principală de pornire (MBR)”Discul este încă în format clasic; dacă vrei să folosești bootarea securizată cu acel Windows, va trebui să îl converti în GPT.

Dacă discul dvs. este MBR și nu doriți să reinstalați sistemul, Microsoft oferă un instrument oficial pentru a-l converti pe computer: se numește mbr2gpt Este inclus în Windows 10 și Windows 11. Cu toate acestea, deși procesul merge de obicei bine, există întotdeauna un mic risc, așa că este foarte recomandat. Faceți o copie de rezervă completă a datelor dvs. înainte de a atinge ceva.

Conversia unui disc MBR în GPT folosind mbr2gpt fără formatare

Utilitarul mbr2gpt vă permite să transformați un disc de sistem din MBR în GPT fără a pierde date sau a reinstala Windowscu condiția îndeplinirii anumitor cerințe (numărul de partiții, spațiul liber pentru structuri noi etc.). Fluxul de bază este mai întâi validat și apoi convertit.

Pentru început, deschideți un Fereastră de comandă cu privilegii de administratorPuteți face acest lucru căutând „cmd” în meniul Start, făcând clic dreapta pe „Command Prompt” și alegând „Executare ca administrator” sau utilizând PowerShell cu privilegii de administrator, dacă preferați.

În primul rând, trebuie să fii sigur ce număr de disc vrei să converti. Poate ai văzut deja acest lucru în „Gestionarea discurilor”, dar este vital ca Valoarea pe care o utilizați în comandă trebuie să corespundă cu cea afișată în fila VolumeDacă discul de sistem este Discul 0, aceasta va fi referința; dacă este Discul 1, va trebui să modificați numărul în comandă.

În consola administrativă, tastați mai întâi comanda de validare:

mbr2gpt /validate /disk:0 /allowFullOS

Înlocuiește disc:0 Introduceți numărul corect al discului dacă acesta nu este 0. Acest pas nu aduce încă modificări discului: verifică doar dacă este posibilă conversia cu situația actuală a partiției și a spațiului.

Dacă validarea se finalizează cu succes și programul indică faptul că discul este convertibil, puteți lansa comanda de conversie propriu-zisă:

mbr2gpt /convert /disk:0 /allowFullOS

Din nou, asigură-te că numărul discului se potrivește cu al tău. Instrumentul va crea structurile GPT necesare și va adapta procesul de bootare Windows pentru a funcționa în modul UEFI, fără a necesita formatare sau reinstalare.

Odată ce procesul este complet, de obicei va trebui să Introduceți firmware-ul și specificați ca dispozitivul să pornească în modul UEFI. (Dezactivați Legacy/CSM dacă este încă activ). De acolo, veți avea sistemul de operare pregătit pentru a activa Secure Boot.

TPM 2.0 și relația sa cu Secure Boot și Windows 11

Deși TPM 2.0 nu este strict necesar pentru ca Secure Boot să funcționeze, este un cerință oficială pentru Windows 11 Și, de obicei, merge mână în mână cu UEFI și Secure Boot pe computerele moderne. Merită să verificați dacă computerul dvs. are un modul TPM (fizic sau firmware) și dacă este activat.

Pentru a-l vizualiza din Windows, utilizați din nou Tasta Windows + R Pentru a deschide caseta de dialog Executare, tastați tpm.msc și apăsați Enter. Se va deschide consola de administrare TPM, unde veți vedea un bloc de informații generale.

Uită-te la secțiune "Stat"Dacă vedeți un mesaj de genul „TPM este gata de utilizare” sau similar, înseamnă că modulul este activat și funcțional. Totuși, dacă indică faptul că nu a fost găsit un TPM compatibil sau că este dezactivat, probabil va trebui să îl activați prin intermediul firmware-ului.

În UEFI, este de obicei listat în meniurile Securitate, Avansat sau similarsub nume precum „TPM”, „fTPM” (firmware TPM) sau „PTT” (în cazul Intel). Odată activat și modificările salvate, Windows 10/11 îl va detecta automat la repornire și va fi gata de utilizare.

Această verificare este deosebit de importantă dacă vă gândiți la migrați la Windows 11deoarece sistemul va necesita atât o opțiune de bootare securizată, cât și un TPM 2.0 activ pentru a considera dispozitivul oficial compatibil.

Cum să intri în BIOS-ul/UEFI-ul PC-ului tău

Pentru a activa bootarea securizată, nu este suficient să modificați pur și simplu anumite lucruri în Windows: este necesar accesează interfața firmware (BIOS/UEFI)fie folosind tasta obișnuită la pornirea computerului, fie prin opțiunile avansate de bootare ale sistemului în sine.

Metoda clasică este să reporniți sau să porniți computerul și, imediat ce apare sigla producătorului, să apăsați în mod repetat butonul cheie asociată cu configurația firmware-uluiÎn funcție de model, poate fi Ștergere (Del), F2, F10, F12, Esc sau o altă tastă similară. Multe dispozitive afișează această tastă pe ecran timp de câteva secunde („Apăsați F2 pentru a intra în Setup” etc.).

Dacă întâmpinați probleme în găsirea cheii corecte sau dacă computerul pornește prea repede, o puteți accesa din Windows. În Windows 10, accesați Setări > Actualizare și securitate > RecuperareSub secțiunea „Pornire avansată”, faceți clic pe „Repornire acum”. În Windows 11, calea este Setări > Windows Update > Opțiuni avansate > Recuperare și selectați, de asemenea, „Reporniți acum” în Pornire avansată.

După repornire, va apărea ecranul albastru cu opțiuni. Alegeți Depanare > Opțiuni avansate > Setări firmware UEFI > RepornirePC-ul va reporni din nou, dar de data aceasta direct la interfața UEFI, fără a fi nevoie să apăsați taste.

Odată ajuns în interior, aspectul interfeței poate varia foarte mult în funcție de producător: există UEFI cu mod grafic avansat, altele cu meniuri text și unele care oferă chiar și un „mod simplu” cu opțiuni foarte limitate.

Activarea Secure Boot în UEFI pas cu pas

Accesarea UEFI este doar primul pas. Ceea ce este cu adevărat important este localizarea secțiunea în care este gestionată bootarea securizatăcare se găsește de obicei în secțiunile Boot, Security, Advanced sau Authentication, în funcție de marcă.

Pe multe computere moderne, veți vedea o filă numită „Boot”. Înăuntru, ar trebui să existe o opțiune numită „Secure Boot” sau „Secure Boot”În altele, îl veți găsi la secțiunea „Securitate” sau „Autentificare”. Dacă nu îl vedeți imediat, navigați prin meniuri fără să vă grăbiți, deoarece terminologia variază considerabil între producători, cum ar fi Dell, HP, ASUS, Lenovo, MSI etc.

Există un aspect foarte important: în multe UEFI-uri, Nu veți putea activa Secure Boot dacă este activat modul Legacy/CSM.De obicei, există o setare numită „CSM”, „Legacy Support” sau „Compatibility Support Module”. Pentru ca Secure Boot să funcționeze, această setare trebuie dezactivată, astfel încât firmware-ul să pornească exclusiv în modul UEFI.

O altă opțiune care apare frecvent în aceeași secțiune este „Tipul sistemului de operare” sau „Tip sistem de operare”. Pe unele dispozitive, va trebui să îl setați la „Modul Windows UEFI”, „UEFI Windows” sau similar, în loc de „Alt sistem de operare”. Aceasta îi spune firmware-ului să utilizeze cheile de pornire securizată pregătite pentru Windows.

După ce sistemul este în modul UEFI pur, cu discul formatat ca GPT și parametrul sistemului de operare setat la „Modul UEFI Windows” (sau echivalent), veți putea modifica Starea de pornire securizată s-a schimbat de la Dezactivat la ActivatDe obicei, este un meniu derulant sau un comutator „Activat/Dezactivat”.

Unii producători adaugă un meniu specific de Gestionarea cheilor de pornire securizatăÎn acest caz, este posibil să vi se ceară să instalați cheile implicite înainte de a vă permite să îl activați. Dacă vedeți opțiuni precum „Instalare chei implicite Secure Boot” sau „Restaurare chei din fabrică”, selectați-le pentru a încărca cheile implicite și apoi activați Secure Boot.

Când ați terminat, navigați la secțiunea de ieșire, care se numește de obicei „Ieșire” sau include o opțiune similară cu „Salvare și ieșire”. Alegeți „Salvați modificările și ieșiți” (pe multe computere acest lucru se face cu F10), confirmați mesajul și lăsați computerul să repornească normal.

Cum se verifică dacă Secure Boot este activat

După ce sistemul a repornit în Windows, este o idee bună să confirmați că totul a mers bine și că Secure Boot este într-adevăr activ. Pentru a face acest lucru, pur și simplu repetați procesul msinfo32 despre care vorbeam la început.

Deschideți din nou Executare folosind tasta Windows + R, tastați msinfo32 și apăsați Enter. În „System Summary”, localizați din nou intrările „BIOS Mode” și „Secure Boot Status”. Dacă totul a funcționat conform așteptărilor, ar trebui să vedeți acum Mod BIOS = UEFI și Stare Secure Boot = Activat.

Dacă mesajul „Dezactivat” apare în continuare, verificați dacă CSM este activat sau dacă ați modificat corect tipul sistemului de operare în modul UEFI Windows. De asemenea, este posibil ca firmware-ul să fi anulat unele modificări dacă a detectat o problemă de compatibilitate.

Da, după activarea Secure Boot, computerul Se oprește din pornire sau se blochează Pe ecranul producătorului, este posibil să apară o componentă de bootare (cum ar fi un manager de bootare alternativ sau o unitate externă) care nu este semnată valid. În acest scenariu, reveniți la UEFI și dezactivați temporar Secure Boot pentru a restabili funcționarea normală în timp ce investigați cauza conflictului.

Dispozitive cu BIOS foarte limitat și fără filă de securitate

Unii utilizatori, în special cei cu echipamente de marcă sau foarte vechi, se confruntă cu o BIOS/UEFI cu foarte puține opțiuniDe exemplu, o interfață care afișează doar meniuri precum Procesor, Test memorie, Test stocare, Test placă de sistem, Test tastatură, Limbă și Ieșire, fără nicio urmă de filele Securitate, Pornire sau Avansat.

În aceste cazuri, este foarte probabil ca producătorul să fi optat pentru o firmware de diagnosticare simplificatEste conceput pentru testarea hardware-ului și nu pentru a oferi utilizatorului toate opțiunile de configurare. Aceasta înseamnă că funcții precum Secure Boot pot fi ascunse, blocate sau pur și simplu indisponibile.

Primul lucru de făcut este să verificați site-ul oficial al producătorului computerului sau al plăcii de bază, dacă există o actualizare BIOS/UEFI mai cuprinzătoare care include opțiuni de securitate și bootare. Fiecare model este diferit, iar uneori o actualizare majoră de firmware adaugă suport pentru bootare securizată care nu exista înainte.

Dacă tot nu vedeți nicio referință la UEFI, Secure Boot, CSM sau modul de boot, este posibil ca computerul dvs. să fie limitat la un mod clasic și Nu oferă un pornire sigură ca atare.În acest context, dacă msinfo32 afișează „Stare de pornire securizată: Neacceptată”, nu va exista prea mult spațiu pentru a o activa, în afară de a lua în considerare înlocuirea plăcii de bază sau a computerului.

Când PC-ul acceptă UEFI și Secure Boot, dar producătorul ascunde setările avansate, uneori există o problemă... combinație de taste sau setări specifice pentru a intra într-un „mod avansat” a firmware-ului. Aceste lucruri sunt de obicei documentate (dacă există) în manualul dispozitivului sau în secțiunea de asistență, așa că merită să verificați documentația oficială pentru modelul dvs. specific.

BitLocker, modificări ale BIOS-ului și alte precauții importante

Dacă utilizați BitLocker pentru criptarea discului (ceva obișnuit la laptopurile profesionale și la computerele cu Windows Pro sau Enterprise), trebuie să rețineți că orice modificare relevantă a configurației de bootare poate determina sistemul să vă solicite cheia de recuperare la repornire.

Aceasta include activarea sau dezactivarea funcției Secure Boot, trecerea de la modul Legacy la modul UEFI, modificarea parametrilor TPM sau schimbarea ordinii de pornire în anumite moduri. Din perspectiva BitLocker, acestea sunt modificări care pot compromite integritatea măsurată a procesului de pornire și, prin urmare, pot face ca sistemul să fie suspicios până când confirmați că totul a fost intenționat.

Înainte de a intra în UEFI pentru a face modificări, asigurați-vă că Păstrați la îndemână cheia de recuperare BitLockerO puteți verifica (și salva în contul Microsoft, imprimantă, fișier etc.) din panoul de control BitLocker din Windows. Pierderea acestei chei poate cauza probleme grave dacă sistemul decide să blocheze accesul la disc.

O altă practică de bază bună, mai ales dacă intenționați să convertiți discul cu mbr2gpt sau să modificați mai multe opțiuni la rând în UEFI, este să faceți o copie de rezervă recentă a datelor importanteChiar dacă procesele sunt bine testate, o pană de curent sau o problemă neașteptată în timpul unei modificări a tabelei de partiții poate face ca sistemul să nu poată fi bootat.

În cele din urmă, atunci când producătorul furnizează documentație specifică pentru modelul dvs. Cum se activează Secure Boot, TPM sau modul UEFICel mai bine este să le urmați întocmai. Fiecare BIOS/UEFI are propriile particularități, iar ceea ce o marcă numește „modul Windows UEFI” ar putea avea un nume complet diferit în alta.

Stăpânirea a tot ceea ce ține de pornirea în siguranță implică o bună înțelegere a relației dintre Modul UEFI, stilul partiției GPT, TPM și setările BIOSDupă ce ați verificat Informațiile de sistem pentru a vedea dacă Secure Boot este activat, dezactivat sau nu este acceptat, restul implică pregătirea discului (dacă este încă în MBR), configurarea firmware-ului pentru a porni doar în UEFI, activarea TPM acolo unde este cazul și activarea Secure Boot prin încărcarea cheilor implicite. Cu acești pași implementați, nu numai că vă asigurați că îndepliniți cerințele Windows 11, dar adăugați și un nivel crucial de protecție împotriva amenințărilor care încearcă să se strecoare în cel mai vulnerabil moment: când PC-ul pornește.