Secure Boot: как отключить защиту или настроить правильно в UEFI
Компьютерные вирусы стали неотъемлемой частью нашей жизни. О них слышали даже те люди, которые сроду не пользовались компьютерами. Для улучшение защиты от зловредного ПО и был внедрен протокол Secure Boot. О том, с чем его едят и как его отключать будет подробно описано в статье.
Что такое Secure Boot (Безопасная загрузка) и когда может потребоваться ее отключение?
Secure Boot – одно из новшеств, привнесенных при внедрении UEFI. Это в свою очередь приемник БИОСа. Он, соответственно, отвечает за подготовку и загрузку ОС. BIOS можно считать очень простой утилитой с примитивным дизайном, которая прошита в материнскую плату. UEFI выполняет те же функции, но это уже весьма красивая и продвинутая программа. Например, при упорстве с помощью UEFI можно даже просматривать содержимое подключенных накопителей, что для BIOS считалось бы невероятным новшеством.
Не одними только эстетическими побуждениями руководствовались творцы UEFI. Одной из важных целей при разработке было обнаружить и ограничить влияние вредоносного ПО. Предполагалось, что технология станет препятствовать его загрузке вместе с операционной системой (ОС), а также исполнению на уровня ядра ОС после ее запуска. Честь исполнять эту важную миссию выпала на протокол Secure Boot. Техническая реализация была такой: использовалась криптографическая схема с открытыми и закрытыми сигнатурами (электронными цифровыми подписями, ЭЦП). В общем виде цели были достигнуты, но на практике это требовало определенных и правильных действий не только со стороны пользователей, но и со стороны производителей компьютерного оборудования. Описание всего процесса займет много времени, так что остановимся на ключевых особенностях:
Сложности с технологией начались еще на этапе внедрения, когда Microsoft заявила, что с помощью протокола будет ограничивать установку других ОС на компьютеры с предустановленной Windows. Тогда от таких планов отказались под натиском общественности, но осадок остался. На сегодня основная сложность заключается в том, что производители материнских плат используют одинаковые закрытые ключи для всей своей продукции либо для отдельных линеек. В любом случае благие намерения привели к тупику.
В подавляющем большинстве случаев отключать Secure Boot стоит для решения двух проблем:
Secure Boot сам по себе никаким образом не нагружает систему, так как работает на более низком программном уровне. Отключение протокола однозначно не улучшит отзывчивость системы и не повысит быстродействие процессора.
Как отключить защиту Secure Boot в БИОСе?
Отметим, что некоторые пользователи ошибочно думают, что протокол Secure Boot отключается в BIOS. У этой достаточно примитивной прошивки нет, не было, и не может быть поддержки СекюрБут. Этот протокол безопасности работает исключительно на UEFI и отключение нужно производить именно там. Природа этой ошибки вполне простая. За многие годы пользователи привыкли, что все, что возникает на экране до загрузки ОС это и есть БИОС. В действительности времена этой программной надстройки уходят и она уже является устарелой в любом отношении.
Примеры отключения Secure Boot на разных ноутбуках и материнских платах
Общий алгоритм всегда один и тот же:
Важно, что этот протокол безопасности поддерживается только в Windows 8 и более поздних версиях. Следовательно, если у вас в прошивке материнской платы включен Secure Boot, но на ПК установлена Windows 7, то ничего отключать не надо. Опция безопасной загрузки все равно не работает, а возможные проблемы с запуском ОС нужно искать в других местах.
Как отключить Secure Boot и UEFI на ноутбуке Acer Aspire?
Есть много моделей ноутбуков этого производителя, но специфика такова, что сначала требуется создать собственный пароль. Общий алгоритм действия следующий:
Отключение Secure Boot на ноутбуках Pavilion и других моделях HP?
При последующей перезагрузке будьте внимательны. Система перестрахуется и включит “защиту от дурака”. Нужно смотреть на то, что идет после надписи “Operating System Boot Mode Change (021)” – там будет указана цифровая последовательность. Наберите ее и нажмите Enter. Если вам нужно просто отключить Secure Boot, то дальше ничего делать не нужно. Если же изначально все делалось ради возможности загрузиться с USB-носителя, то сразу после прохождения “защиты от дурака” жмите ESC, а потом F9. Установите требуемой флешке максимальный приоритет, чтобы она грузилась первой на жесткий диск.
На ноутбуках Dell
Secure Boot на ноутбуках Леново и Тошиба
Для входа в UEFI на этих устройствах нужно жать F12, после чего выполнять следующие действия:
Отключения Secure Boot на материнских платах
Рынок материнских плат для настольных компьютеров достаточно консервативен и явными лидерами являются 2 компании: Asus и Gigabyte. Они поставляют более половины всего оборудования, так что рассматривать способы деактивации Secure Boot рациональней всего именно в разрезе этих производителей. В любом случае третье и четвертое место давно оккупировали MSI и ASRock, – первая четверка полностью состоит из компаний Тайваня. Итог: принципиальных различий в инструкции по отключению все равно не будет и большая часть пользователей найдет ниже именно то, что ищет.
Отметим, что перейти сразу в UEFI можно в некоторых случаях напрямую с Windows (от 8 версии и более поздних). Для этого пробуйте следующее:
Как отключить Secure Boot на материнской плате Gigabyte?
После входа в UEFI (нажатием на F12 перед запуском ОС) действуйте следующим образом:
После всего нужно выполнить запись изменений, то есть нажать F10 => “OK”.
Материнские платы и ноутбуки Асус
Сразу отметим, что чаще всего на материнках именно этого производителя появляется ошибка при загрузке ОС: Invalid signature detected. Check Secure Boot Policy in Setup. В большинстве случаев для устранения проблемы следует выключить Secure Boot, а для этого необходимо:
Конкретно для ноутбуков Asus алгоритм будет следующим:
Как узнать активирована ли функция Secure Boot на Windows?
Этот протокол несложно активировать и деактивировать, а для понимания текущего статуса есть несколько проверенных подходов:
Заключение
Что такое Secure Boot для Windows 11
Вместе с анонсом Windows 11, компания Microsoft опубликовала и новые системные требования для установки операционной системы Windows 11. В них требуется поддержка TPM 2.0, UEFI и Secure Boot. В результате, вокруг этих технологий возникло много вопросов. Пользователей интересует, что такое Secure Boot, как проверить его наличие на компьютере и как его включить в BIOS (UEFI), если он отключен.
Что такое Secure Boot или безопасная загрузка
Secure Boot – это протокол проверки загружаемых операционных систем, который является частью UEFI. Данный протокол проверяет цифровую подпись операционных систем или драйверов UEFI, которые загружаются при включении компьютера, и при отсутствии такой подписи предотвращает их запуск.
Использование Secure Boot защищает систему от внедрения вредоносного кода в загружаемые компоненты операционных систем. Такое внедрение, например, использовалось вирусом-вымогателем Petya, который распространялся в 2017 году. Также Secure Boot может использоваться для ограничения списка ОС, которые могут запускаться на компьютере.
На данный момент Secure Boot поддерживается такими операционными системами как Windows 8 и Windows 10, а также некоторыми дистрибутивами Linux, например, Fedora, openSUSE, RHEL, CentOS, Debian и Ubuntu.
В еще не выпущенной Windows 11 протокол Secure Boot является обязательным условием и указан в системных требованиях. Хотя, с помощью небольших ухищрений текущие сборки Windows 11 можно установить без TPM и Secure Boot.
Как узнать включен ли Secure Boot
Для того чтобы узнать включен ли Secure Boot на вашем компьютере можно воспользоваться средствами встроенными в Windows 10. Для этого нажмите Win-R на клавиатуре и выполните команду « msinfo32 ».
В результате должно появиться окно « Сведения о компьютере ». Здесь в строке « Режим BIOS » будет указано, в каком режиме работает BIOS – UEFI или Устаревший (Legacy), а в строке « Состояние безопасной загрузки » – состояние Secure Boot (включено или отключено).
Если у вас Secure Boot включен и все готово к установке Windows 11, то должно быть так, как на скриншоте внизу:
Также возможен следующий вариант:
В этом случае для обновления до Windows 11 нужно будет включить безопасную загрузку в BIOS.
Подробней в статье:
Конвертация диска с MBR в GPT
Если включить Secure Boot для уже установленной Windows 10, то система может не загрузиться, а вы получите сообщение о том, что « Загрузочное устройство не найдено ». Это происходит из-за того, что на диске используется таблица разделов MBR. Для решения этой проблемы диск нужно предварительно конвертировать из формата MBR в GPT.
Конвертацию диска из MBR в GPT можно выполнить непосредственно в процессе установки Windows 11, вызвав командную строку с помощью комбинации клавиш Shift-F10 (или Shift-Fn-F10 ), либо заранее, из рабочей Windows 10. Конвертацию при установке мы рассматривали в статье о преобразовании диска с MBR в GPT, здесь же будет рассмотрена конвертация из рабочей Windows 10.
Итак, для начала нужно открыть меню « Параметры » (комбинация клавиш Win-i ), перейти в раздел « Обновление и безопасность – Восстановление » и нажать на кнопку « Перезагрузить сейчас ».
После этого появится меню с дополнительными действиями. Здесь нужно выбрать « Поиск и устранение неисправностей », а потом « Командная строка ». Также может понадобиться выбор пользователя и ввод пароля.
В результате перед вами появится командная строка. Сначала нужно выполнить команду, которая проверит возможность конвертации диска:
Если все нормально и конвертация возможна, то вы получите сообщение « Validation completed successfully ». Чтобы запустить конвертацию выполните команду:
Если же проверка диска выдала сообщение « Failed », то нужно попробовать вручную указать номер диска. Для этого нужно добавить параметр « /disk:0 », где 0 – это номер диска.
Чтобы узнать номер диска выполните следующие команды:
В результате в консоль будет выведен список дисков и их объем. Используя эту информацию, можно определить номер диска, который необходимо конвертировать.
После успешной проверки можно запускать конвертацию диска. Для этого нужно выполнить следующую команду:
Где 0 – это номер диска.
После конвертации диска с MBR в GPT нужно зайти в BIOS и выполнить следующие настройки:
Подробней в статьях:
Как включить Secure Boot в BIOS
Для работы Secure Boot диск должен быть в формате GPT. Посмотрите раздел о конвертации диска (выше).
Процесс включения Secure Boot отличается в зависимости от производителя. Точные инструкции по работе с вашим BIOS можно получить в инструкции к материнской плате или ноутбуку. Здесь мы покажем настройку BIOS на примере материнской платы от ASUS.
Чтобы включить Secure Boot на материнской плате ASUS нужно войти в настройки BIOS, активировать режим « Advanced mode ( F7) » и перейти в раздел « Boot ». Здесь нужно открыть подраздел « CSM (Launch Compatibility Support Module) », который отвечает за эмуляцию старого BIOS.
Если функция « CSM » включена, то ее нужно отключить.
После этого нужно вернуться в раздел « Boot » и перейти в подраздел « Меню безопасной загрузки ».
Здесь нужно поменять параметр « Тип ОС » на « Режим Windows UEFI ».
После этого сохраняем настройки BIOS и загружаемся в Windows 10. Если диск был сконвертирован в GPT, то загрузка должна пройти без проблем.
Настройка Secure Boot на других платах :
Создатель сайта comp-security.net, автор более 2000 статей о ремонте компьютеров, работе с программами, настройке операционных систем.
Задайте вопрос в комментариях под статьей или на странице «Задать вопрос» и вы обязательно получите ответ.
«mbr2gpt /disk:0 /validate»
Ну и что делать, если и после этого «Failed»?
Все очень здорово и подробно, большое спасибо за подробную инструкцию. Очень долго искал такой доходчивый вариант порядка действий. Большое спасибо
Проблема «Безопасная загрузка может быть включена, когда система находится в пользовательском режиме»: как исправить
Одним из требований для Windows 11 является поддержка безопасной загрузки UEFI. Это новое требование к оборудованию, без которого установка Windows 11 может быть немного сложной. Теперь, когда Windows 11 постепенно развертывается для пользователей через обновления Windows, а другие получают доступ к ней через Помощник по установке Windows 11 и официальный инструмент для создания носителей, многие пользователи не могут перейти на новую ОС из-за «безопасной загрузки». состояние не поддерживается »или другая аналогичная ошибка: безопасную загрузку можно включить, когда система находится в пользовательском режиме. Итак, каковы проблемы и как их исправить? Вот все, что вам нужно знать.
Что такое безопасная загрузка?
Безопасная загрузка — относительно новая функция, но ее легко найти на современных материнских платах. Как следует из названия, он обеспечивает дополнительный уровень безопасности системы во время загрузки, чтобы предотвратить заражение и повреждение вредоносными программами.
Безопасная загрузка — это привратник для безопасной и надежной работы с Windows. При безопасной загрузке ваш компьютер будет использовать для загрузки только программное обеспечение, проверенное производителем оборудования. Он обеспечивает это, проверяя подписи кода микропрограммы на оборудовании вашей системы. Пока существует соответствие между сигнатурами модуля прошивки и базой данных сигнатур безопасной загрузки, коды прошивки будут выполняться, и ПК загрузится. Если есть несоответствие или нет действительных учетных данных, безопасная загрузка поднимет флаг и откажется от выполнения кодов прошивки.
Проблемы: безопасную загрузку можно включить, если система находится в пользовательском режиме / состояние безопасной загрузки не поддерживается
Как упоминалось ранее, на большинстве современных ПК есть материнские платы, поддерживающие безопасную загрузку. Но если ваша система использует устаревшую структуру загрузки и безопасная загрузка не включена, вы увидите, что состояние безопасной загрузки «Не поддерживается». Это может произойти, даже если на вашей материнской плате есть опция безопасной загрузки. Давайте рассмотрим несколько исправлений, которые потенциально могут решить проблему.
Исправление № 01: проверьте, поддерживает ли ваш компьютер безопасную загрузку.
Прежде всего, давайте посмотрим, поддерживает ли ПК безопасную загрузку. Для этого нажмите Win + R, чтобы открыть поле ВЫПОЛНИТЬ, введите msinfo32 и нажмите Enter.
Откроется окно «Информация о системе». Здесь найдите «Безопасное состояние загрузки». Его значение должно быть включено.
Если это не так или вместо него вы видите «Не поддерживается», воспользуйтесь приведенными ниже исправлениями, чтобы включить его.
Исправление # 02: повторно включите безопасную загрузку в BIOS.
Для этого исправления вам нужно будет получить доступ к меню BIOS вашего ПК. Для этого нажмите «Пуск» и нажмите кнопку «Питание».
Затем, удерживая нажатой клавишу Shift, нажмите «Перезагрузить».
Ваш компьютер загрузится прямо на экран расширенного запуска. Здесь нажмите Устранение неполадок.
Затем выберите Дополнительные параметры.
Затем нажмите «Настройки прошивки UEFI».
Затем нажмите «Перезагрузить».
Теперь вы увидите меню запуска. Это будет отличаться в зависимости от производителя вашего ПК. Нажмите кнопку, соответствующую «Boot Setup».
Когда откроется окно «Настройка загрузки», найдите параметр «Безопасная загрузка». В большинстве случаев он находится на вкладке «Параметры загрузки» или «Безопасность» и будет зависеть от вашего компьютера. Используйте клавиши со стрелками, чтобы перейти на эту вкладку.
Затем найдите «Безопасная загрузка» и убедитесь, что для нее установлено значение «Включено».
Если это не так, нажмите на нем Enter. Затем выберите Enabled и нажмите Enter.
После внесения этого изменения перейдите на вкладку «Выход».
Нажмите Enter при сохранении изменений и выходе.
Выберите Да и нажмите Enter.
Это повторно включит безопасную загрузку на вашем ПК, и в информации о системе должно отображаться значение «Поддерживается».
Исправление №03: изменить устаревшую версию на UEFI (с MBR на GPT, если поддерживается)
Устаревшие системы BIOS могут загружаться только из таблиц, отформатированных с помощью основной загрузочной записи (MBR). Однако для запуска Windows 11 ее необходимо преобразовать в формат раздела GPT, если это еще не так.
Чтобы проверить формат раздела системного диска, щелкните правой кнопкой мыши меню «Пуск» и выберите «Управление дисками».
Затем щелкните правой кнопкой мыши свой диск слева.
Перейдите на вкладку Volumes.
Отметьте «Стиль раздела».
Если вместо GPT написано MBR, вот как его преобразовать:
Нажмите «Пуск», введите cmd и нажмите «Запуск от имени администратора».
Теперь введите следующую команду:
mbr2gpt.exe / convert / allowfullos
Затем нажмите Enter. После завершения проверки процесс конвертации завершится в кратчайшие сроки. Вы можете снова проверить стиль разделов диска через Управление дисками. Теперь он должен читать таблицу разделов GUID (GPT).
Исправление # 04: отключите CSM и переустановите Windows.
Модуль поддержки совместимости (CSM) — это модуль современной системы UEFI. Но поскольку он только имитирует устаревшую среду BIOS для загрузки вашей текущей ОС, он остается неподдерживаемым UEFI.
Чтобы включить UEFI в вашей системе, вам придется сделать лишнюю милю, отключив CSM, а затем переустановив Windows. Чтобы получить пошаговое руководство для этого, ознакомьтесь с разделом Как отключить CSM для установки Windows 11.
Здесь мы отвечаем на некоторые часто задаваемые вопросы о безопасной загрузке.
Почему безопасная загрузка не поддерживается?
Если вы видите состояние безопасной загрузки как «Не поддерживается», это может быть одной из трех причин: для стиля раздела системного диска установлено значение MBR, или в BIOS отключена безопасная загрузка, или включен CSM. Также возможно, что оборудование вашего ПК просто не поддерживает это. Ознакомьтесь с приведенными выше исправлениями, чтобы решить эти проблемы.
Стоит ли включать безопасную загрузку?
Безопасная загрузка — это дополнительный уровень безопасности для ПК с Windows. Поскольку установка Windows 11 является системным требованием, вам обязательно стоит подумать о ее включении, если это еще не сделано.
Как включить режим безопасной загрузки?
Чтобы включить безопасное состояние загрузки, убедитесь, что ваш диск находится в формате GPT (исправление № 03) и что CMS отключена (исправление № 04). Затем перейдите в меню BIOS и включите безопасную загрузку (исправление №2).
Мы надеемся, что вам удалось изменить состояние безопасной загрузки с «Не поддерживается» на «Вкл.». Несмотря на то, что существуют обходные пути к требованиям безопасной загрузки для Windows 11, рекомендуется включить безопасную загрузку и получить безопасную работу Windows, поскольку Microsoft хочет, чтобы она была у вас.
