EFI Secure Boot

Наборы подписанных загрузчиков

• Набор 2011 года: подписан с помощью Microsoft Corporation UEFI CA 2011. Этот центр сертификации используется прошивками для сторонних загрузчиков с момента появления Secure Boot.
• Набор 2023 года: подписан с помощью обновлённых сторонних центров сертификации Microsoft. Основной загрузчик (DcsBoot.efi) подписан с помощью Microsoft UEFI CA 2023, а остальные компоненты (DcsInt.dcs, LegacySpeaker.dcs) подписаны с помощью Microsoft Option ROM UEFI CA 2023. Поэтому для набора 2023 года требуется, чтобы в базе данных подписей Secure Boot прошивки (db) присутствовали оба сертификата: Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023.

Диагностика

HKEY_LOCAL_MACHINE\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader
    EfiBootLoaderResourceSet          REG_DWORD  2011 (0x7db) или 2023 (0x7e7)
    EfiBootLoaderSelectionReason      REG_SZ     понятная человеку причина выбора
    EfiBootLoaderFirmwareDbLastError  REG_DWORD  последняя ошибка чтения/разбора db прошивки (0 = нет)
    EfiBootLoaderFirmwareDbxLastError REG_DWORD  последняя ошибка чтения/разбора dbx (0 = нет)
    FirmwareDbxPresent                REG_DWORD  наличие dbx (0 допустим: переменная отсутствует)
    EfiBootLoaderInstalledResourceSet REG_DWORD  набор, определённый по фактическим файлам ESP
    VeraCryptLoaderFilesValid         REG_DWORD  файлы DCS совпадают со встроенным набором
    WindowsLoaderSigner               REG_DWORD  встроенная подпись: 0, 2011 или 2023
    EfiBootLoaderSelectionTimeUtc     REG_SZ     время последнего выбора

reg query HKLM\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader /s

$t = [Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes)
'Microsoft Corporation UEFI CA 2011',
'Microsoft Windows Production PCA 2011',
'Windows UEFI CA 2023',
'Microsoft UEFI CA 2023',
'Microsoft Option ROM UEFI CA 2023' |
  ForEach-Object { "$_ : $($t -match [regex]::Escape($_))" }

# После подключения ESP как S: проверяйте встроенную подпись, а не подпись каталога.
Get-PfxCertificate -FilePath S:\EFI\Microsoft\Boot\bootmgfw_ms.vc |
  Select-Object Subject,Issuer,Thumbprint

Переход на сертификаты Microsoft 2023 года

• Истечение срока действия сертификатов обычно не мешает загрузке уже установленных загрузчиков. Проверка образа UEFI Secure Boot обычно не применяет срок действия подписывающего сертификата, поэтому сам факт истечения CA 2011 не вызывает отказ загрузчика. Однако новые двоичные файлы больше нельзя подписывать в этой экосистеме, а системы без сертификатов 2023 года не смогут получать обновления цепочки загрузки, подписанные заменяющими CA.
• Истечение срока действия и отзыв — разные события. Microsoft предоставляет отдельную, выполняемую намеренно меру защиты, которая добавляет Microsoft Windows Production PCA 2011 в базу запрещённых подписей Secure Boot (dbx). После её применения все Windows Boot Manager, подписанные этим CA, отклоняются. Этот отзыв Windows PCA не является частью миграции сертификатов и Boot Manager с помощью 0x5944. По состоянию на июль 2026 года Microsoft сообщает, что не планирует отзывать Microsoft Corporation UEFI CA 2011 — сторонний CA, используемый набором загрузчиков VeraCrypt 2011 года. Тем не менее перед применением отзыва Windows PCA 2011 рекомендуется перевести на CA 2023 года как часть VeraCrypt, так и часть Windows в цепочке загрузки.

Новые компьютеры, доверяющие только CA 2023 года

Обновление существующей системы до сертификатов 2023 года

reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

rem при необходимости запустите задачу обслуживания сразу (иначе она выполняется каждые 12 часов):
schtasks /Run /TN "\Microsoft\Windows\PI\Secure-Boot-Update"

• Сначала обновите BIOS/UEFI-прошивку до последней версии, доступной у производителя компьютера. Сбои записи новых сертификатов в базу Secure Boot прошивки обычно вызваны ошибками прошивки, и Microsoft рекомендует проверить наличие обновлённой прошивки у производителя устройства перед применением обновлений сертификатов.
• Сначала создайте или обновите Диск восстановления VeraCrypt и убедитесь, что он загружается.
• Не отключайте службу VeraCrypt System Favorites или её функцию обновления загрузчика. Если Windows заменяет Boot Manager в стандартном расположении ESP, служба сохраняет его как bootmgfw_ms.vc и восстанавливает загрузчик VeraCrypt. Если стандартный путь не изменяется, текущая VeraCrypt также проверяет обслуживаемые Windows копии в %SystemRoot%\Boot\EFI_EX и %SystemRoot%\Boot\EFI, проверяет встроенную подпись и атомарно обновляет bootmgfw_ms.vc лучшей копией, совместимой с известной политикой CA.
• Пользователям скрытой операционной системы не следует запускать обновление из скрытой ОС. Автоматическое сохранение цепочки загрузки отключено, когда работает скрытая ОС.
• Избегайте принудительного отключения питания между моментом, когда Windows заменяет загрузчик, и следующей обычной перезагрузкой или выключением. На большинстве систем загрузочная запись VeraCrypt сохраняет возможность загрузки компьютера в этот промежуток, но прошивка, игнорирующая порядок загрузки, может загрузить обычный Windows Boot Manager, который не сможет запустить зашифрованную Windows (восстанавливается с помощью Диска восстановления).
• Windows может продолжать сообщать о незавершённом переходе, поскольку стандартное расположение Windows Boot Manager по замыслу занимает загрузчик VeraCrypt. Считайте это возможным ложным отрицательным результатом обслуживания только после появления требуемых CA 2023 в db, определения фактических файлов как EfiBootLoaderInstalledResourceSet=2023, подтверждения встроенного издателя bootmgfw_ms.vc как Windows UEFI CA 2023 и отсутствия неустранённых ошибок обслуживания.

Восстановление после сбоя загрузки Secure Boot

• До запроса пароля (сообщение вроде "Secure Boot Violation" или немедленный возврат в прошивку): прошивка не доверяет CA, которым подписан установленный загрузчик VeraCrypt.
• После успешного ввода пароля (явное сообщение об ошибке Secure Boot от загрузчика VeraCrypt или, на старых версиях загрузчика, возврат к запросу пароля): прошивка не доверяет CA, которым подписана копия Windows Boot Manager (bootmgfw_ms.vc), на которую VeraCrypt передаёт управление.

1. Временно отключите Secure Boot в настройках прошивки и запустите Windows обычным образом (предзагрузочная аутентификация VeraCrypt работает и с отключённым Secure Boot). Диск восстановления VeraCrypt может восстановить отсутствующие или повреждённые компоненты загрузчика VeraCrypt, но не может создать актуальный Windows Boot Manager или сделать подписанный PCA 2011 файл bootmgfw_ms.vc допустимым после добавления этого CA в dbx; он не заменяет завершение миграции Windows.
2. В Windows исправьте политику Secure Boot (включите сторонние CA, восстановите актуальную dbx после пользовательской процедуры либо примените обновления Windows), затем запустите VeraCrypt в режиме Восстановить/переустановить. Восстановление проверит обслуживаемые копии EFI_EX/EFI и сможет установить совместимый актуальный Windows Boot Manager.
3. Проверьте диагностику VeraCrypt и встроенную подпись, затем включите Secure Boot и выполните одну контролируемую перезагрузку. Не включайте его при неполной оценке политики или несовместимых файлах загрузчика.

Устаревшая процедура с пользовательскими ключами (не рекомендуется)