Secure Boot в Windows 11¶

Secure Boot — это технология безопасности, реализованная в прошивке UEFI, которая проверяет цифровые подписи загрузочных компонентов операционной системы и не позволяет запустить неподписанное или вредоносное ПО на этапе загрузки. В Windows 11 технология является обязательным системным требованием: без активированного Secure Boot операционная система не проходит проверку совместимости при установке или обновлении.

¶Назначение и принцип работы

Secure Boot использует механизм проверки подписей, основанный на базе ключей, хранящихся в энергонезависимой памяти UEFI. При включённой технологии прошивка проверяет цифровую подпись каждого загружаемого компонента — загрузчика Windows (bootmgfw.efi), драйверов, модулей расширения (EFI-модулей) — и сравнивает её с доверенными ключами. Если подпись отсутствует или недействительна, загрузка блокируется.

В базе ключей UEFI хранятся три категории:

• PK (Platform Key) — ключ платформы, отвечает за доверие к самой прошивке;
• KEK (Key Exchange Keys) — ключи обмена, управляющие доступом к базе подписей;
• db (allowed signature database) — база разрешённых подписей загрузочных компонентов;
• dbx (forbidden signatures database) — база отозванных или вредоносных подписей.

Microsoft подписывает загрузчик Windows 11 ключами, включёнными в стандартную базу доверия большинства материнских плат. Поэтому при заводских настройках UEFI Secure Boot обычно уже активен.

¶Обязательность в Windows 11

Системные требования Windows 11 включают поддержку UEFI Secure Boot, TPM-модуля версии 2.0, процессора из списка совместимости (начиная с определённых поколений Intel и AMD) и минимум 4 ГБ оперативной памяти. При установке или обновлении до Windows 11 установщик выполняет проверку этих условий; при отключённом Secure Boot установка блокируется с сообщением о несоответствии требованиям.

Для пользователей, обновляющих Windows 10 до 11, проверка выполняется через приложение «Проверка соответствия требованиям ПК» (PC Health Check) или встроенный механизм Windows Update.

¶Как проверить состояние Secure Boot

Состояние технологии можно определить несколькими способами:

1. Через утилиту msinfo32: нажать Win + R, ввести msinfo32, в разделе «Сведения о системе» найти строку «Состояние безопасной загрузки». Значение «Вкл.» означает активную технологию, «Выкл.» — отключённую.
2. Через PowerShell: выполнить команду Confirm-SecureBootUEFI. Ответ True подтверждает включённое состояние, False — отключённое.
3. Через UEFI/BIOS: при загрузке компьютера войти в настройки прошивки (обычно клавиша Del, F2 или F10) и найти раздел Boot или Security.

¶Как включить Secure Boot

Если технология отключена, активировать её можно через настройки UEFI материнской платы. Порядок действий:

1. Сохранить все открытые документы и перезагрузить компьютер.
2. При старте войти в настройки UEFI/BIOS — для этого в первые секунды после включения нажимается специальная клавиша (Del, F2, F10, F12 или Esc — зависит от производителя материнской платы или ноутбука).
3. Перейти в раздел Boot, Security или Authentication (название зависит от производителя).
4. Найти пункт Secure Boot и установить значение Enabled.
5. Если пункт неактивен, сначала может потребоваться отключить режим Legacy/CSM (Compatibility Support Module) и переключить схему загрузки на UEFI.
6. Сохранить изменения (обычно клавиша F10) и перезагрузить систему.

На некоторых материнских платах перед изменением настроек Secure Boot требуется сбросить ключи управления в состояние «User Mode» или загрузить настройки по умолчанию, соответствующие Windows UEFI.

¶Особенности dual-boot с Linux

При установке Linux параллельно с Windows 11 возможны конфликты, связанные с Secure Boot. Дистрибутивы Ubuntu, Fedora и Debian поддерживают загрузку через шим (shim) — EFI-загрузчик с подписью Microsoft, что позволяет работать с активированным Secure Boot. Для других дистрибутивов или пользовательских ядер может потребоваться отключить технологию или подписать загрузчик собственными ключами через утилиту mokutil.

¶Возможные проблемы

После включения Secure Boot иногда возникают ошибки загрузки: система не стартует, появляется сообщение о недопустимой подписи. Причины обычно связаны с устаревшей прошивкой UEFI, конфликтом с ранее установленными неподписанными драйверами или изменённой загрузочной записью. В таких случаях обновляют BIOS/UEFI до актуальной версии, восстанавливают загрузочную запись Windows через установочный носитель или сбрасывают настройки прошивки в значения по умолчанию.

Источники:

• Официальная документация Microsoft по требованиям к Windows 11
• Руководства по эксплуатации материнских плат ASUS, MSI, Gigabyte, ASRock
• Документация UEFI Forum по спецификации Secure Boot
• Техническая документация Microsoft по PowerShell и утилите msinfo32