微软UEFI安全启动证书2023：为什么要换？你的电脑需要吗？

UEFI安全启动是怎么工作的？微软为什么要在2023年换证书？新旧证书对照：换的到底是什么？没有2023证书会怎样？三种方法检查你的电脑有没有2023证书方法1：用DiskGenius查看（推荐新手）方法2：用PowerShell检查方法3：进入UEFI固件设置查看如何更新到2023证书？更新前须注意的几件事

微软正在替换使用了十多年的2011版安全启动证书，事关电脑开机安全，附检查方法和更新教程。

你的电脑每次开机，在Windows桌面出现之前，固件就在悄悄做一件事——验证每一个启动组件的"身份"，确认它们没有被篡改。这套机制叫UEFI安全启动（Secure Boot），而验证的核心依据，就是固件里预存的数字证书。

2023年，微软启动了一次重大证书轮换，用新版2023证书替代已经服役十多年的2011证书。这篇文章帮你搞清楚：这次更新到底怎么回事，你的电脑需不需要关注，以及怎么操作。

传统BIOS时代，电脑开机后直接执行硬盘上的引导程序，不检查来源。这意味着恶意Bootkit可以在你毫不知情的情况下，抢在系统之前控制电脑。

UEFI引入了Secure Boot机制，核心逻辑很简单：只加载经过数字签名验证的启动组件，签名不被信任的一律拒绝。验证沿"信任链"逐级传递，固件验证引导加载程序，引导程序验证系统内核，内核验证驱动——任何一环验证失败，启动就会中断。

而这整条信任链的根基，就是固件中存储的证书体系，包含四个关键部分：

· PK（平台密钥）：信任链的根，由电脑厂商持有，普通用户不需要动。

· KEK（密钥交换密钥）：微软持有，用于授权对证书库的更新。

· db（签名数据库）：白名单，存放所有受信任的证书。微软的各类UEFI证书就存在这里。

· dbx（撤销数据库）：黑名单，存放已被吊销的签名，阻止已知存在漏洞的组件加载。

小结：PK管KEK，KEK管db和dbx，db决定信任谁，dbx决定拒绝谁。

主要有两个原因：

1. 证书到期换新是正常操作。数字证书都有有效期，微软2011年发布的那批证书（如Microsoft Windows Production PCA 2011）已经运行超过十年。加密算法在升级，硬件平台在变化，长期依赖旧证书本身就不是最佳实践。

2. BlackLotus漏洞敲响警钟。2023年初，安全研究人员发现了一个编号CVE-2023-24932的高危漏洞。BlackLotus是首个在真实环境中能绕过Secure Boot保护的Bootkit——它利用旧版引导程序的已知漏洞，通过降级攻击在系统启动前植入恶意代码，杀毒软件根本无法检测。

微软因此加速推动了新证书体系的落地。

旧版证书（2011）→ 新版证书（2023）以及用途：

· Microsoft Corporation KEK CA 2011 → Microsoft Corporation KEK 2K CA 2023（签署db/dbx更新，存于KEK）

· Microsoft Windows Production PCA 2011 → Windows UEFI CA 2023（签署Windows引导程序，存于db）

· Microsoft UEFI CA 2011 → Microsoft UEFI CA 2023（签署第三方引导程序，存于db）

· Microsoft UEFI CA 2011 → Microsoft Option ROM UEFI CA 2023（签署硬件Option ROM，存于db）

几个关键变化值得注意：

· KEK密钥长度升级到2048位，安全性更强。

· Option ROM签名独立出来单独管理，信任控制更精细。

· 旧证书不会立刻废除，新旧会在过渡期内共存。

短期来看：大多数没有2023证书的电脑目前仍可正常使用，日常办公、上网、Windows Update都不受影响。

但长期来看，存在四类潜在风险：

· 未来新版Windows引导程序可能改用2023证书签名，缺少新证书的设备可能启动失败。

· 部分安全更新可能仅推送给已完成证书迁移的设备。

· BitLocker用户可能因启动环境变化被要求输入恢复密钥。

· 未来Windows版本或企业管理工具可能将缺少新证书的设备标记为"不合规"。

哪些设备需要重点关注？2024年下半年之后出厂的Windows 11 PC大概率已有新证书。2023年以前的旧电脑、从未更新过BIOS的设备、企业批量部署的旧机器，建议手动检查。

1. 打开DiskGenius免费版 → 工具 → 设置UEFI BIOS启动项

2. 点击“查看安全启动证书”按钮。

3. 在证书库中选择"Signature Database (db)"，查看列表中是否包含Windows UEFI CA 2023、Microsoft UEFI CA 2023等证书。

以管理员身份打开PowerShell，依次执行：

1. 确认Secure Boot已启用：Confirm-SecureBootUEFI

2. 检查是否包含Windows UEFI CA 2023：

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

3. 检查是否包含Microsoft UEFI CA 2023：

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'

返回True即表示已包含。

开机按Del/F2/F12进入BIOS → 找到Security或Boot选项卡 → Secure Boot → Key Management。注意：很多消费级主板的BIOS界面不直接展示证书详情，此方法不一定适用所有设备。

途径1：通过Windows Update自动更新（最推荐）

设置 → Windows更新 → 检查更新 → 安装所有可用更新 → 重启。微软正在分批次推送证书更新，安装2024年4月之后的安全更新通常会包含证书推送。

途径2：更新BIOS/UEFI固件

访问电脑品牌官网（Dell、Lenovo、HP、ASUS等）→ 查找最新BIOS固件 → 按说明升级。较新的BIOS固件通常已预置2023证书。

重要提醒：固件升级过程中请确保供电稳定，笔记本务必连接电源适配器，操作不当可能导致主板无法启动。

1. BitLocker用户：先确认恢复密钥已备份。证书和固件更新可能触发TPM度量值变化，BitLocker会要求输入48位恢复密钥。可通过Microsoft账户在线查看，或在"管理BitLocker"中备份。

2. 不要关闭Secure Boot。遇到兼容性问题就关Secure Boot等于放弃整条启动信任链的保护。正确做法是排查具体哪个组件签名不被信任，通过更新软件版本解决。

3. 不要手动删除旧证书。过渡期新旧证书必须共存，删除旧证书可能导致依赖它的启动组件无法通过验证。

4. 不要手动清除dbx。dbx中每一项都是为封堵已知漏洞，清除它等于主动解除安全防护。

5. 双系统用户：更新前先将Linux发行版更新到最新版本，确保shim和GRUB已更新；更新后检查UEFI启动项顺序是否正确。