Disabling Secure Boot
If you’re running certain PC graphics cards, hardware, or operating systems such as Linux or previous version of Windows you may need to disable Secure Boot.
Secure Boot helps to make sure that your PC boots using only firmware that is trusted by the manufacturer. You can usually disable Secure Boot through the PC’s firmware (BIOS) menus, but the way you disable it varies by PC manufacturer. If you are having trouble disabling Secure Boot after following the steps below, contact your manufacturer for help.
- After disabling Secure Boot and installing other software and hardware, you may need to restore your PC to the factory state to re-activate Secure Boot.
- Be careful when changing BIOS settings. The BIOS menu is designed for advanced users, and it’s possible to change a setting that could prevent your PC from starting correctly. Be sure to follow the manufacturer’s instructions exactly.
Disable Secure Boot
- Before disabling Secure Boot, consider whether it is necessary. From time to time, your manufacturer may update the list of trusted hardware, drivers, and operating systems for your PC. To check for updates, go to Windows Update, or check your manufacturer’s website.
- Open the PC BIOS menu:
- You can often access this menu by pressing a key while your PC is booting, such as F1, F2, F12, or Esc. Or
- From Windows, hold the Shift key while selecting Restart. Go to Troubleshoot > Advanced Options: UEFI Firmware Settings.
- Find the Secure Boot setting in your BIOS menu. If possible, set it to Disabled. This option is usually in either the Security tab, the Boot tab, or the Authentication tab.
- Save changes and exit. The PC reboots.
- Install the graphics card, hardware, or operating system that’s not compatible with Secure Boot. In some cases, you may need to change other settings in the firmware, such as enabling a Compatibility Support Module (CSM) to support legacy BIOS operating systems. To use a CSM, you may also need to reformat the hard drive using the Master Boot Record (MBR) format, and then reinstall Windows. For more info, see Windows Setup: Installing using the MBR or GPT partition style.
Re-enable Secure Boot
- Uninstall any graphics cards, hardware, or operating systems that aren’t compatible with Secure Boot.
- Open the PC BIOS menu:
- You can often access this menu by pressing a key while your PC is booting, such as F1, F2, F12, or Esc. Or
- From Windows, hold the Shift key while selecting Restart. Go to Troubleshoot > Advanced Options: UEFI Firmware Settings.
- Find the Secure Boot setting, and if possible, set it to Enabled. This option is usually in either the Security tab, the Boot tab, or the Authentication tab. On some PCs, select Custom, and then load the Secure Boot keys that are built into the PC. If the PC doesn’t allow you to enable Secure Boot, try resetting the BIOS back to the factory settings.
- Save changes and exit. The PC reboots.
- If the PC isn’t able to boot after enabling Secure Boot, go back into the BIOS menus, disable Secure Boot, and try to boot the PC again.
Tip In some cases, you may need to refresh or Remove everything to its original state before you can turn on Secure Boot. For more info, see How to restore, refresh, or Remove everything.
Отключение безопасной загрузки
Если вы используете определенные графические карты, оборудование или операционные системы, такие как Linux или предыдущая версия Windows, может потребоваться отключить безопасную загрузку.
Безопасная загрузка помогает убедиться, что компьютер загружается только с помощью встроенного ПО, которому доверяет производитель. Обычно безопасную загрузку можно отключить с помощью меню встроенного ПО компьютера (BIOS), но способ отключения зависит от изготовителя компьютера. Если после выполнения приведенных ниже действий у вас возникли проблемы с отключением безопасной загрузки, обратитесь за помощью к производителю.
- После отключения безопасной загрузки и установки другого программного обеспечения и оборудования может потребоваться восстановить компьютер в заводском состоянии, чтобы повторно активировать безопасную загрузку.
- Будьте осторожны при изменении параметров BIOS. Меню BIOS предназначено для опытных пользователей, и вы можете изменить параметр, который может препятствовать правильному запуску компьютера. Не забудьте точно следовать инструкциям изготовителя.
Отключить безопасную загрузку
- Прежде чем отключить безопасную загрузку, подумайте, нужна ли она. Время от времени производитель может обновлять список доверенного оборудования, драйверов и операционных систем для вашего компьютера. Чтобы проверка обновления, перейдите на клиентский компонент Центра обновления Windows или проверка веб-сайте изготовителя.
- Откройте меню BIOS компьютера:
- Часто это меню можно открыть, нажав клавишу во время загрузки компьютера, например F1, F2, F12 или ESC. либо
- В Windows нажмите кнопку Перезапустить, удерживая нажатой клавишу SHIFT. Перейдите к разделу Дополнительные параметры устранения неполадок > : параметры встроенного ПО UEFI.
- Найдите параметр Безопасная загрузка в меню BIOS. Если это возможно, установите для него значение Отключено. Этот параметр обычно находится на вкладке Безопасность , Загрузка или Проверка подлинности .
- Сохраните изменения и завершите работу. Компьютер перезагружается.
- Установите графические карта, оборудование или операционную систему, несовместимую с безопасной загрузкой. В некоторых случаях может потребоваться изменить другие параметры встроенного ПО, например включить модуль поддержки совместимости (CSM) для поддержки устаревших операционных систем BIOS. Чтобы использовать CSM, может потребоваться переформатировать жесткий диск в формате основной загрузочной записи (MBR), а затем переустановить Windows. Дополнительные сведения см. в статье Программа установки Windows: установка с использованием стиля раздела MBR или GPT.
Повторное включение безопасной загрузки
- Удалите все графические карты, оборудование или операционные системы, несовместимые с безопасной загрузкой.
- Откройте меню BIOS компьютера:
- Часто это меню можно открыть, нажав клавишу во время загрузки компьютера, например F1, F2, F12 или ESC. либо
- В Windows нажмите кнопку Перезапустить, удерживая нажатой клавишу SHIFT. Перейдите к разделу Дополнительные параметры устранения неполадок > : параметры встроенного ПО UEFI.
- Найдите параметр Безопасная загрузка и, если возможно, установите для него значение Включено. Этот параметр обычно находится на вкладке Безопасность , Загрузка или Проверка подлинности . На некоторых компьютерах выберите Пользовательский, а затем загрузите ключи безопасной загрузки, встроенные в компьютер. Если компьютер не позволяет включить безопасную загрузку, попробуйте вернуть BIOS к заводским настройкам.
- Сохраните изменения и завершите работу. Компьютер перезагружается.
- Если компьютер не может загрузиться после включения безопасной загрузки, вернитесь в меню BIOS, отключите безопасную загрузку и повторите попытку загрузки компьютера.
Совет В некоторых случаях может потребоваться обновить или удалить все содержимое до исходного состояния, прежде чем включить безопасную загрузку. Дополнительные сведения см. в статье Восстановление, обновление или удаление всего содержимого.
Безопасная загрузка
Безопасная загрузка — это стандарт безопасности, разработанный участниками компьютерной индустрии, чтобы гарантировать загрузку устройства с использованием только программного обеспечения, которому доверяет изготовитель оборудования (OEM). Когда компьютер запускается, встроенное ПО проверяет сигнатуру каждого загрузочного программного обеспечения, включая драйверы встроенного ПО UEFI (также известные как дополнительные ПЗУ), приложения EFI и операционную систему. Если сигнатуры действительны, компьютер загружается, а встроенное ПО предоставляет управление операционной системе.
Изготовитель оборудования может использовать инструкции от изготовителя встроенного ПО, чтобы создать безопасные ключи загрузки и сохранить их в встроенном ПО компьютера. При добавлении драйверов UEFI также необходимо убедиться, что они подписаны и включены в базу данных безопасной загрузки.
Сведения о том, как работает процесс безопасной загрузки, включая надежную загрузку и измеряемую загрузку, см. в разделе Защита процесса загрузки Windows 10.
Требования к безопасной загрузке
Чтобы обеспечить поддержку безопасной загрузки, необходимо указать следующее.
| Требования к оборудованию | Сведения |
|---|---|
| Переменные UEFI версии 2.3.1 Errata C | Для переменных необходимо задать значение SecureBoot=1 и SetupMode=0 с базой данных сигнатуры (EFI_IMAGE_SECURITY_DATABASE), необходимой для безопасной предварительно подготовленной загрузки компьютера и включая PK, заданный в допустимой базе данных KEK. Дополнительные сведения см. в разделе Требования к системе System.Fundamentals.Firmware.UEFISecureBoot, скачанный в формате PDF в разделе Спецификации и политики программы совместимости оборудования Windows. |
| UEFI версии 2.3.1, раздел 27 | Платформа должна предоставлять интерфейс, соответствующий профилю UEFI версии 2.3.1, раздел 27. |
| База данных сигнатур UEFI | Платформа должна быть подготовлена с правильными ключами в базе данных сигнатуры UEFI (db), чтобы разрешить загрузку Windows. Он также должен поддерживать безопасные обновления для баз данных, прошедшие проверку подлинности. Хранилище защищенных переменных должно быть изолировано от работающей операционной системы таким образом, чтобы их нельзя было изменить без обнаружения. |
| Подписывание встроенного ПО | Все компоненты встроенного ПО должны быть подписаны с помощью по крайней мере RSA-2048 с SHA-256. |
| Диспетчер загрузки | При включении питания система должна начать выполнение кода во встроенном ПО и использовать шифрование с открытым ключом в рамках политики алгоритма для проверки подписей всех образов в последовательности загрузки, вплоть до диспетчера загрузки Windows. |
| Защита от отката | Система должна защищаться от отката встроенного ПО на более старые версии. |
| EFI_HASH_PROTOCOL | Платформа предоставляет EFI_HASH_PROTOCOL (по UEFI версии 2.3.1) для разгрузки криптографических хэш-операций и EFI_RNG_PROTOCOL (определено Корпорацией Майкрософт) для доступа к энтропии платформы. |
Базы данных и ключи подписи
Перед развертыванием компьютера вы, как изготовитель оборудования, сохраните базы данных безопасной загрузки на компьютере. Сюда входят база данных сигнатур (db), база данных отозванных подписей (dbx) и база данных ключа регистрации ключей (KEK). Эти базы данных хранятся в энергонезависимой памяти встроенного ПО (NV-RAM) во время производства.
В базе данных сигнатур (db) и в базе данных отозванных сигнатур (dbx) перечислены подписывающиеся или хэши образов приложений UEFI, загрузчиков операционной системы (например, загрузчик операционной системы Майкрософт или диспетчер загрузки), а также драйверы UEFI, которые можно загрузить на устройство. Отозванный список содержит элементы, которые больше не являются доверенными и не могут быть загружены. Если хэш изображения находится в обеих базах данных, то база данных отозванных подписей (dbx) имеет прецедент.
База данных ключей регистрации ключей (KEK) — это отдельная база данных ключей подписывания, которую можно использовать для обновления базы данных сигнатур и отозванных сигнатур. Корпорация Майкрософт требует, чтобы указанный ключ был включен в базу данных KEK, чтобы в будущем корпорация Майкрософт может добавить новые операционные системы в базу данных сигнатур или добавить известные недопустимые образы в базу данных отозванных подписей.
После добавления этих баз данных и после окончательной проверки и тестирования встроенного ПО изготовитель оборудования блокирует редактирование встроенного ПО, за исключением обновлений, подписанных правильным ключом, или обновлений физическим пользователем, использующим меню встроенного ПО, а затем создает ключ платформы (PK). Ключ PK можно использовать для подписывания обновлений KEK или для отключения безопасной загрузки.
Обратитесь к производителю встроенного ПО, чтобы получить средства и помощь в создании этих баз данных.
Последовательность загрузки
- После включения компьютера все базы данных сигнатур проверяются на соответствие ключу платформы.
- Если встроенное ПО не является доверенным, встроенное ПО UEFI должно инициировать восстановление для конкретного изготовителя оборудования для восстановления доверенного встроенного ПО.
- При возникновении проблем с диспетчером загрузки Windows встроенное ПО попытается загрузить резервную копию диспетчера загрузки Windows. Если это также не удается, встроенное ПО должно инициировать исправление для конкретного изготовителя оборудования.
- После запуска диспетчера загрузки Windows при возникновении проблем с драйверами или ядром NTOS загружается среда восстановления Windows (Windows RE), чтобы можно было восстановить эти драйверы или образ ядра.
- Windows загружает антивредоносное программное обеспечение.
- Windows загружает другие драйверы ядра и инициализирует процессы пользовательского режима.
Связанные темы
- Windows 10 функции безопасности S и требования для изготовителей оборудования
- Требования к встроенному ПО UEFI
- Отключение безопасной загрузки
Как отключить безопасную загрузку windows 10
Как отключить режим Secure Boot в Windows 10
Внимание! Если вы затрудняетесь выполнить описанные действия, обратитесь в специализированный сервисный центр.
Вход в настройки UEFI
Для того чтобы отключить «Secure Boot», прежде всего потребуется зайти в настройки UEFI (зайти в BIOS) вашего компьютера. Для этого предусмотрено два основных способа.
При включении компьютера нажать «Delete» (для настольных компьютеров) или «F2» для ноутбуков (бывает — «Fn+F2»). Для некоторых материнских плат сочетания клавиш могут отличаться, как правило, эти клавиши указаны на начальном экране при включении компьютера.
Если вы не знаете сочетание клавиш, необходимое для входа в BIOS вашего компьютера или не успеваете его нажать, воспользуйтесь вторым способом.
Вам необходимо кликнуть по значку уведомлений и выбрать пункт «Все параметры». После чего в настройках открыть «Обновление и безопасность» и перейти к пункту «Восстановление».
В восстановлении перейдите в раздел «Особые варианты загрузки» и нажмите кнопку «Перезагрузить сейчас». После того как компьютер перезагрузится, вы увидите экран, подобный тому, что изображен ниже.
Выберите пункт «Диагностика», затем — «Дополнительные параметры», в дополнительных параметрах — «Параметры встроенного ПО UEFI» и подтвердите свое намерение, нажав кнопку «Перезагрузить».
После перезагрузки вы попадете в UEFI.
После того как вы попали в UEFI (BIOS), необходимо отключить Secure Boot и сохранить изменения.
Как отключить безопасную загрузку на компьютерах разных производителей.
Ниже — несколько примеров отключения «Secure Boot» в разных интерфейсах UEFI. Указанные варианты используются и на большинстве других материнских плат с поддержкой данной функции. Если вашего варианта нет в списке, то просмотрите имеющиеся и, вероятнее всего, в вашем BIOS найдется аналогичный пункт для отключения «Secure Boot».
Для того чтобы отключить «Secure Boot» на оборудовании Asus (современных его вариантах), в настройках UEFI зайдите на вкладку «Boot» («Загрузка») — «Secure Boot» («Безопасная загрузка») и в пункте «OS Type» («Тип операционной системы») установите «Other OS» («Другая ОС»), после чего сохраните настройки (клавиша F10).
На некоторых вариантах материнских плат Asus для этой же цели следует зайти на вкладку «Security» или «Boot» и установить параметр «Secure Boot» в значение «Disabled».
Для отключения безопасной загрузки на ноутбуках HP проделайте следующее: сразу при включении ноутбука нажимайте клавишу «Esc». После чего должно появиться меню с возможностью входа в настройки BIOS по клавише F10.
В BIOS перейдите на вкладку «System Configuration» и выберите пункт «Boot Options». В этом пункте найдите пункт «Secure Boot» и установите его в состояние «Disabled». Сохраните сделанные настройки.
Для отключения функции «Secure Boot» в UEFI на ноутбуках Lenovo и Toshiba зайдите в ПО UEFI (как правило, для этого при включении нужно нажать клавишу F2 или Fn+F2).
После этого зайдите на вкладку настроек «Security» и в поле «Secure Boot» установите «Disabled». После этого сохраните настройки (клавиши Fn + F10 или просто F10).
На ноутбуках Dell c InsydeH2O настройка «Secure Boot» находится в разделе «Boot» — «UEFI Boot»
Для отключения безопасной загрузки, установите значение в «Disabled» и сохраните настройки, нажав клавишу F10.
Пункт «Secure Boot» на ноутбуках Acer находится на вкладке «Boot» настроек BIOS (UEFI), однако по умолчанию вы не можете его отключить (поставить из значения «Enabled» в «Disabled»). На настольных компьютерах Acer эта же функция отключается в разделе «Authentication». (Также возможен вариант нахождения в «Advanced» — «System Configuration»).
Для того чтобы изменение этой опции стало доступным, на вкладке «Security» вам необходимо установить пароль с помощью функции «Set Supervisor Password» и только после этого станет доступным отключение безопасной загрузки. Дополнительно может потребоваться включение режима загрузки «CSM» или «Legacy Mode» вместо UEFI.
На некоторых материнских платах Gigabyte отключение «Secure Boot» доступно на вкладке «BIOS Features» (настройки BIOS).
Другая модель ноутбука/материнской платы
На большинстве ноутбуков и компьютеров вы увидите те же варианты нахождения нужной опции, что и в уже перечисленных пунктах. В некоторых случаях некоторые детали могут отличаться.
Как узнать включена или отключена безопасная загрузка Secure Boot в Windows
Для проверки, включена ли функция «Secure Boot» в Windows 8 (8.1) и Windows 10, вы можете нажать клавиши «Windows + R», ввести команду msinfo32 и нажать «Enter».
В окне сведений о системе, выбрав корневой раздел в списке слева, найдите пункт «Состояние безопасной загрузки» для получения сведений о том, задействована ли данная технология.