新品牌机，无法从U盘启动，需清除安全启动密钥，为什么？

营业收入 · 发表于 2023-2-6 15:44

新买一台烂脑娃笔记本，希望安装 Windows 11 专业版。Boot menu 可识别我的安装U盘，但只要选中并按回车确认，屏幕一闪又被踢回 boot menu。更换U盘不能解决问题。
联系烂脑娃think售后技术支持，我以工作电脑需加域为借口，强调要装专业版瘟11，但售后依然让我关闭 secure boot

自行尝试在UEFI固件设置中，执行 Clear Security Chip 和 Clear All Secure Boot Keys ，没有关闭 secure boot ，成功解决问题。

发现网上有很多文章建议，新电脑无法U盘启动就关闭安全启动，但几乎没人提到安全启动密钥的作用。只有一个知乎回答中提到，无法进入PE可清除安全启动密钥。
现在感到非常疑惑，secure boot 到底如何实现屏蔽U盘启动，为什么DIY市场买的主板默认开安全启动也能随便装系统，而品牌机的安全启动就是这样

泉玲奈 · 发表于 2023-2-6 17:05

之前听说lenovo家的主板还会锁死CPU,有个什么锁来着
也是商用机

jie2000 · 发表于 2023-2-6 17:11

secure boot不就是把启动设备跟uefi绑定起来吗，不关怎么用U盘启动

LZ一顿操作把密钥清理掉了不就跟关闭同样效果吗

macos · 发表于 2023-2-6 17:15

主板是基本内置微软等常见证书，所以windows盘能引导，第三方制作的程序像rufu之类不能引导，要关安全启动

Midnight.Coup · 发表于 2023-2-6 17:52

清除安全启动密钥后会转变成设置模式，约等于安全启动没开
你如果开启 BitLocker 然后清除 TPM，开机找不到恢复密钥就格盘吧

lhw369 · 发表于 2023-2-6 19:08

你做的操作，和关闭secureboot是一样的

—— 来自 HONOR HPB-AN00, Android 12上的 S1Next-鹅版 v2.5.4

lhw369 · 发表于 2023-2-6 19:10

对了你啥启动盘？如果是用微软的启动efi应该是能启动的。如果是ventoy需要制作的时候勾选secureboot。并且启动的时候需要在工具里导入grub的key。

—— 来自 HONOR HPB-AN00, Android 12上的 S1Next-鹅版 v2.5.4

EraserKing · 发表于 2023-2-6 19:22

这个是正常的，是为了保护系统引导流程的安全可控

你的硬盘开启了BitLocker之后，那么你的盘上的数据就已经被加密了，但是此时依然有一个问题
为了能正常引导系统，EFI分区依然是未加密的状态
那么攻击者就可以通过植入恶意的引导程序来诱骗用户进行输入密码之类的操作

Secure Boot就是要求这个引导程序也经过签名认证，从而杜绝上面的问题
至于如何验证，简单来说就是和TLS类似，系统/主板内置了一批证书
你删掉这些证书之后那自然只能认为所有引导程序都是可控的

Android上的AVB和iOS的Secure Boot Chain也是类似的原理

Flyfish233 · 发表于 2023-2-7 01:35

lz你的是用uup做的微软官方iso吗

营业收入 · 发表于 2023-2-7 07:19

Flyfish233 发表于 2023-2-7 01:35
lz你的是用uup做的微软官方iso吗

U盘是用rufus做的，镜像是itellyou的

—— 来自 OnePlus KB2000, Android 13上的 S1Next-鹅版 v2.5.2-play

litel · 发表于 2023-2-8 14:55

rufus兼容安全启动, 需要GPT+UEFI+FAT32
如果你选不了fat32, 那是你镜像里install.wim大于4g,
uup制作的时候选择esd模式.

		自动登录	找回密码
密码			立即注册

[软件] 新品牌机，无法从U盘启动，需清除安全启动密钥，为什么？