EFI Secure Boot

Наборы подписанных загрузчиков

• Набор 2011 года: подписан с помощью Microsoft Corporation UEFI CA 2011. Этот центр сертификации используется прошивками для сторонних загрузчиков с момента появления Secure Boot.
• Набор 2023 года: подписан с помощью обновлённых сторонних центров сертификации Microsoft. Основной загрузчик (DcsBoot.efi) подписан с помощью Microsoft UEFI CA 2023, а остальные компоненты (DcsInt.dcs, LegacySpeaker.dcs) подписаны с помощью Microsoft Option ROM UEFI CA 2023. Поэтому для набора 2023 года требуется, чтобы в базе данных подписей Secure Boot прошивки (db) присутствовали оба сертификата: Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023.

Диагностика

HKEY_LOCAL_MACHINE\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader
    EfiBootLoaderResourceSet          REG_DWORD  2011 (0x7db) или 2023 (0x7e7)
    EfiBootLoaderSelectionReason      REG_SZ     понятная человеку причина выбора
    EfiBootLoaderFirmwareDbLastError  REG_DWORD  последняя ошибка чтения/разбора db прошивки (0 = нет)
    EfiBootLoaderFirmwareDbxLastError REG_DWORD  последняя ошибка чтения/разбора dbx прошивки (0 = нет)
    EfiBootLoaderSelectionTimeUtc     REG_SZ     время последнего выбора
    EfiBootChainStatusKnown           REG_DWORD  доступность оценки известных CA в db/dbx
    EfiBootChainLastError             REG_DWORD  последняя ошибка неполной оценки (0 = нет)
    SecureBootEnabled                 REG_DWORD  состояние Secure Boot при последней оценке
    FirmwareDbxPresent                REG_DWORD  наличие dbx (0 допустим: необязательная переменная отсутствует)
    VeraCryptLoaderFilesValid         REG_DWORD  установленные файлы DCS совпадают с одним встроенным набором
    VeraCryptLoaderKnownCaAllowed     REG_DWORD  известные необходимые CA присутствуют в db и отсутствуют в dbx
    VeraCryptLoaderKnownCaRevoked     REG_DWORD  известный необходимый CA VeraCrypt присутствует в dbx
    EfiBootLoaderInstalledResourceSet REG_DWORD  набор, определённый по фактическим файлам ESP
    EfiBootLoaderRecordedResourceSet  REG_DWORD  набор, записанный при последнем успешном обновлении
    WindowsLoaderInspectionSucceeded  REG_DWORD  встроенная подпись PE разобрана
    WindowsLoaderPresent              REG_DWORD  файл bootmgfw_ms.vc найден
    WindowsLoaderSigner               REG_DWORD  0 (неизвестно), 2011 или 2023
    WindowsLoaderKnownCaAllowed       REG_DWORD  известный подписывающий CA присутствует в db и отсутствует в dbx
    WindowsLoaderKnownCaRevoked       REG_DWORD  известный CA подписи загрузчика Windows присутствует в dbx
    WindowsLoaderMigrationRecommended REG_DWORD  копия PCA 2011 сохраняется при доступном CA 2023
    EfiBootChainCheckTimeUtc          REG_SZ     время последней попытки проверки цепочки

reg query HKLM\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader /s

$t = [Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes)
'Microsoft Corporation UEFI CA 2011',
'Microsoft Windows Production PCA 2011',
'Windows UEFI CA 2023',
'Microsoft UEFI CA 2023',
'Microsoft Option ROM UEFI CA 2023' |
  ForEach-Object { "$_ : $($t -match [regex]::Escape($_))" }

try {
  $dbx = (Get-SecureBootUEFI dbx).Bytes
  'Windows PCA 2011 in dbx: ' +
    ([Text.Encoding]::ASCII.GetString($dbx) -match
     'Microsoft Windows Production PCA 2011')
} catch {
  'dbx is absent or could not be read; check FirmwareDbxPresent and EfiBootLoaderFirmwareDbxLastError'
}

# После подключения системного раздела EFI как S: проверьте встроенную подпись.
# Не используйте здесь Get-AuthenticodeSignature: он может сообщить подпись каталога.
Get-PfxCertificate -FilePath S:\EFI\Microsoft\Boot\bootmgfw_ms.vc |
  Select-Object Subject,Issuer,Thumbprint

Get-WinEvent -FilterHashtable @{
  LogName='System'
  ProviderName='Microsoft-Windows-TPM-WMI'
  Id=@(1036,1037,1043,1044,1045,1797,1798,1799,1800,1801,1802,1803)
  StartTime=(Get-Date).AddDays(-30)
} | Select-Object TimeCreated,Id,LevelDisplayName,Message

Переход на сертификаты Microsoft 2023 года

• Истечение срока действия сертификатов обычно не мешает загрузке уже установленных загрузчиков. Проверка образа UEFI Secure Boot обычно не применяет срок действия подписывающего сертификата, поэтому сам факт истечения CA 2011 не вызывает отказ загрузчика. Однако новые двоичные файлы больше нельзя подписывать в этой экосистеме, а системы без сертификатов 2023 года не смогут получать обновления цепочки загрузки, подписанные заменяющими CA.
• Истечение срока действия и отзыв — разные события. Microsoft предоставляет отдельную, выполняемую намеренно меру защиты, которая добавляет Microsoft Windows Production PCA 2011 в базу запрещённых подписей Secure Boot (dbx). После её применения все Windows Boot Manager, подписанные этим CA, отклоняются. Этот отзыв Windows PCA не является частью миграции сертификатов и Boot Manager с помощью 0x5944. По состоянию на июль 2026 года Microsoft сообщает, что не планирует отзывать Microsoft Corporation UEFI CA 2011 — сторонний CA, используемый набором загрузчиков VeraCrypt 2011 года. Тем не менее перед применением отзыва Windows PCA 2011 рекомендуется перевести на CA 2023 года как часть VeraCrypt, так и часть Windows в цепочке загрузки.

Новые компьютеры, доверяющие только CA 2023 года

Обновление существующей системы до сертификатов 2023 года

reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

rem при необходимости запустите задачу обслуживания сразу (иначе она выполняется каждые 12 часов):
schtasks /Run /TN "\Microsoft\Windows\PI\Secure-Boot-Update"

• Сначала обновите BIOS/UEFI-прошивку до последней версии, доступной у производителя компьютера. Сбои записи новых сертификатов в базу Secure Boot прошивки обычно вызваны ошибками прошивки, и Microsoft рекомендует проверить наличие обновлённой прошивки у производителя устройства перед применением обновлений сертификатов.
• Сначала создайте или обновите Диск восстановления VeraCrypt и убедитесь, что он загружается.
• Запишите текущее значение AvailableUpdates и убедитесь, что устройство ещё не управляется другой политикой развёртывания Secure Boot. Значение 0x5944 запрашивает аутентифицированную запись в db/KEK прошивки и замену загрузочного файла. Ошибки прошивки, отсутствие KEK, авторизованного изготовителем, прерывание обслуживания или перезапись другого ожидающего значения развёртывания могут оставить переход незавершённым. При сбое обновления переменной прошивки используйте процедуру восстановления изготовителя компьютера.
• Не отключайте службу VeraCrypt System Favorites или её функцию обновления загрузчика. Если Windows заменяет Boot Manager в стандартном расположении ESP, служба сохраняет его как bootmgfw_ms.vc и восстанавливает загрузчик VeraCrypt. Если стандартный путь не изменяется, текущая VeraCrypt также проверяет обслуживаемые Windows копии в %SystemRoot%\Boot\EFI_EX и %SystemRoot%\Boot\EFI, проверяет встроенную подпись и атомарно обновляет bootmgfw_ms.vc лучшей копией, совместимой с известной политикой CA.
• Пользователям скрытой операционной системы не следует запускать обновление из скрытой ОС. Автоматическое сохранение цепочки загрузки отключено, когда работает скрытая ОС.
• Избегайте принудительного отключения питания между моментом, когда Windows заменяет загрузчик, и следующей обычной перезагрузкой или выключением. На большинстве систем загрузочная запись VeraCrypt сохраняет возможность загрузки компьютера в этот промежуток, но прошивка, игнорирующая порядок загрузки, может загрузить обычный Windows Boot Manager, который не сможет запустить зашифрованную Windows (восстанавливается с помощью Диска восстановления).
• Windows может продолжать сообщать о незавершённом переходе, поскольку стандартное расположение Windows Boot Manager по замыслу занимает загрузчик VeraCrypt. Считайте это возможным ложным отрицательным результатом обслуживания только после появления требуемых CA 2023 в db, определения фактических файлов как EfiBootLoaderInstalledResourceSet=2023, подтверждения встроенного издателя bootmgfw_ms.vc как Windows UEFI CA 2023 и отсутствия неустранённых ошибок обслуживания.

Восстановление после сбоя загрузки Secure Boot

• До запроса пароля (сообщение вроде "Secure Boot Violation" или немедленный возврат в прошивку): политика прошивки отклоняет установленный загрузчик VeraCrypt.
• После успешного ввода пароля (явное сообщение об ошибке Secure Boot от загрузчика VeraCrypt или, на старых версиях загрузчика, возврат к запросу пароля): политика прошивки отклоняет копию Windows Boot Manager (bootmgfw_ms.vc), которой VeraCrypt передаёт управление.

1. Временно отключите Secure Boot в настройках прошивки и запустите Windows обычным образом (предзагрузочная аутентификация VeraCrypt работает и с отключённым Secure Boot). Диск восстановления VeraCrypt может восстановить отсутствующие или повреждённые компоненты загрузчика VeraCrypt, но не может создать актуальный Windows Boot Manager или сделать подписанный PCA 2011 файл bootmgfw_ms.vc допустимым после добавления этого CA в dbx; он не заменяет завершение миграции Windows.
2. В Windows исправьте политику Secure Boot (включите сторонние CA, восстановите актуальную dbx после пользовательской процедуры либо примените обновления Windows), затем запустите VeraCrypt в режиме Восстановить/переустановить. Восстановление проверит обслуживаемые копии EFI_EX/EFI и сможет установить совместимый актуальный Windows Boot Manager, даже если стандартный путь ESP занят VeraCrypt.
3. Проверьте диагностику VeraCrypt и встроенную подпись, затем включите Secure Boot и выполните одну контролируемую перезагрузку. Не включайте его при неполной оценке политики или несовместимых файлах загрузчика.

Устаревшая процедура с пользовательскими ключами (не рекомендуется)