Neue SecureBoot Zertifikate werden nicht geladen

[Erklärbär]

Das war schon hier lang Thema (09/25) und selbst da war mein Board, wie eigentlich alle MSI Bretter, schon längst CA2023 ready.

ps: 02/24 kamen die ersten DB Updates via Sicherheitsupdates. Also doch schon über 1 Jahr. MSI hat KEK'se ab 03/24 am Start gehabt. Auch über 1 Jahr.

 

[Luxxiator]

Zumindest beizeiten angefangen hat MS, aber wie das ausgeht, wissen wohl nur die Götter.. Wir können uns hier wahrscheinlich schon mal warm anziehen, wenn im Sommer hier die Hölle losbricht....

 

[Erklärbär]

Mich juckts eher weniger, bin ja bestens gerüstet. Doof wird es nur für diejenigen die aus ihren 4-Jahreszeiten Dauerschlaf nicht aufwachen wollten. ..von daher..

 

[Inekai]

Wir hatten die Frage auch bei unserem letzten Chaostreff. Ich musste mich da selbst erst einmal schlau machen, weil fast alle meiner Rechner unter Windows 11 und 10 laufen, welche, falls SecureBoot aktiv ist, auch betroffen sein können. Ich habe dann für mich und unseren Stammtisch eine App gebastelt, die genau das prüft (Betriebssystem, SecureBoot aktiv, neue Zertifikate installiert/nicht installiert). Falls die Zertifikate abgehen, kann man den entsprechenden Eintrag in der Registriy setzen und einen Task erstellen, welcher die neuen Zertifikate dann installiert. Das kann einige Neustarts erfordern, denn wenn ich Microsoft richtig verstanden habe, werden die neuen Zertifikate in Wellen installiert. Die App muss als Administrator ausgeführt werden, da sie sonst nicht richtig funktioniert. Falls Interesse besteht, stelle ich die App hier gerne zur Verfügung.

 

[Luxxiator]

Falls Interesse besteht, stelle ich die App hier gerne zur Verfügung.

Nur zu.....

 

[seelenkrank]

Ich hatte letztens nachdem ich hier im Thread schon etwas mitgelesen hatte mal das BIOS geupdatet und so nach über 7 Tagen kam dann über Win update das neue Zeug.
Lt. Sicherheitsapp Anzeige ist da jetzt alles aktuell.
Bei meinen beiden Win 10 Rechnern brauche ich mir die Arbeit ja nicht mehr machen (kein neues Bios mehr Verfügbar und Updates gehen ja eh nicht mehr.
Keine Ahnung ob da überhaupt Secure Boot aktiv ist...

 

[Inekai]

https://www.dropbox.com/scl/fi/jn0f...ey=qsf07hm4ichg5k0gmogr9cauu&st=ubkqtydh&dl=0

Datei war zu groß für`s Forum. Deshalb hier der Dropbox-Link. Wenn jemand noch Fehler finden etc. bitte mir mittteilen, danke. Trotz Prüfung kann ich leider auch was übersehen.

 

[Luxxiator]

Bei meinen beiden Win 10 Rechnern brauche ich mir die Arbeit ja nicht mehr machen (kein neues Bios mehr Verfügbar und Updates gehen ja eh nicht mehr.

Dann steige um auf Windows 11; außerdem ist nur selten ein neues BIOS nötig. Einfach testen....

@Inekai Der DL funktioniert leider nicht....

 

[Inekai]

@Luxxiator Sollte wieder funktionieren. Ich bekam noch einen Tipp, die PowerShell-Fenster hidden zu machen, die alle Prüfungen machen. Habe ich noch mit eingebaut. Ich habe jetzt auf zwei meiner Rechner die Zertifikate mit der App nachinstalliert. Einmal war auch kein SecureBoot aktiviert. Bei mir brauchte es dann genau einen Neustart, dann waren die Zertifikate installiert:

Dropbox

www.dropbox.com

 

[Erklärbär]

Doch, der DL Link funktioniert schon, man muss halt nur diesen DB Anmeldekrempel überspringen:

 

[seelenkrank]

Dann steige um auf Windows 11; außerdem ist nur selten ein neues BIOS nötig. Einfach testen....

@Inekai Der DL funktioniert leider nicht....

I7 8700k und ein i9 9900k...
Das Risiko das Win11 da nicht läuft ist es mir nicht Wert.
Wollte zwar die Rechner neu machen aber bei den Mondpreisen hat sich das erstmal erledigt.

Beitrag automatisch zusammengeführt: 28.04.2026

Edit: in einer MS Anleitung dazu stand/steht ein registry Eintrag der gesetzt werden kann um den dl per Windows Update anzustoßen.
Meint ihr man könnte damit die win10 PCs überreden?
Extendet Support geht ja nur mit MS Konto was ich auch verweigere.

 

[Luxxiator]

Das Risiko das Win11 da nicht läuft ist es mir nicht Wert.

Warum sollte das nicht laufen? Ab Gen8 sind die Intel sogar offiziell unterstützt, also trau Dich.....

Sollte wieder funktionieren.

Yup, danke dafür....

EDIT: Ich hätte es natürlich auch einfach hier laden können.....

 

[seelenkrank]

Müsste erstmal schauen ob ich TPM Chip habe auf den MBs (Edit : Nein. nur TPM Header verbaut)
Also 2x TPM Chips und noch 2x Win11 für die alte HW = no thx...

 

[Techlogi]

@seelenkrank Brauchst du nicht, schau im Bios nach Intel PPT.
Ist das gleiche wie fTPM bei AMD.

 

[seelenkrank]

oh?
Kann ich mal machen.
Danke für den Hinweis!

 

[Luxxiator]

Kumpel hat nen 7000er Intel und auch TPM. Tippe einfach mal TPM ins Startmenü und schaue was da rum kommt....

 

[Luxxiator]

Hm, laut der SW ist alles aktuell, aber Windows ist irgendwie anderer Meinung.. Was nun?

 

[Inekai]

Ich habe bei Deskmodder noch viele neue Anregungen bekommen für wichtige Abfragen. Die habe ich jetzt alle noch soweit wie möglich eingebaut. Neue Version 2.3:

Dropbox

www.dropbox.com

 

[Luxxiator]

Also muss die Kiste hier noch bissel warten, bis alles paletti ist. Ich weiß zwar nicht, wo es klemmt, aber nutzt ja nichts....

 

[Erklärbär]

Deine UEFI Variablen sind veraltet! Die Listen müssten mittlerweile minimum 6 sein, bei dir drei. DBX Einträge auch alt, mittlerweile mindestens um die 430, bei dir 77.
Der Update-Trigger steht bei dir auf Variable 0x0, müsste auf 0x4000 stehen. Ansonsten passt alles.

..ich werde heute nachmittag, nachdem der Techniker hier war und die Fritte getauscht hat, mal auf letztes Update aktuallisieren und hier den derzeit aktuellen Stand (24H2) posten.
Biosupdates usw. ist alles aktuell bei dir?

ps: Bei dir steht ja auch ziemlich weit unten: "AvailableUpdates=0, UEFICA2023Status=NotStarted".
Da muss normalerweise bei ersteren ein Wert über 0 stehen (bei mir 16384) und zum CA2023 "Updated". Der Dienst wird also nicht ausgeführt bei dir.

 

[Luxxiator]

Hm, das BIOS ist ca ein halbes Jahr alt und es wurden dort ausschließlich Zerties aktualisiert. Also PK, KEK usw....

 

[Erklärbär]

..ist trotzdem nicht aktiv (0x0), siehe hier (orange markiert):



Stand: 24H2 26100.8117

 

[Luxxiator]

Hm, was kann ich da jetzt machen?

 

[seelenkrank]

vielleicht mal das ausprobieren:

Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit IT-verwalteten Updates - Microsoft-Support

support.microsoft.com

Da wo das steht mit dem REgEdit schlüssel.
Der ist vorhanden aber man muss/soll den Wert abändern auf 0x5944.
Dann würde das Update angestossen.
Vielleicht mal testen?

 

[Luxxiator]

Schaue ich mir mal an, aber eigentlich sollte das doch von allein passieren, oder.? Es bleibt spannend; mal sehen, was nach dem Stichtag so alles auf Erden passiert....

 

[Inekai]

Ich habe die Texte jetzt nochmal angepasst (2.5) und Erklärungen hinzugefügt. Laut dem Screenshot sieht es gut aus. Sonderfälle wird es immer geben. Laut Microsoft, wie ich bei Born gelesen habe, werden die Rechner auch weiterhin starten, auch wenn ein veraltetes Zertifikat installiert ist. Es kann/wird aber dann bei Updates Probleme geben. Aber man kann mit dem Rechner/Laptop noch arbeiten und man kommt an seine Daten.

Was passiert, wenn im Juni 2026 Windows Secure Boot-Zertifikate auslaufen?

Im Juni 2026 laufen UEFI Secure Boot-Zertifikate für Windows ab. Im Oktober 2026 trifft es dann das nächste ablaufende UEFI-Zertifikat für den Secure Boot. Microsoft versucht seit geraumer Zeit…

borncity.com

 

[seelenkrank]

Schaue ich mir mal an, aber eigentlich sollte das doch von allein passieren, oder.? Es bleibt spannend; mal sehen, was nach dem Stichtag so alles auf Erden passiert....

sollte, hätte, wenn und aber... die Feinde der Normalität
Da stand noch auf einer anderen Seite dazu man soll die Diagnosedaten anschalten (alle).
Hatte das dann auch mal getan und nach ein paar Tagen kam dann endlich das Update.
Ob es daran lag = ?

 

[Moya]

Bischen irritierend , die Anzeige in deinem Programm , denn es zeigt alles grün an , obwohl die 1801 Meldung da ist , aber die 1808 Meldung nicht da ist. Somit sind die Zertifikate zwar da , werden aber nicht angewendet ?

 

[Luxxiator]

....man soll die Diagnosedaten anschalten (alle).

Hm, hier sind tatsächlich nur die erforderlichen Daten gestattet.. Ich warte mal weiiter ab; ist ja noch Zeit....

 

[Inekai]

Nein, nicht irritierend, den Fall hatte ich einfach noch nicht, weil auf meinen Rechnern/Laptops dieser Fall noch nicht eingetreten ist. Ich habe die Version jetzt auf 2.6 erhöht und diese Abfrage mit eingebaut. Teste es mal. Jetzt dürfte es nicht mehr grün sein.