Безопасная загрузка в Windows 11¶

Безопасная загрузка (Secure Boot) — технология защиты компьютера, входящая в спецификацию UEFI. Она проверяет цифровые подписи загрузочных компонентов операционной системы и не позволяет запустить вредоносное ПО на этапе старта компьютера. В Windows 11 технология является обязательным системным требованием наряду с модулем доверенного платформенного уровня TPM 2.0.

¶Назначение

При включении компьютера прошивка UEFI загружает загрузочный менеджер операционной системы. Безопасная загрузка проверяет, что все компоненты цепочки загрузки — загрузчик, ядро ОС, драйверы — подписаны доверенным ключом. Если подпись отсутствует или недействительна, загрузка блокируется. Это защищает от загрузочных вредоносных программ, которые работают ниже уровня операционной системы и не обнаруживаются обычными антивирусами.

¶Проверка состояния

Узнать, включена ли технология, можно несколькими способами:

• Средство проверки системных файлов (msinfo32): нажать Win + R, ввести msinfo32, в разделе «Сведения о системе» найти строку «Состояние безопасной загрузки». Значение «Вкл» означает активную защиту, «Выкл» — отключённую.
• Параметры UEFI: информация отображается в разделе «Безопасная загрузка» (Secure Boot) в меню прошивки.
• Командная строка (от администратора): bcdedit /enum {current} — значение testsigning Off косвенно подтверждает работоспособность проверки.

¶Как включить

¶Через UEFI Firmware Settings

1. Открыть «Параметры» → «Обновление и безопасность» → «Восстановление» → «Особые варианты загрузки» → «Перезагрузить сейчас».
2. В появившемся меню выбрать «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры встроенного ПО UEFI» → «Перезагрузить».
3. В интерфейсе прошивки перейти в раздел «Boot» (Загрузка) или «Security» (Безопасность) и найти пункт Secure Boot.
4. Установить значение Enabled (Включено).
5. Сохранить изменения (обычно клавиша F10) и перезагрузить компьютер.

¶Через BIOS (для старых систем)

При загрузке компьютера нажать клавишу входа в BIOS (обычно Del, F2, F10 или Esc — зависит от производителя). В разделе «Boot» или «Security» переключить Secure Boot в положение Enabled. На некоторых материнских платах перед этим потребуется отключить опцию CSM (Compatibility Support Module), так как технология работает только в режиме UEFI, а не в устаревшем Legacy BIOS.

¶Через реестр Windows

В редакторе реестра (regedit) можно принудительно включить проверку, если опция заблокирована:

1. Перейти по пути HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot.
2. Найти параметр UEFIEnabled (тип DWORD) и установить значение 1.
3. Перезагрузить компьютер.

Этот способ подходит не на всех устройствах и не заменяет включение в прошивке.

¶Возможные проблемы

¶Опция заблокирована

На некоторых устройствах пункт Secure Boot недоступен для изменения. Причины:

• Включён CSM: отключить совместимость со старой загрузкой в разделе Boot.
• Заводская блокировка: на отдельных моделях ноутбуков (например, некоторых линейках Lenovo, HP) опция может быть скрыта или защищена паролем администратора BIOS.
• Устаревшая прошивка: обновление BIOS до актуальной версии может разблокировать пункт.

¶Ошибка «Secure Boot isn't configured correctly»

Windows может показывать уведомление в центре безопасности. Обычно причина — отключённая технология или несоответствие ключей. Решение — включить Secure Boot в UEFI и, при необходимости, сбросить ключи управления (Set Defaults) в меню прошивки.

¶Взаимосвязь с TPM 2.0

Безопасная загрузка и TPM 2.0 работают совместно, но независимы. TPM — аппаратный чип (или программная эмуляция), отвечающий за шифрование ключей, защиту BitLocker и аттестацию платформы. Windows 11 требует наличия обоих компонентов. Проверить TPM можно через оснастку tpm.msc: раздел «Состояние» должен показывать «TPM готов к использованию».

¶Отключение

Технологию можно временно отключить в настройках UEFI (значение Disabled). Это может потребоваться для установки альтернативных операционных систем, загрузки с неподписанных носителей или отладки. После завершения работ защиту рекомендуется включить обратно.

¶История

Secure Boot появился в спецификации UEFI 2.3.1 (2012 год) и изначально проектировался для платформ Windows 8. К 2020-м годам технология стала стандартом де-факто для большинства настольных и ноутбучных платформ. В Windows 11 (вышла в октябре 2021 года) проверка Secure Boot стала жёстким требованием установки, хотя на практике обходные пути установки существуют.

¶Источники

• Документация Microsoft по требованиям к Windows 11
• Спецификация UEFI Forum, версия 2.10
• Руководства пользователей материнских плат ASUS, MSI, Gigabyte