Secure boot windows 11 что это

Вместе с анонсом Windows 11, компания Microsoft опубликовала и новые системные требования для установки операционной системы Windows 11. В них требуется поддержка TPM 2.0, UEFI и Secure Boot. В результате, вокруг этих технологий возникло много вопросов. Пользователей интересует, что такое Secure Boot, как проверить его наличие на компьютере и как его включить в BIOS (UEFI), если он отключен.

Что такое Secure Boot или безопасная загрузка

Secure Boot – это протокол проверки загружаемых операционных систем, который является частью UEFI. Данный протокол проверяет цифровую подпись операционных систем или драйверов UEFI, которые загружаются при включении компьютера, и при отсутствии такой подписи предотвращает их запуск.

Использование Secure Boot защищает систему от внедрения вредоносного кода в загружаемые компоненты операционных систем. Такое внедрение, например, использовалось вирусом-вымогателем Petya, который распространялся в 2017 году. Также Secure Boot может использоваться для ограничения списка ОС, которые могут запускаться на компьютере.

На данный момент Secure Boot поддерживается такими операционными системами как Windows 8, Windows 10 и Windows 11, а также некоторыми дистрибутивами Linux, например, Fedora, openSUSE, RHEL, CentOS, Debian и Ubuntu.

В еще не выпущенной Windows 11 протокол Secure Boot является обязательным условием и указан в системных требованиях. Хотя, с помощью небольших ухищрений текущие сборки Windows 11 можно установить без TPM и Secure Boot.

Как узнать включен ли Secure Boot

Для того чтобы узнать включен ли Secure Boot на вашем компьютере можно воспользоваться средствами встроенными в Windows 10. Для этого нажмите Win-R на клавиатуре и выполните команду «msinfo32».

В результате должно появиться окно «Сведения о компьютере». Здесь в строке «Режим BIOS» будет указано, в каком режиме работает BIOS – UEFI или Устаревший (Legacy), а в строке «Состояние безопасной загрузки» – состояние Secure Boot (включено или отключено).

Если у вас Secure Boot включен и все готово к установке Windows 11, то должно быть так, как на скриншоте внизу:

• Режим BIOS – UEFI;
• Состояние безопасной загрузки – Вкл.

Также возможен следующий вариант:

• Режим BIOS – UEFI;
• Состояние безопасной загрузки – Откл.

В этом случае для обновления до Windows 11 нужно будет включить безопасную загрузку в BIOS.

Еще один вариант:

• Режим BIOS – Устаревший (Legacy);
• Состояние безопасной загрузки – не поддерживается.

В этом случае возможно 2 варианта, либо у вас старый компьютер без поддержки UEFI и Secure Boot, либо в настройках BIOS включена эмуляция старого BIOS (режим совместимости). Во втором случае для обновления до Windows 11 нужно будет отключить эмуляцию старого BIOS и включить Secure Boot. Функция эмуляции обычно называется CSM (Launch Compatibility Support Module).

Подробней в статье:

• Как проверить включена ли Безопасная загрузка на компьютере

Конвертация диска с MBR в GPT

Если включить Secure Boot для уже установленной Windows 10, то система может не загрузиться, а вы получите сообщение о том, что «Загрузочное устройство не найдено». Это происходит из-за того, что на диске используется таблица разделов MBR. Для решения этой проблемы диск нужно предварительно конвертировать из формата MBR в GPT.

Конвертацию диска из MBR в GPT можно выполнить непосредственно в процессе установки Windows 11, вызвав командную строку с помощью комбинации клавиш Shift-F10 (или Shift-Fn-F10), либо заранее, из рабочей Windows 10. Конвертацию при установке мы рассматривали в статье о преобразовании диска с MBR в GPT, здесь же будет рассмотрена конвертация из рабочей Windows 10.

Итак, для начала нужно открыть меню «Параметры» (комбинация клавиш Win-i), перейти в раздел «Обновление и безопасность – Восстановление» и нажать на кнопку «Перезагрузить сейчас».

После этого появится меню с дополнительными действиями. Здесь нужно выбрать «Поиск и устранение неисправностей», а потом «Командная строка». Также может понадобиться выбор пользователя и ввод пароля.

В результате перед вами появится командная строка. Сначала нужно выполнить команду, которая проверит возможность конвертации диска:

mbr2gpt /validate

Если все нормально и конвертация возможна, то вы получите сообщение «Validation completed successfully». Чтобы запустить конвертацию выполните команду:

mbr2gpt /convert

Если же проверка диска выдала сообщение «Failed», то нужно попробовать вручную указать номер диска. Для этого нужно добавить параметр «/disk:0», где 0 – это номер диска.

mbr2gpt /disk:0 /validate

Чтобы узнать номер диска выполните следующие команды:

diskpart
lis dis
exit

В результате в консоль будет выведен список дисков и их объем. Используя эту информацию, можно определить номер диска, который необходимо конвертировать.

После успешной проверки можно запускать конвертацию диска. Для этого нужно выполнить следующую команду:

mbr2gpt /disk:0 /convert

Где 0 – это номер диска.

После конвертации диска с MBR в GPT нужно зайти в BIOS и выполнить следующие настройки:

• Отключить эмуляцию старого BIOS;
• Включить безопасную загрузку.

Подробней в статьях:

• Как узнать в каком формате жесткий диск MBR или GPT
• Как преобразовать MBR в GPT в Windows 10

Как включить Secure Boot в BIOS

Для работы Secure Boot диск должен быть в формате GPT. Посмотрите раздел о конвертации диска (выше).

Процесс включения Secure Boot отличается в зависимости от производителя. Точные инструкции по работе с вашим BIOS можно получить в инструкции к материнской плате или ноутбуку. Здесь мы покажем настройку BIOS на примере материнской платы от ASUS.

Чтобы включить Secure Boot на материнской плате ASUS нужно войти в настройки BIOS, активировать режим «Advanced mode (F7)» и перейти в раздел «Boot». Здесь нужно открыть подраздел «CSM (Launch Compatibility Support Module)», который отвечает за эмуляцию старого BIOS.

Если функция «CSM» включена, то ее нужно отключить.

После этого нужно вернуться в раздел «Boot» и перейти в подраздел «Меню безопасной загрузки».

Здесь нужно поменять параметр «Тип ОС» на «Режим Windows UEFI».

После этого сохраняем настройки BIOS и загружаемся в Windows 10. Если диск был сконвертирован в GPT, то загрузка должна пройти без проблем.

Настройка Secure Boot на других платах:

• MSI;
• ASUS;
• Gigabyte / AORUS.

Ужесточение системных требований для Windows 11 изначально было предметом острых дискуссий – очень многие компьютеры, даже достаточно мощные, не обладают такими функциями, как TPM 2.0 и/или Secure Boot. Сегодня мы поговорим о безопасной загрузке (она же Secure Boot): что это такое, для чего нужна, как проверить наличие, включить или отключить.

Кратко о назначении Secure Boot

Под этим термином следует понимать специальный протокол, разработанный для тестирования операционных систем в момент их загрузки. Он является частью микропрограммного кода UEFI, а его деятельность заключается в проверке цифровой подписи загружаемых компонентов ОС, включая драйвера, и, если таковая не будет обнаружена, дальнейший запуск операционной системы останавливается с выдачей соответствующего ошибочного сообщения.

Такая проверка предотвращает загрузку вместе с операционной системой вредоносного кода, который может внедриться, например, в драйверы. Самый известный пример такого заражения – вирус Petya из категории вымогателей, который активно распространялся в сети в 2017 году.

Поскольку речь не идёт о проверке сигнатур и прочих хитростях, используемых антивирусными программами, сам модуль Secure Boot достаточно компактен, чтобы включить его в UEFI.

Такой подход имеет и недостатки – это совместимость на уровне операционных систем. В семействе Windows поддержка безопасной загрузки реализована, начиная с «восьмёрки», есть она и у некоторых ОС семейства Linux (Fedora, Debian, CentOS, Ubuntu и др.).

Но только в Windows 11 компьютер должен поддерживать безопасную загрузку на безусловном уровне, как и модуль TPM 2.0, реализуемый на аппаратном уровне. Впрочем, на программном уровне необходимость наличия этих функций реализована только факультативно, на этапе установки системы. В обычной работе компьютер вполне может обходиться и без них.

Как узнать наличие и статус Secure Boot

Если на вашем компьютере отсутствует или неактивны функция безопасной загрузки, вы просто не сможете обновиться с «десятки» до Windows 11. Так что первым делом нужно узнать, как конкретно у вас обстоят дела с этой фишкой. Сделать это можно несколькими способами. Например, с помощью встроенных в Windows 10 системных утилит (здесь и далее мы предполагаем, что будем обновляться или производить чистую установку именно с «десятки»):

Если в графе «Режим BIOS» указано Legacy, то в графе «Состояние безопасной загрузки» будет указано, что такой режим не поддерживается. Это не приговор, если у вас в UEFI и активирована эмуляция устаревшего BIOS, так иногда делают для обеспечения совместимости со старым ПО. В этом случае функцию эмуляцию (чаще всего она обозначается аббревиатурой CSM) нужно выключить, и проблема будет решена.

Если речь идёт об устаревшем BIOS, то здесь ситуация безвыходная, то есть придётся делать апгрейд или прибегать к другим не рекомендуемым Microsoft ухищрениям.

Итак, если вы убедились, что безопасная загрузка на вашем компьютере присутствует, можно приступать к её активации. Существует два способа, как сделать активной безопасную загрузку: через «параметры» Windows 10, и при загрузке ПК. Рассмотрим оба варианта – они равноценные, хотя первый намного проще.

Включение Secure Boot через «Параметры»

Последовательность действий должна быть такой:

ПК перезагрузится с активированной функцией Secure Boot. Если параметр Secure Boot Control отсутствует, скорее всего, безопасная загрузка здесь не поддерживается.

Включение безопасной загрузки при запуске Windows

Первым делом нам необходимо попасть в пользовательский интерфейс UEFI – у разных производителей чипсетов вход в настройки реализован по-своему, единого стандарта здесь не существует. Чаще всего для этого используются клавиши Delete и F2, но могут быть задействованы и другие функциональные клавиши.

Обычно эта информация выводится на стартовую заставку при загрузке системы, но она мелькает так быстро, что что-либо прочитать зачастую не представляется возможным. Можно найти эту информацию в документации, бумажной или онлайн, указав модель материнской платы.

Мы для удобства приводим таблицу, в которой указаны используемые ведущими производителями Motherboard клавиши для входа в BIOS:

Итак, после включения питания компьютера и появления заставки нажимаем нужную клавишу 2-4 раза ИП дожидаемся загрузки пользовательского интерфейса UEFI. Здесь жёстких стандартов тоже нет, поэтому состав меню UI может быть организован по-разному, хотя смысловая нагрузка микропрограммы будет примерно одинаковой.

Нам нужно искать параметр, включающий безопасную загрузку, то есть содержащий фразу Secure Boot. Чаще всего эта опция расположена в разделе «Boot», но в вашем случае это может быть и другая локация, например, раздел «System Configuration» или «Security».

Если ваши поиски не увенчались успехом, скорее всего, сам параметр необходимо где-то активировать, но здесь поможет только фирменная документация материнской платы или интернет. В последнем случае вам нужно определить модель своей МП, например, с помощью встроенной утилиты msinfo32, о которой мы уже упоминали, в разделе «Сведения о системе».

Найдя параметр Secure Boot, останется активировать его, присвоив значение Enabled и выйти из настроек UEFI с сохранением произведённых изменений.

Отключение безопасной загрузки

Если у вас стоит «десятка», может возникнуть необходимость в установке младших версий Windows или Linux. С включённой опцией Secure Boo вы этого не сможете сделать. Безопасная загрузка может стать помехой и для работы некоторых видеоадаптеров или другого «железа», особенно если это оборудование не оснащено цифровой подписью и будет определено при загрузке как ненадёжное. Сама загрузка ОС при этом прервётся.

Так что в этих случаях Secure Boot необходимо деактивировать. Способов, как отключить функцию безопасной загрузки Windows, существует тоже два, через «Параметры» и через настройки UEFI. Всё, что вам нужно сделать, – воспользоваться описанными выше инструкциями, а на завершающей стадии изменить значение параметра Secure Boot на Disabled.

Заключение

Включение Secure Boot – задача несложная. Может ли Windows 11 работать без этой функции? Вполне, она действительно нужна только при установке операционной системы. Но в сети уже выкладываются способы, как обойти такую проверку при инсталляции ОС, и эти методы можно использовать и для тех компьютеров, BIOS которых не поддерживает безопасную загрузку.

Получить Windows 11 можно тремя способами: бесплатно обновиться с Windows 10, купить готовый компьютер с предустановленной Windows 11 или купить систему отдельно.

Если у вас есть лицензионная копия Windows 10 и компьютер соответствует минимальным системным требованиям, то обновление вы получите бесплатно. По словам Microsoft, распространение обновлений начнется позднее в этом году и продолжится в 2022 году. Обновление не будет одновременным для всех. Уведомление о доступном обновлении появится в «Центре обновления Windows». Обратите внимание, что у вас должны быть установлены все последние обновления для Windows 10. Кроме того, позднее в этом году можно будет приобрести готовый персональный компьютер с предустановленной Windows 11. Точные сроки не называются.

1. Как установить Windows 11: проверяем системные требования, активируем TPM и Secure Boot
2. Как настроить TPM 2.0 для установки Windows 11
3. Как получить бета-версию Windows 11. Как подключиться к Windows Insider. Какой канал выбрать. Что делать, если процессор не соответствует системным требованиям Windows 11
4. Поддерживаемые процессоры для Windows 11. Список процессоров от intel и AMD, на которых будет работать новая операционная система
5. Как убрать виджет «Погода» с панели задач в Windows 10 и Windows 11. Как настроить «Новости и интересы» в Windows 10
6. Оптимизация Windows 10 и Windows 11. Как ускорить систему, отключить автозапуск программ, удалить временные файлы и другие советы
7. Как навсегда отключить обновления в Windows 10, Windows 11 и остановить фоновую загрузку приложений
8. Чем отличаются версии Home и Pro у Windows 11
9. Как можно уменьшить потребление оперативной памяти в Windows 11
10. Как и чем заменить меню «Пуск» в Windows 11
11. 25 команд Windows, которые вам точно стоит запомнить
12. Как изменить время до блокировки экрана в Windows 11
13. Как отключить сенсорный экран в ноутбуке с Windows 11
14. Как сделать маленькую панель задач в Windows 11
15. Как зайти в UEFI в Windows 11
16. Как Windows 11 сделать похожей на Windows 10
17. Как ускорить компьютер на Windows 10 и Windows 11 при помощи одной функции

Проверьте системные требования

Официальные системные требования указаны на сайте Microsoft:

• процессор: 64-битный двухъядерный с тактовой частотой не менее 1 ГГц;
• оперативная память: 4 гигабайта;
• накопитель: 64 гигабайта;
• видео: с поддержкой DirectX 12 или более поздней версии и драйвером WDDM 2.0;
• дисплей: не менее 9 дюймов;
• прочее: модуль TPM 2.0 и поддержка Secure Boot.

Несмотря на довольно скромные требования по процессору, компания представила список официально поддерживаемых CPU. В него не входят довольно распространенные AMD Ryzen первого поколения (с архитектурой Zen) и процессоры Intel до восьмого поколения (Coffee Lake). Но паниковать не стоит, скорее всего, это просто официальные рекомендации компании, а не исчерпывающий список. Полный список процессоров можно найти по ссылкам: Intel и AMD.

Тем не менее программа PC Health Check, которая предназначена для проверки совместимости вашей системы с Windows 11, вряд ли даст зеленый свет официально незаявленным процессорам. У автора этой статьи так и не вышло «получить разрешение» на процессоре Ryzen 1600.

Активируйте программный модуль TPM

TPM — это криптографический модуль для шифрования данных и защиты от взлома. Он представляет собой отдельный чип на материнской плате. На большинстве моделей, продающихся в России, такого модуля нет из-за необходимой сертификации такого оборудования. Но может быть специальный слот для его подключения. Также многие материнские платы поддерживают программную реализацию TPM.

Обратите внимание, в системных требованиях Windows 11 указан TPM версии 2.0. Напомним, ранее компания заявляла, что будет достаточно более старой версии 1.2.

Чтобы проверить наличие модуля, нажмите сочетание клавиш Win + R и выполните команду tpm.msc. Откроется окно «Управление доверенным платформенным модулем на локальном компьютере». Если высветилось предупреждение «Не удается найти совместимый доверенный платформенный модуль», значит модуль не активен.

Рассмотрим активацию модуля на примере материнской платы ASUS с логикой от AMD. Сначала нужно попасть в BIOS (при загрузке нажмите Del или F2). Затем нажмите F7, чтобы перейти к расширенным настройкам. Переключитесь на вкладку Advanced и выберите строку AMD fTPM configuration. Далее активируйте (enabled) строку AMD fTPM switch. Подробнее об активации модуля TPM на других материнских платах читайте в нашем гайде «Как настроить TPM 2.0 для установки Windows 11».

Кроме того, в сети уже научились обходить требование Windows 11 по TPM путем замены файла appraiserres.dll, который можно взять из образа Windows 10.

Активируйте Secure Boot

Secure Boot — это режим безопасной загрузки, который является частью UEFI. Если говорить проще, то UEFI представляет собой более современную и продвинутую реализацию BIOS. В системных требованиях Windows 11 обязательно наличие UEFI и Secure Boot. Проверить наличие UEFI и Secure Boot можно так: нажмите сочетание клавиш Win + R и введите команду msinfo32. Обратите внимание на две строчки: в пункте «Режим BIOS» должно стоять UEFI, а «Состояние безопасной загрузки» должно быть включено.

Также проверить эти параметры можно через программу HWiNFO 64. Откройте главное окно программы — это корневая папка с названием вашего компьютера в левой части экрана. В правой части экрана должны быть строчки UEFI Boot: Present и Secure Boot: Present.

Если безопасная загрузка не работает, то нужно включить ее в BIOS. Разберем активацию Secure Boot на примере материнской платы ASUS. Во время загрузки системы нажмите клавишу Del или F2, чтобы зайти в BIOS. Перейдите в расширенные настройки, нажав клавишу F7. Далее перейдите на вкладку Boot и выберите строчку Secure Boot. Далее в строке Secure Boot State выставьте значение Enabled. В строке OS Type должно быть Windows UEFI mode.

Что еще нужно сделать

Также стоит попробовать выключить CSM. На примере материнской платы ASUS: зайдите во вкладку Boot и выберите строчку Launch CSM. Выставьте параметр Disabled. Обратите внимание, что в этом режиме работает только UEFI, который не поддерживает структуру разделов MBR. В этом случае загрузочный диск должен иметь структуру GPT, в противном случае вы не сможете загрузить систему.

Кроме того, стоит попробовать включить опцию Fast Boot, которая находится в той же вкладке Boot.

• Послушайте подкаст VGTimes. Главные детали Windows 11, Гоблин против S.T.A.L.K.E.R. 2, Atomic Heart забанили на YouTube
• Что нужно знать о Windows 11: новое меню «Пуск», быстрые загрузки игр и выросшие системные требования. Обновляться ли?
• Программа от энтузиастов покажет, чего не хватает компьютеру для работы с Windows 11. Причём лучше, чем официальная утилита

Windows 11 и безопасная загрузка — как включить? Войдите в раздел «Параметры», кликните на пункт «Обновление и безопасность», жмите на «Восстановление» и перейдите в «Расширенный запуск». Кликните на «Перезагрузить сейчас», выберите «Поиск и устранение неисправностей», войдите в «Дополнительные …» и «Параметры встроенного ПО UEFI». Жмите «Перезагрузить» войдите на страницу загрузки / безопасности, найдите Secure Boot Control, войдите, выберите Enable и подтвердите настройку. Далее выйдите из настроек и подтвердите изменения и перезагрузитесь.

Как включить безопасную загрузку

Вопрос, как включить безопасную загрузку для Виндовс 11, возникает при установке операционной системы. Это важный протокол, являющийся частью UEFI. В его функции входит проверка подписи ОС или драйверов, которые загружаются при запуске ПК. Включение безопасной загрузки для Windows 11 является обязательным, ведь без нее поставить новую ОС не получится, а проверка обновления будет выдавать ошибку.

Для начала необходимо проверить, включена ли эта опция на вашем ПК / ноутбуке. Алгоритм действий имеет следующий вид:

1. Кликните на меню «Пуск».
2. В строке поиска введите «Сведения о системе».
3. Слева жмите на кнопку «Сведения о системе» слева.
4. Проверьте информацию по состоянию безопасной загрузки. Если показывает «Вкл», значит, опция активна, а если «Откл», значит, безопасная загрузка для Windows 11 не поддерживается или ее нужно включить одним из доступных способов.
5. Посмотрите режим «Режим BIOS». Если он установлен как UEFI, вы можете включить Secure Boot. Если стоит Legacy (BIOS), вы можете включить эту опцию.

Как включить Secure Boot

Существует несколько способов, как включить на Windows 11 Secure Boot — с помощью встроенных возможностей или через БИОС. Рассмотрим каждый из вариантов подробнее.

Способ №1

Сразу отметим, что компьютер должен поддерживать безопасную загрузку Windows 11. Если это так, сам процесс не занимает много времени. Пройдите следующие шаги:

• Войдите в «Параметры».
• Кликните на «Обновление и безопасность».
• Жмите «Восстановление».
• Войдите в пункт «Расширенный запуск» и кликните на «Перезагрузить сейчас».

• Зайдите в «Поиск и устранение неисправностей».

• Жмите «Дополнительные параметры».

• Войдите на «Параметры встроенного ПО UEFI».

• Кликните «Перезагрузить» и дождитесь, пока загрузится система.
• Отыщите вариант Secure Boot Control и кликните «Ввод».
• Выберите Enable и подтвердите действие.
• Выйдите из настроек.
• Подтвердите изменения для перезагрузки ПК.

Способ №2

Второй способ, как сделать безопасную загрузку в Windows 11 — выполнить работу при запуске. Сделайте следующее:

1. Жмите на кнопку питания.
2. Смотрите на информацию на заставке, чтобы понять, какую клавишу нажать для входа. Для ASUS, MSI и других материнских плат могут быть разные клавиши.
3. Откройте страницу загрузки / безопасности.
4. Выберите Secure Boot Control, а после жмите «Ввод».
5. Кликните «Enable».
6. Выйдите из UEFI-настроек, подтвердите данные и выйдите.

Если не поддерживается

Наиболее сложная ситуация, когда компьютер не поддерживает безопасную загрузку для Windows 11. В таком случае может потребоваться обновление оборудования и покупка более современного «железа».

Включение безопасного режима (Safe Mode)

Следующий по важности вопрос — как загрузить Виндовс 11 в безопасном режиме. Для этого также существует несколько методов.

Способ №1

Наиболее простой метод, как выполнить запуск в Windows 11 в безопасном режиме — сделать это через командную строку. Алгоритм действий такой:

• Кликните Win+R.
• Введите msconfig.

• В появившемся окне «Конфигурация системы» поставьте отметку в нужной опции.
• Примите настройки и перезапустите ПК / ноутбук.

Способ №2

Если Windows 11 требует безопасную загрузку, можно включить этот режим через раздел параметров. Сделайте следующие шаги:

• Зайдите в пункт «Параметры» или кликните Win+I.
• В разделе «Система» войдите в пункт «Восстановление».

• В категории «Параметры восстановления» перейдите в «Расширенные параметры запуска».

• Кликните «Перезагрузить сейчас».
• Подтвердите перезапуск.
• Войдите в «Поиск и устранение неисправностей», кликните «Дополнительные …», жмите «Параметры загрузки», а после «Перезагрузить».
• Выберите подходящий режим для запуска Виндовс 11 в необходимом режиме.

Способ №3

Если не удается разобраться, как войти в Windows 11 в безопасный режим при загрузке, войдите в него через окно блокировки. Чтобы включить опцию, сделайте следующее:

1. Кликните на кнопку питания справа в углу блокировки.
2. Нажмите Shift и, удерживая ее, жмите «Перезагрузка».
3. Войдите в «Поиск и устранение неисправностей».
4. Кликните на дополнительные параметры, а после «Параметры загрузки».
5. Подтвердите перезагрузку.
6. Жмите F4 или 4 для пуска.

Если в любом из приведенных способов ПК / ноутбук не загружается в Safe Mode, попробуйте другой вариант.

Что это такое и для чего

Безопасная загрузка в Windows 10 — обязательное условие для Windows 11. Это функция безопасности, которая встроена в большую часть современной аппаратуры и прошивки UEFI. В ее функции входит обеспечение безопасной среды для запуска Виндовс и предотвращение проникновения вредоносного ПО.

Применение Secure Boot позволяет защитить систему от вредоносного кода, а также для ограничения списка ОС. В большинстве современных система такая опция есть. При этом состояние безопасной загрузки не поддерживается для Windows 11 только на старых устройствах. При необходимости его можно включить.

Не стоит путать Secure Boot с другой опцией — Safe Mode. Вопрос, как запустить Windows 11 в безопасном режиме, может возникнуть при необходимости диагностики системы. Он используется для исправления разных ошибок в операционной системе. При этом в ОС загружается минимальное количество элементов.

Частые проблемы и пути решения

В большинстве случаев зайти в безопасный режим не составляет труда. Если какой-то из способов не сработал, можно использовать следующий и т. д. Если не удается войти в Safe Mode, может потребоваться удаление файла faceit, из-за которого зачастую возникает ошибка.

В случае с Secure Boot все сложнее, ведь такая опция либо поддерживается оборудованием, либо нет. В первом случае ее необходимо включить, а во втором — обойти проверку или установить более новое «железо».

Теперь вы знаете, для чего нужен специальный режим для Windows 11 и безопасная загрузка, как включить, и какие функции он выполняет. В комментариях расскажите, приходилось ли вам сталкиваться с такой задачей, что для этого необходимо, и какие есть варианты.

Отличного Вам дня!

Компьютерные вирусы стали неотъемлемой частью нашей жизни. О них слышали даже те люди, которые сроду не пользовались компьютерами. Для улучшение защиты от зловредного ПО и был внедрен протокол Secure Boot. О том, с чем его едят и как его отключать будет подробно описано в статье.

Secure Boot – одно из новшеств, привнесенных при внедрении UEFI. Это в свою очередь приемник БИОСа. Он, соответственно, отвечает за подготовку и загрузку ОС. BIOS можно считать очень простой утилитой с примитивным дизайном, которая прошита в материнскую плату. UEFI выполняет те же функции, но это уже весьма красивая и продвинутая программа. Например, при упорстве с помощью UEFI можно даже просматривать содержимое подключенных накопителей, что для BIOS считалось бы невероятным новшеством.

Не одними только эстетическими побуждениями руководствовались творцы UEFI. Одной из важных целей при разработке было обнаружить и ограничить влияние вредоносного ПО. Предполагалось, что технология станет препятствовать его загрузке вместе с операционной системой (ОС), а также исполнению на уровня ядра ОС после ее запуска. Честь исполнять эту важную миссию выпала на протокол Secure Boot. Техническая реализация была такой: использовалась криптографическая схема с открытыми и закрытыми сигнатурами (электронными цифровыми подписями, ЭЦП). В общем виде цели были достигнуты, но на практике это требовало определенных и правильных действий не только со стороны пользователей, но и со стороны производителей компьютерного оборудования. Описание всего процесса займет много времени, так что остановимся на ключевых особенностях:

• программные компоненты (драйвера, загрузчики ОС) имеют специальные ЭЦП, также они есть и в прошивке материнки, но характеристики этих ЭЦП отличается;
• при использовании ресурсов компьютера компоненты должны доказать при помощи ЭЦП, что они не вирусы;
• ключевой фактор безопасности – закрытый ключ, который в идеале должен быть уникальным у каждого ПК.

Сложности с технологией начались еще на этапе внедрения, когда Microsoft заявила, что с помощью протокола будет ограничивать установку других ОС на компьютеры с предустановленной Windows. Тогда от таких планов отказались под натиском общественности, но осадок остался. На сегодня основная сложность заключается в том, что производители материнских плат используют одинаковые закрытые ключи для всей своей продукции либо для отдельных линеек. В любом случае благие намерения привели к тупику.

В подавляющем большинстве случаев отключать Secure Boot стоит для решения двух проблем:

1. Если не устанавливается или не загружается ОС.
2. При невозможности загрузиться с загрузочной флешки.

Secure Boot сам по себе никаким образом не нагружает систему, так как работает на более низком программном уровне. Отключение протокола однозначно не улучшит отзывчивость системы и не повысит быстродействие процессора.

Как отключить защиту Secure Boot в БИОСе?

Отметим, что некоторые пользователи ошибочно думают, что протокол Secure Boot отключается в BIOS. У этой достаточно примитивной прошивки нет, не было, и не может быть поддержки СекюрБут. Этот протокол безопасности работает исключительно на UEFI и отключение нужно производить именно там. Природа этой ошибки вполне простая. За многие годы пользователи привыкли, что все, что возникает на экране до загрузки ОС это и есть БИОС. В действительности времена этой программной надстройки уходят и она уже является устарелой в любом отношении.

Примеры отключения Secure Boot на разных ноутбуках и материнских платах

Общий алгоритм всегда один и тот же:

1. Вход в UEFI.
2. Поиск нужной опции.
3. Отключение SecureBoot.
4. Запись изменений.

Важно, что этот протокол безопасности поддерживается только в Windows 8 и более поздних версиях. Следовательно, если у вас в прошивке материнской платы включен Secure Boot, но на ПК установлена Windows 7, то ничего отключать не надо. Опция безопасной загрузки все равно не работает, а возможные проблемы с запуском ОС нужно искать в других местах.

Как отключить Secure Boot и UEFI на ноутбуке Acer Aspire?

Есть много моделей ноутбуков этого производителя, но специфика такова, что сначала требуется создать собственный пароль. Общий алгоритм действия следующий:

• заходите в BIOS-UEFI нажатием на клавишу F2 или Delete;
• переходите во вкладку “Security”, выбираете опцию “Set Supervisor Password”;
• в специальном окошке 2 раза вводите пароль. Не изощряйтесь, используйте простую комбинацию;
• успешность будет подтверждена сообщением “Changes have been saved”;
• переходите во вкладку “Boot” и в строке “Boot Mode” указываете значение “Legacy”;
• жмете F10 и выполняете запись модификаций установок;
• при последующей перегрузке снова войдите в UEFI;
• переходите во вкладку “Security”, выбираете опцию “Set Supervisor Password”, вводите ранее указанный пароль;
• переходите во вкладку “Boot” и в строке “Secure Boot” указываете значение “Disabled”;
• снова сохраняете изменения.

Отключение Secure Boot на ноутбуках Pavilion и других моделях HP?

1. Для входа в биос жмите на ESC или ESC => F10 перед запуском Windows.
2. Перейдите во вкладку “System Configuration”, а в ней отыщите строчку “Boot Options”.
3. Установите для критерия “Secure Boot” опцию “Disabled”, а для критерия “Legacy support” – “Enabled”.
4. Система спросит, действительно ли вы готовы изменить настройки – подтвердите это нажатием на “Yes”.
5. В конце нужно сохранить выполненные изменения нажатием на F10 и подтверждением “Yes”.

При последующей перезагрузке будьте внимательны. Система перестрахуется и включит “защиту от дурака”. Нужно смотреть на то, что идет после надписи “Operating System Boot Mode Change (021)” – там будет указана цифровая последовательность. Наберите ее и нажмите Enter. Если вам нужно просто отключить Secure Boot, то дальше ничего делать не нужно. Если же изначально все делалось ради возможности загрузиться с USB-носителя, то сразу после прохождения “защиты от дурака” жмите ESC, а потом F9. Установите требуемой флешке максимальный приоритет, чтобы она грузилась первой на жесткий диск.

На ноутбуках Dell

1. F12 сразу после включения компьютера и перед стартом ОС.
2. В верхней панели переходите во вкладку Boot и заходите в подраздел UEFI BOOT.
3. Устанавливаете для критерия “Secure Boot” опцию “Disabled”.
4. Сохраняете изменения (F10 => “Yes”) и перезагружаете ноутбук.

Secure Boot на ноутбуках Леново и Тошиба

Для входа в UEFI на этих устройствах нужно жать F12, после чего выполнять следующие действия:

• перейдите во вкладку “Security”;
• установите для критерия “Secure Boot” опцию “Disabled”;
• перейдите на вкладку “Advanced”, а в ней зайдите в меню “System Configuration”;
• установите для критерия “Boot Mode (OS Mode Selection)” опцию “CSM Boot (CMS OS), (UEFI and Legacy OS)”;
• сохраните все нажатием на F10 => “Yes”.

Отключения Secure Boot на материнских платах

Рынок материнских плат для настольных компьютеров достаточно консервативен и явными лидерами являются 2 компании: Asus и Gigabyte. Они поставляют более половины всего оборудования, так что рассматривать способы деактивации Secure Boot рациональней всего именно в разрезе этих производителей. В любом случае третье и четвертое место давно оккупировали MSI и ASRock, – первая четверка полностью состоит из компаний Тайваня. Итог: принципиальных различий в инструкции по отключению все равно не будет и большая часть пользователей найдет ниже именно то, что ищет.

Отметим, что перейти сразу в UEFI можно в некоторых случаях напрямую с Windows (от 8 версии и более поздних). Для этого пробуйте следующее:

• На рабочем столе справа вызовите выдвижную панель.
• После следуйте по пути:  “Параметры” => “Изменение параметров…” => “Обновление и…” => “Восстановление”;
• В возникшем окне найдите опцию перезагрузки системы и установите в этой строке значение “Настройки по UEFI” или “Параметры встроенного ПО UEFI”;
• После жмите на “Перезагрузить” и в дальнейшем должен автоматически запуститься UEFI.

Как отключить Secure Boot на материнской плате Gigabyte?

После входа в UEFI (нажатием на F12 перед запуском ОС) действуйте следующим образом:

• перейдите во вкладку “BIOS Features”;
• установите для критерия “Windows 8 Features” опцию “Other OS”;
• для критерия “Boot Mode Selection” — “Legacy only” или “UEFI and Legacy” (между ними нет особой разницы);
• для критерия “Other PCI Device ROM Priority” – “Legacy OpROM”.

После всего нужно выполнить запись изменений, то есть нажать F10 => “OK”.

Материнские платы и ноутбуки Асус

Сразу отметим, что чаще всего на материнках именно этого производителя появляется ошибка при загрузке ОС: Invalid signature detected. Check Secure Boot Policy in Setup. В большинстве случаев для устранения проблемы следует выключить Secure Boot, а для этого необходимо:

• зайти в UEFI – жмите перед загрузкой ОС на F2, Delete или комбинацию клавиш Fn+F2;
• на начальном экране жмите на F7 (Advanced Mode), а потом перейдите в меню “Boot” => “Secure Boot Menu”;
• укажите в строчке “Secure Boot State” значение “Enabled”, а в строчке “OS Type” – “Other OS”;
• вернитесь на один уровень назад в меню “Boot” => “Compatibility Support Module (CSM)”;
• установите в строчке “Launch CSM” значение “Enabled”, а в строчке “Boot Device Control” – “UEFI and Legacy …” либо “Legacy OpROM …”, а в строке “Boot From Storage Devices” – “Both Legacy opROM first”, либо “Legacy opROM first”;
• после этого жмите на F10 и сохраняйте все изменения, а после проверяйте корректность выполненных настроек.

Конкретно для ноутбуков Asus алгоритм будет следующим:

• зайдите в UEFI;
• перейдите во вкладку “Security”;
• отыщите строчку “Secure Boot Control”, укажите в ней значение “Disabled”;
• перейдите во вкладку “Boot”;
• отыщите строчку “Fast Boot”, установите в ней значение “Disabled”, а в строке “Launch CSM” значение “Enabled”.

Как узнать активирована ли функция Secure Boot на Windows?

Этот протокол несложно активировать и деактивировать, а для понимания текущего статуса есть несколько проверенных подходов:

1. При помощи сведений о системе. Запустите утилиту “Выполнить”. Для этого необходимо зажать комбинацию клавиш Win+R, в появившейся строке ввести msinfo32 и нажать на Enter. Возникнет новое окно. Убедитесь, что в его левой панели выбрана строчка “Сведения о системе”. В правой панели ищите строку “Состояние безопасной загрузки”, у которой есть только 2 значения “Включить” и “Отключить”.
2. При помощи PowerShell. В утилите “Выполнить” запустите команду powershell. Откроется новое окно, в которое скопируйте следующее: Confirm-SecureBootUEFI. Если на этот запрос выдаст ответ “True”, то значит опция активна, а если “False”, то деактивированна. Если же появится уведомление иного характера, то значит материнка не поддерживает функцию Secure Boot.
3. Эмпирическим путем. Создайте загрузочную флешку с Windows и попробуйте загрузиться с нее после перезагрузки компьютера. Если все получается успешно, то значит опция выключена, при иных обстоятельствах будет отображаться соответствующее сообщение о невозможности загрузки по соображениям безопасности.

Заключение

1. Secure Boot появился в компьютерном мире относительно недавно и этот протокол безопасности является составляющей UEFI – современным и актуальным видом прошивки материнских плат.
2. Протокол безопасности препятствует запуску вредоносного ПО на более низком уровне, чем это делают обычные антивирусы. Поэтому при правильной настройке эта технология может существенно повысить устойчивость ПК к вирусам.
3. Secure Boot стоит отключать по необходимости, если он препятствует старту системы с загрузочной флешки или при переустановке Windows. Просто для эксперимента технологию деактивировать не стоит.
4. Для любого компьютера схема деактивации одна и та же – за счет указания подходящего критерия в нужном меню UEFI. Главное – это найти правильный путь к такому меню. Даже при существенных сложностях это займет не больше 10 минут.

UEFI

UEFI (Unified Extensible Firmware Interface) — замена устаревшему BIOS. Эта спецификация была придумана Intel для Itanium, тогда она еще называлась EFI (Extensible Firmware Interface), а потом была портирована на x86, x64 и ARM. Она разительно отличается от BIOS как самой процедурой загрузки, так и способами взаимодействия с ОС. Если вы купили компьютер в 2010 году и позже, то, вероятнее всего, у вас UEFI.

Основные отличия UEFI от BIOS:

• Поддержка GPT (GUID Partition Table)

GPT — новый способ разметки, замена MBR. В отличие от MBR, GPT поддерживает диски размером более 2ТБ и неограниченное количество разделов, в то время как MBR поддерживает без костылей только 4. UEFI по умолчанию поддерживает FAT32 с GPT-разделов. MBR сам UEFI не поддерживает, поддержка и загрузка с MBR осуществляется расширением CSM (Compatibility Support Module).

• Поддержка сервисов

В UEFI есть два типа сервисов: boot services и runtime services. Первые работают только до загрузки ОС и обеспечивают взаимодействие с графическими и текстовыми терминалами, шинами, блочными устройствами и т.д., а runtime services может использовать ОС. Один из примеров runtime services — variable service, который хранит значения в NVRAM. ОС Linux использует variable service для хранения креш дампов, которые можно вытащить после перезагрузки компьютера.

• Модульная архитектура

Вы можете использовать свои приложения в UEFI. Вы можете загружать свои драйверы в UEFI. Нет, правда! Есть такая штука, как UEFI Shell. Некоторые производители включают его в свой UEFI, но на моем лаптопе (Lenovo Thinkpad X220) его нет. Но можно его просто скачать из интернета и поставить на флешку или жесткий диск. Также существуют драйверы для ReiserFS, ext2/3/4 и, возможно, еще какие-то, я слишком не углублялся. Их можно загрузить из UEFI Shell и гулять по просторам своей файловой системы прямо из UEFI.
Еще UEFI поддерживает сеть, так что если найдете UEFI-драйвер к своей сетевой карте, или если он включен производителем материнской платы, то можете попинговать 8.8.8.8 из Shell.
Вообще, спецификация UEFI предусматривает взаимодействия драйверов UEFI из ОС, т.е. если у вас в ОС нет драйвера на сетевую карту, а в UEFI он загружен, то ОС сможет использовать сетевую карту через UEFI, однако таких реализаций я не встречал.

• Встроенный менеджер загрузки

В общем случае, для UEFI не требуется ставить загрузчик, если вы хотите мультизагрузку. Можно добавлять свои пункты меню, и они появятся в загрузочном меню UEFI, прямо рядом с дисками и флешками. Это очень удобно и позволяет грузить Linux вообще без загрузчика, а сразу ядро. Таким образом, можно установить Windows и Linux без сторонних загрузчиков.

Как происходит загрузка в UEFI?

С GPT-раздела с идентификатором EF00 и файловой системой FAT32, по умолчанию грузится и запускается файл efibootboot[название архитектуры].efi, например efibootbootx64.efi
Т.е. чтобы, например, создать загрузочную флешку с Windows, достаточно просто разметить флешку в GPT, создать на ней FAT32-раздел и просто-напросто скопировать все файлы с ISO-образа. Boot-секторов больше нет, забудьте про них.
Загрузка в UEFI происходит гораздо быстрее, например, загрузка моего лаптопа с ArchLinux с нажатия кнопки питания до полностью работоспособного состояния составляет всего 30 секунд. Насколько я знаю, у Windows 8 тоже очень хорошие оптимизации скорости загрузки в UEFI-режиме.

Secure Boot

Я видел много вопросов в интернете, вроде:

«Я слышал, что Microsoft реализовывает Secure Boot в Windows 8. Эта технология не позволяет неавторизированному коду выполняться, например, бутлоадерам, чтобы защитить пользователя от malware. И есть кампания от Free Software Foundation против Secure Boot, и многие люди были против него. Если я куплю компьютер с Windows 8, смогу ли я установить Linux или другую ОС? Или эта технология позволяет запускать только Windows?»

Начнем с того, что эту технологию придумали не в Microsoft, а она входит в спецификацию UEFI 2.2. Включенный Secure Boot не означает, что вы не сможете запустить ОС, отличную от Windows. На самом деле, сертифицированные для запуска Windows 8 компьютеры и лаптопы обязаны иметь возможность отключения Secure Boot и возможность управления ключами, так что беспокоится тут не о чем. Неотключаемый Secure Boot есть только на планшетах на ARM с предустановленной Windows!

Что дает Secure Boot? Он защищает от выполнения неподписанного кода не только на этапе загрузки, но и на этапе выполнения ОС, например, как в Windows, так и в Linux проверяются подписи драйверов/модулей ядра, таким образом, вредоносный код в режиме ядра выполнить будет нельзя. Но это справедливо только, если нет физического доступа к компьютеру, т.к., в большинстве случаев, при физическом доступе ключи можно заменить на свои.

В Secure Boot есть 2 режима: Setup и User. Первый режим служит для настройки, из него вы можете заменить PK (Platform Key, по умолчанию стоит от OEM), KEK (Key Exchange Keys), db (база разрешенных ключей) и dbx (база отозванных ключей). KEK может и не быть, и все может быть подписано PK, но так никто не делает, вроде как. PK — это главный ключ, которым подписан KEK, в свою очередь ключами из KEK (их может быть несколько) подписываются db и dbx. Чтобы можно было запустить какой-то подписанный .efi-файл из-под User-режима, он должен быть подписан ключом, который в db, и не в dbx.

Для Linux есть 2 пре-загрузчика, которые поддерживают Secure Boot: Shim и PRELoader. Они похожи, но есть небольшие нюансы.
В Shim есть 3 типа ключей: Secure Boot keys (те, которые в UEFI), Shim keys (которые можно сгенерировать самому и указать при компиляции), и MOKи (Machine Owner Key, хранятся в NVRAM). Shim не использует механизм загрузки через UEFI, поэтому загрузчик, который не поддерживает Shim и ничего не знает про MOK, не сможет выполнить код (таким образом, загрузчик gummiboot не будет работать). PRELoader, напротив, встраивает свои механизмы аутентификации в UEFI, и никаких проблем нет.
Shim зависит от MOK, т.е. бинарники должны быть изменены (подписаны) перед тем, как их выполнять. PRELoader же «запоминает» правильные бинарники, вы ему сообщаете, доверяете вы им, или нет.
Оба пре-загрузчика есть в скомпилированном виде с валидной подписью от Microsoft, поэтому менять UEFI-ключи не обязательно.

Secure Boot призван защитить от буткитов, от атак типа Evil Maid, и, по моему мнению, делает это эффективно.
Спасибо за внимание!