这个Win11更新,小心电脑变砖!

我已经写了好几篇文章科普UEFI CA 2023证书更新的问题，但从评论区来看，依然有很多小伙伴的理解是错的。这个证书是否要更新确实非常重要，一定要搞清楚它的原理之后再操作，否则不要轻易操作。这次我画了一张图，我就不信还看不懂~

你的电脑主板的UEFI固件中现在有这么一个证书“CA 2011”，同时，Windows系统、Linux、显卡GOP驱动以及各类设备固件驱动等，也使用了这个证书签名。当电脑启动时，就会检查这些证书是否匹配。看下图，只要主板中有这个证书，你的系统、PE、硬件等等都能通过验校。这个证书就是通行证！只有当这个证书被拉黑(写入UEFI的DBX)之后，那么被它签署的各类东西都会被禁用。

但是CA 2011这个证书太旧了，将于2026年6月24日过期。微软现在开始升级换代，比如最新的Windows系统都使用CA 2023证书签署。同时微软通过系统更新，将CA 2023写入主板的UEFI中。也就是说现在UEFI中存在新旧两套证书，能匹配上任何一个，都能通过验校。证书虽然过期，但微软并未将其拉黑。

有同学会问，2026年6月24日之后，CA 2011过期了怎么办？

回答：目前没有任何影响，过期照样正常运行。类比一下：Win7都“过期”多少年了，很多人不照样在正常使用。不过，早晚会有一天，微软会把CA 2011拉入黑名单（DBX），到时候凡是通过CA 2011签署的Windows、设备（显卡、网卡、硬盘等）固件驱动等等都无法正常运行。

那么具体什么时候微软会吊销CA 2011证书呢？

回答：2023年的时候，微软为了解决黑莲花病毒这个漏洞，给出的方案是吊销CA 2011证书，但为了安全起见，分阶段实施，目前已经3年过去了，仍然未吊销该证书。因为吊销后，影响较大，很多设备固件由于也是CA 2011签署的，也可能会无法正常运行，微软目前还不太敢全面实施。至于最终的时间节点，目前暂无明确的公告。这个问题我在前几篇文章中已经说过了，这里再强调一下。

UEFI CA 2023到底要不要更新？到这里应该自己就能判断了吧。

关于新证书，微软实际上提供了4个，留言区也有不少人问,怎么才算更新成功呢？上一篇文章提供的检测工具：点击获取。首先微软将证书准备就绪，其次还要把这些证书写入UEFI的白名单（DB）中，才算成功。有几个留言的问题比较典型，截图看一下。

留言1：

留言2：

留言3：

留言4：关于这位朋友的留言，前半句完全正确。后半句我感觉不完全正确，微软可以通过已授权的KEK证书合法签署DBX更新包，固件只校验签名合法性，并不会主动拒绝想更新的行为。但很多老旧主板因为NVRAM空间不足（比如只有64KB或128KB），或厂商开发的固件存在Bug，会拒绝写入更新，微软确实也没办法。这也是这次证书更新非常复杂的原因所在。

微软提供的这4个证书，有详细的介绍，以及下载链接。虽然我们可以手动将这些证书导入UEFI的DB中，但一般不建议手动操作，除非你对UEFI/BIOS比较熟悉，知道失败后怎么解决。

Windows UEFI CA 2023：
https://go.microsoft.com/fwlink/?linkid=2239776
Microsoft Corporation KEK 2K CA 2023：
https://go.microsoft.com/fwlink/p/?linkid=2239775
Microsoft UEFI CA 2023：
https://go.microsoft.com/fwlink/?linkid=2239872
Microsoft Option ROM UEFI CA 2023：
https://go.microsoft.com/fwlink/?linkid=2284009

微软详细说明：
https://learn.microsoft.com/zh-cn/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11#14-signature-databases-db-and-dbx

以上的所有操作，实际上完全交给微软自动更新即可。有时手动操作失败，可能会造成电脑无法启动等问题，不过这些问题都是能解决的，不会造成电脑损坏。但是，你如果不了解其中的原理，可能一旦出现问题，也找不到解决方法，对你来说可能电脑就是变成砖了~