News Windows 11: Secure-Boot-Update für alle kommt in letzter Minute

PCGH-Redaktion

Kommentar-System
Teammitglied
Microsoft rollt neue Sicherheitszertifikate aus. Mit dem Juni-Update sollen alle berechtigten Systeme mit der Aktualisierung versorgt werden.

Was sagt die PCGH-X-Community zu Windows 11: Secure-Boot-Update für alle kommt in letzter Minute

Bitte beachten: Thema dieses Kommentar-Threads ist der Inhalt der Meldung. Kritik und allgemeine Fragen zu Online-Artikeln von PC Games Hardware werden hier gemäß der Forenregeln ohne Nachfrage entfernt, sie sind im Feedback-Thread besser aufgehoben.
 
ich wollte gerade echt nachschauen, dann stellte ich aber alsbald fest, in den Optionen in CachyoS Linux kann man lange suchen...lol
Für Secure boot eignet sich "sbctl" unter Arch (+Derivaten) sehr gut. Zum verifizieren, signieren, ausrollen usw. So weit ich weiß kommt Cachy per default aber ohne Secure Boot. Secure boot ist allerdings in mkinitcpio bereits verankert und kann problemlos aktiviert werden. Arch macht die Sache auch per Unified Kernel sehr einfach.
 
Bei mir gibts kein Secureboot oder auch keine Rechte für das OS mir ins Bios/Uefi was zu schreiben:-P


Aber jeden alles gute der sich gerne von einem Software Konzern in den UEFI Einstellungen fuhrwerken lässt.
 
Industriestandard eben. Eine Lizenz wird bloß nicht einen einzigen Tag zu früh erneuert, denn sonst könnte es ja sein, dass man nach 15 Jahren und drei Zyklen zu je 5 Jahren, am Ende seine Lizenzen drei Tage weniger nutzen konnte als gedacht.
 
Also war da was? Hier hab ich nichts gemerkt. Hatte also MS richtig Prophezeit, dass es keine Auswirkung hat, wenn Secure-Boot inaktiv ist. Haben die mal was richtig hinbekommen – OK, das können sie ja auch, das etwas nicht funktioniert;)
 
Secure Boot kann also nicht so wichtig sein, wenn selbst Microsoft das Thema stiefmütterlich behandelt.
Ich sehe bis heute weder bei mir privat, noch hier bei der Arbeit (Uhrzeit: jetzt), nicht einmal das komische neue Menü, worüber neuerdings gesprochen wird, wo man den Status abrufen können soll.
Also Handfläche rechts über die Schulter und weiter gehts.
Irgendwann steigen dann alle schon freiwillig auf Linux um, sogar Microsoft veröffentlich schon selber eine Linux Distribution.
Das wohl nicht ganz grundlos - man will wohl am Zahn der Zeit bleiben, und nach KI nicht den nächsten großen Hype verpassen, wo man Geld machen kann oder könnte. lol ;-P
Für Secure boot eignet sich "sbctl" unter Arch (+Derivaten) sehr gut. Zum verifizieren, signieren, ausrollen usw. So weit ich weiß kommt Cachy per default aber ohne Secure Boot. Secure boot ist allerdings in mkinitcpio bereits verankert und kann problemlos aktiviert werden. Arch macht die Sache auch per Unified Kernel sehr einfach.
Also ich bin schon froh, dass ich ohne Probleme in den letzten Tagen die Windowspartition von der 2TB SSD gelöscht und die CachyOS-Partition ganz an den Anfang und dann auf die vollständige SSD-Größe hochgezogen bekommen habe, und das Betriebssystem danach auch wieder ganz normal mit Grub und Windows auf der 2ten SSD als Option mit drin habe.
Als einfacher Anwender ist das eine Sache, was man vielleicht alle 10 Jahre mal benötigt.
Da hat man sicher auch keine Lust drauf, sich mit diversen Secure Boot Spielereien und Experimenten zubeschäftigen.
Nachher läuft ein Betriebssystem nicht mehr, oder, schlimmer wäre, man hat keinen Zugriff auf irgendetwas.
Das hatte ich nämlich vor ein paar Monaten auch schon mal, wo Windoof mal eben neu starten musste.
Danach hat mein Rechenr das ganze EFI verloren gehabt, ich musste (konnte nur noch) direkt die Windows Partition von SSD1 booten, dort ein Tool installieren, die ganzen Einstellungen auf den Partitionen suchen lassen, das musste wieder irgendwo eintragen werden, und ja, dann konnte ich im UEFI wieder meine Linux EFI-Partition als Bootoption auswählen.
Das war der schlimmste Tag meines Lebens, weil ich damit noch nie rumhantieren musste.
Danach möchte man einfach keinen weiteren Tüdelkram mehr wegen Microsoft haben.
Sollen sich Firmen-ITler daran aufgeilen, ich versuche mich davon zu distanzieren, lieber schreibe ich in der Zeit hier ein wenig Krimskrams hin.
Solange es keine einfache Anleitung auf Deutsch für Dummies wie mich gibt, kann ich die Zeit nach der Arbeit auch einfach mal nur ein klein wenig Youtube Videos von PCGH schauen, oder bei totaler LAngeweile ein Spiel aus der Steam Bibliothek weiterzocken, was zu lange schon rumgammelt. :-)
 
Zuletzt bearbeitet:
Aber jeden alles gute der sich gerne von einem Software Konzern in den UEFI Einstellungen fuhrwerken lässt.
Vielleicht mal ein Erfahrungsbericht statt ja oder nein, schwarz oder weiß.

Ich hab vor einigen Tagen bei einem Rechner (AM5, Win10 Prof mit ESU und 30 Tagen Patch-Delay, kein Secure-Boot) nach einem Image-Backup und Studium mehrerer Web-Quellen das Secure-Boot eingeschaltet.
Das Asrock UEFI BIOS ist auf 4.10, also relativ aktuell.

Secure Boot war DISABLED
Dann im BIOS den Secure Boot Mode von CUSTOM auf STANDARD umgestellt,

Popup "Load Default Secure Variables" mit YES beantwortet.
Fehlermeldung "Secure Boot can be enabled when system in User Mode. Repeat operation after enrolling Platform Key (PK)." erscheint, heißt: System immer noch im "Setup Mode", also ohne Secure Boot Zertifikate

Meldung "Discard Changes and Exit" hab ich mit YES bestätigt, dabei ging Secure Boot Mode auf Standard und Secure Boot auf Enabled.

Save Changes and Exit, damit Reboot
Zurück in Windows melde ich mich an, da wird Secure Boot State noch immer als OFF angezeigt.
Ich boote erneut in UEFI BIOS, nun wird unter Secure Boot nicht nur die Auswahl ENABLED, sondern ein fester Text ACTIVE angezeigt.

Wieder zurück in Windows 10: Secure Boot State ist ON.
Auch die Prüfungen per Powershell zeigen die neuen 2023 Zertifikate an:
Bash:
Grobe Prüfung:
> ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
True
> ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
True

Zertifikatsdetails:
> Install-Module -Name UEFIv2
> Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
> Import-Module -Name UEFIv2
> (Get-UEFISecureBootCerts db).signature
Thumbprint                                Subject
----------                                -------
3FB39E2B8BD183BF9E4594E72183CA60AFCD4277  CN=Microsoft Option ROM UEFI CA 2023, O=Microsoft Corporation, C=US
B5EEB4A6706048073F0ED296E7F580A790B59EAA  CN=Microsoft UEFI CA 2023, O=Microsoft Corporation, C=US
45A0FA32604773C82433C3B7D59E7466B3AC0C67  CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US
46DEF63B5CE61CF8BA0DE2E6639C1019D0ED14F3  CN=Microsoft Corporation UEFI CA 2011, O=Microsoft Corporation, L=Redmond,...
580A6F4CC4E4B669B9EBDC1B2B3E087B80D0678D  CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmo...

> (Get-UEFISecureBootCerts dbdefault).signature
3FB39E2B8BD183BF9E4594E72183CA60AFCD4277  CN=Microsoft Option ROM UEFI CA 2023, O=Microsoft Corporation, C=US
B5EEB4A6706048073F0ED296E7F580A790B59EAA  CN=Microsoft UEFI CA 2023, O=Microsoft Corporation, C=US
45A0FA32604773C82433C3B7D59E7466B3AC0C67  CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US
46DEF63B5CE61CF8BA0DE2E6639C1019D0ED14F3  CN=Microsoft Corporation UEFI CA 2011, O=Microsoft Corporation, L=Redmond,...
580A6F4CC4E4B669B9EBDC1B2B3E087B80D0678D  CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmo...

Hab die Kiste dann komplett heruntergefahren und wieder eingeschaltet, Windows zeigt immer noch dieselben Zertifikate und auch den Sicheren Startzustand (msinfo32) als EIN an.

Wieder in UEFI BIOS gebootet und Secure Boot auf DISABLED gestellt.
Windows gebootet, Sicherer Startzustand ist aus.

Seither läuft Windows wieder ohne Secure Boot, aber nach meinem Dafürhalten sind die UEFI BIOS Zertifikate nun aktuell.

Ich nehme auch aufgrund diverser Meldungen in der Ereignisanzeige an, dass das Einspielen der neuen Zertifikate in den UEFI BIOS Zertifikatsspeicher beim ersten Windows-Start mit UEFI "Secure Boot = ENABLED" durchgeführt wurde, vermutlich hat MS mit den zahlreichen Secure Boot Fixen der letzten Monate nachgeholfen.

Also: warum nicht die Secure Boot Zertifikate aktualisieren und hinterher Secure Boot wieder abschalten?
Damt hat man beide Optionen.
 
Zurück