EFI安全启动

已签名的引导加载程序套件

• 2011套件：通过 Microsoft Corporation UEFI CA 2011 签名。这是自安全启动引入以来固件用于第三方引导加载程序的CA。
• 2023套件：通过更新后的Microsoft第三方CA签名。主引导加载程序（DcsBoot.efi）通过 Microsoft UEFI CA 2023 签名，其他组件（DcsInt.dcs、LegacySpeaker.dcs）通过 Microsoft Option ROM UEFI CA 2023 签名。因此，2023套件要求固件安全启动签名数据库（db）中同时存在 两个 证书：Microsoft UEFI CA 2023 和 Microsoft Option ROM UEFI CA 2023。

诊断

HKEY_LOCAL_MACHINE\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader
    EfiBootLoaderResourceSet          REG_DWORD  2011 (0x7db) 或 2023 (0x7e7)
    EfiBootLoaderSelectionReason      REG_SZ     可读的选择原因
    EfiBootLoaderFirmwareDbLastError  REG_DWORD  上次读取/解析固件db的错误（0 = 无）
    EfiBootLoaderFirmwareDbxLastError REG_DWORD  上次读取/解析dbx的错误（0 = 无）
    FirmwareDbxPresent                REG_DWORD  dbx是否存在（0可为合法缺失）
    EfiBootLoaderInstalledResourceSet REG_DWORD  由ESP实际文件识别的套件
    VeraCryptLoaderFilesValid         REG_DWORD  DCS文件与一个内嵌套件完全匹配
    WindowsLoaderSigner               REG_DWORD  内嵌签名：0、2011或2023
    EfiBootLoaderSelectionTimeUtc     REG_SZ     上次选择的时间

reg query HKLM\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader /s

$t = [Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes)
'Microsoft Corporation UEFI CA 2011',
'Microsoft Windows Production PCA 2011',
'Windows UEFI CA 2023',
'Microsoft UEFI CA 2023',
'Microsoft Option ROM UEFI CA 2023' |
  ForEach-Object { "$_ : $($t -match [regex]::Escape($_))" }

# 将ESP挂载为S:后检查内嵌签名；不要依赖可能返回目录签名的命令。
Get-PfxCertificate -FilePath S:\EFI\Microsoft\Boot\bootmgfw_ms.vc |
  Select-Object Subject,Issuer,Thumbprint

Microsoft 2023证书过渡

• 证书到期通常不会阻止已安装的引导加载程序启动。 UEFI安全启动映像验证通常不强制执行签名证书有效期，因此仅因2011 CA到期并不会拒绝加载程序。但新的二进制文件无法继续通过该签名体系签发，未获得2023证书的系统也无法接收由替代CA签名的启动链更新。
• 证书到期与撤销是两回事。 Microsoft提供了一项需明确执行的独立缓解措施，将 Microsoft Windows Production PCA 2011 添加到安全启动禁止签名数据库（dbx）；应用后，所有通过该CA签名的Windows启动管理器都会被拒绝。此Windows PCA撤销不属于下文由 0x5944 执行的证书/启动管理器迁移。截至2026年7月，Microsoft表示目前没有撤销Microsoft Corporation UEFI CA 2011的计划；该第三方CA用于VeraCrypt 2011引导加载程序套件。尽管如此，在应用任何Windows PCA 2011撤销之前，仍建议将启动链中的VeraCrypt和Windows部分都迁移到相应的2023 CA。

仅信任2023 CA的新计算机

将现有系统更新到2023证书

reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

rem 可选：立即运行维护任务（否则它每 12 小时运行一次）：
schtasks /Run /TN "\Microsoft\Windows\PI\Secure-Boot-Update"

• 首先将BIOS/UEFI固件更新到计算机制造商提供的最新版本。 新证书写入固件安全启动数据库失败通常由固件错误造成，Microsoft建议在应用证书更新之前先向设备制造商确认是否有更新的固件。
• 首先创建或更新VeraCrypt救援盘，并验证它能够启动。
• 不要禁用 VeraCrypt System Favorites 服务或其引导加载程序更新功能。如果Windows替换标准ESP位置的启动管理器，该服务会将其保存为 bootmgfw_ms.vc 并恢复VeraCrypt加载程序。如果标准路径保持不变，当前VeraCrypt还会检查 %SystemRoot%\Boot\EFI_EX 和 %SystemRoot%\Boot\EFI 中Windows维护的副本，验证内嵌签名，并用已知固件CA策略允许的最佳副本原子刷新 bootmgfw_ms.vc。
• 隐藏操作系统用户不应从隐藏操作系统触发更新。 运行隐藏操作系统时，自动启动链保留功能被禁用。
• 避免在Windows替换启动管理器到下一次正常重启或关机之间强制断电。在大多数系统上，VeraCrypt启动项会在这个时间窗口内保持计算机可启动，但忽略启动顺序的固件可能会启动普通Windows启动管理器，而它无法启动加密的Windows（可用救援盘恢复）。
• 由于标准Windows启动管理器位置按设计保存VeraCrypt加载程序，Windows可能仍报告迁移未完成。只有在固件db包含所需2023 CA、EfiBootLoaderInstalledResourceSet 从实际文件识别出2023套件、bootmgfw_ms.vc 的内嵌签发者为 Windows UEFI CA 2023 且事件日志无未解决维护错误后，才可将其视为可能的维护误报。

从安全启动故障中恢复

• 密码提示出现之前（例如 "Secure Boot Violation" 消息，或立即返回固件）：固件不信任为已安装VeraCrypt引导加载程序签名的CA。
• 成功输入密码之后（VeraCrypt引导加载程序显示明确的安全启动错误消息，或在较旧加载程序版本上返回密码提示）：固件不信任为Windows启动管理器副本（bootmgfw_ms.vc）签名的CA，而该副本由VeraCrypt链式加载。

1. 暂时在固件设置中禁用安全启动并正常启动Windows（禁用安全启动时VeraCrypt预启动身份验证仍可工作）。VeraCrypt救援盘可以恢复缺失或损坏的VeraCrypt引导加载程序组件，但无法生成当前的Windows启动管理器，也无法在PCA 2011 CA被加入dbx后使由其签名的 bootmgfw_ms.vc 重新获得信任；它不能替代完成Windows迁移。
2. 在Windows中修复固件/Windows安全启动策略（启用第三方CA、自定义密钥流程后恢复当前dbx，或应用上述Windows更新），然后以 修复/重新安装 模式运行VeraCrypt。修复会检查Windows维护的 EFI_EX/EFI 副本，并可安装兼容的当前Windows启动管理器。
3. 检查VeraCrypt诊断和内嵌签名，然后重新启用安全启动并执行一次受控重启。策略评估不完整或加载程序文件不兼容时不要重新启用。

旧版自定义密钥步骤（已弃用）