- Sikker opstart kræver UEFI-, GPT-partitioner og gyldige opstartsnøgler.
- msinfo32 giver dig mulighed for at kontrollere BIOS-tilstand og status for sikker opstart.
- Deaktivering af CSM og valg af Windows UEFI aktiverer signaturbekræftelse.
- Administration af nøgler (gendannelse af fabriksindstillinger) løser statussen "Ikke aktiv".
Efter en BIOS/UEFI-opdatering er det ret almindeligt, at Secure Boot deaktiveres, ændrer status eller vises som "Ikke aktiv". Derfor anbefales det at gennemgå indstillingerne for at få det til at fungere korrekt igen. I denne artikel vil jeg forklare detaljeret, hvordan man sikkert genaktiverer Secure Boot uden at overse kritiske aspekter som UEFI, GPT, CSM, bootnøgler, TPM 2.0 og BitLocker.
Før du rører ved noget, er det værd at lave et par hurtige tjek i Windows og firmwaren. Dette vil hjælpe dig med at undgå almindelige fejl som den berygtede "Legacy UEFI" eller krypteringslåse. Hav din gendannelsesnøgle klar, hvis du bruger BitLocker , og se producentens vejledning, hvis det er relevant, da hvert bundkort (ASUS, MSI, Gigabyte, Lenovo, Dell, HP osv.) kan vise forskellige menuer.
Hvad er Sikker start, og hvorfor bør du have det aktiveret?
Secure Boot er et firmware-beskyttelseslag, der validerer de kryptografiske signaturer for den software, der indlæses ved systemstart, og sikrer, at kun signeret og betroet software udføres. Med andre ord blokerer det udførelsen af uautoriserede bootloadere eller drivere og hjælper med at inddæmme malware, der forsøger at infiltrere opstartsprocessen.
Ud over sikkerhed påvirker korrekt konfiguration også stabiliteten og kompatibiliteten med moderne systemer. Hvis du har brug for at starte værktøjer eller operativsystemer, der ikke understøtter denne verifikation, kan du midlertidigt deaktivere den, selvom producenterne anbefaler at holde Sikker start permanent aktiveret, undtagen i meget specifikke tilfælde.
Indledende kontroller i Windows: BIOS-tilstand og status for sikker opstart
Det første trin er at bekræfte din computers aktuelle status. Windows tilbyder en hurtig forhåndsvisning for at se, om du er i UEFI- eller Legacy (CSM)-tilstand, og om Sikker start er aktiveret. Hvis du markerer her, sparer du tid, fordi hvis den allerede viser "Aktiveret", er der ikke mere, du skal gøre.
- tryk Windows + R, skriver msinfo32 og bekræft med Enter. Systemoplysninger åbnes.
- Find felterne BIOS-tilstand y Sikker opstartstilstand.
- Hvis BIOS-tilstanden angiver, at UEFI og Secure Boot Status er aktiveret, behøver du ikke at foretage nogen ændringer. Hvis der står Deaktiveret, kan du aktivere det. Hvis der står Ikke understøttetDit bundkort understøtter ikke denne funktion.
- Hvis BIOS-tilstand vises Arvet/CSMDu skal skifte til UEFI, før du kan bruge Secure Boot.
MBR vs GPT: Konverter systemdisken om nødvendigt
For at Sikker opstart kan fungere, skal din Windows-installation være på en disk, der er partitioneret i GPT- format (GUID Partition Table). Hvis dit systemdrev er i MBR, skal du konvertere det til GPT ved hjælp af Microsofts indbyggede værktøj. Før du gør det, skal du sikkerhedskopiere dine vigtige data.
Tjek partitionsstilen ved hjælp af Diskhåndtering: Tryk på Windows + X, åbn Diskhåndtering, højreklik på systemdisken (ikke kun C:-drevet), og åbn Egenskaber > Diske. Under Partitionsstil kan du se, om det er GPT eller MBR.
Hvis du har brug for at konvertere, skal du åbne kommandoprompten som Administrator (sørg for at vinduet angiver det pågældende tilladelsesniveau) og valider med mbr2gpt /validate /disk:0 /allowFullOS (Erstat 0 med det korrekte disknummer, hvis det ikke stemmer overens). Hvis alt er korrekt, kør mbr2gpt /convert /disk:0 /allowFullOSEfter konverteringen kan det være nødvendigt Skift opstartstilstanden i firmwaren til UEFI.
Forvalidering er afgørende, fordi den blandt andet kontrollerer, at der er nok plads til GPT-tabellerne, og at partitionsstrukturen er kompatibel. Selvom værktøjet er designet til konvertering på stedet, indebærer enhver partitioneringsændring risiko, så det anbefales at udføre en sikkerhedskopi på forhånd.
TPM 2.0 og Windows 11: Hurtig verifikation
Selvom TPM 2.0 ikke er påkrævet for at aktivere Secure Boot, er det påkrævet for Windows 11. Hvis du bruger Windows 11, skal du bekræfte, at chippen er til stede og aktiveret. Kør tpm.msc , og kontroller status: Hvis der står "Klar til brug", er alt fint; hvis ikke, skal du aktivere det i BIOS/UEFI (se efter TPM, fTPM eller PTT, afhængigt af producenten, normalt i Sikkerhed eller Avancerede indstillinger).
På mange moderne enheder er TPM aktiveret som standard, men det kan deaktiveres efter en firmwareopdatering eller en systemnulstilling. Den typiske fremgangsmåde er at gå til Sikkerhed > TPM/fTPM/PTT og vælge Aktiveret , gemme ændringerne med F10, før du afslutter, for at aktiveringen kan træde i kraft.
Sådan åbner du BIOS/UEFI: nøgler og sti fra Windows
For at få adgang til Secure Boot skal du have adgang til firmwaren. Den mest almindelige måde er at genstarte computeren og trykke gentagne gange på en tast under POST. De mest almindelige taster er Delete, F2, F10, F12 eller Esc , selvom dette afhænger af producenten.
Hvis du foretrækker at gøre det indefra selve systemet, skal du bruge Avanceret opstart. I Windows 10 skal du navigere til Indstillinger > Opdatering og sikkerhed > Gendannelse og klikke på Genstart nu under Avanceret opstart. I Windows 11 skal du gå til Indstillinger > Windows Update > Avancerede indstillinger > Gendannelse og vælge Genstart nu under Avanceret opstart. Efter genstart skal du gå til Fejlfinding > Avancerede indstillinger > UEFI Firmware-indstillinger og bekræfte.
På nogle bærbare computere (især gaming-bærbare computere) er det almindeligt at holde F2 nede, mens du tænder dem, efter de er slukket . På visse gaming-bærbare computere kan metoden indebære at holde lydstyrkeknappen nede og trykke på tænd/sluk-knappen samtidigt. Se i din models manual, hvis du ikke kan få den til at starte første gang.
Placeringen af Secure Boot i firmwaren og hvad du skal deaktivere.
Når du er inde i BIOS/UEFI, skal du kigge efter indstillingen Sikker opstart. Den kan være placeret i faner som Sikkerhed, Opstart, Avanceret eller Godkendelse , afhængigt af om brugergrænsefladen er klassisk UEFI, "MyASUS i UEFI" eller et andet producentlag.
Før du aktiverer Sikker opstart, skal du deaktivere Compatibility Support Module (CSM) eller Legacy-tilstanden. Sikker opstart fungerer kun i ren UEFI, så hvis CSM er aktiveret, skal du deaktivere den. Kontroller derefter, om der er en OS Type-indstilling; mange firmwareversioner viser "Windows UEFI-tilstand" versus "Andet operativsystem". For at aktivere Sikker opstart skal du vælge Windows UEFI.
Med CSM deaktiveret og den korrekte OS-type valgt, skal du finde knappen Sikker opstart (den kan vises som Sikker opstartskontrol). Skift den fra Deaktiveret til Aktiveret. Hvis firmwaren beder dig om at administrere nøgler, installere fabriksindstillingerne eller gendanne standardnøglerne; denne database er det, der gør det muligt at validere Microsoft-signerede bootloadere.
Gem ændringer, afslut og bekræft i Windows
Når du er færdig, skal du gemme og afslutte. Dette gøres normalt ved at trykke på F10 og bekræfte (OK/Accepter/Bekræft), eller ved at gå til fanen Gem og afslut og vælge "Gem ændringer og afslut". Computeren genstarter med de nye indstillinger anvendt.
Gentag msinfo32 -forespørgslen i Windows for at bekræfte, at Sikker start-status nu vises som Aktiveret. Hvis den stadig viser "Ikke aktiv" eller "Deaktiveret", mangler der muligvis nøgler, eller CSM er muligvis stadig aktiveret et sted i firmwaren.
Hvad skal man gøre, hvis "Ikke aktiv" vises: nulstil tasterne og gennemtving den relevante tilstand
Der er scenarier, hvor statussen viser "Ikke aktiv " på trods af at UEFI og Secure Boot er aktiveret. På moderne bundkort er den typiske løsning at aktivere Secure Boot og gendanne fabriksstandardnøglerne og gemme ændringerne bagefter.
På bærbare computere, alt-i-én-pc'er eller spillekonsoller med klassisk UEFI: Gå til Sikkerhed > Sikker opstart, og aktiver Sikker opstartskontrol . Gå derefter til Nøglehåndtering. Brug først "Nulstil til opsætningstilstand" til at rydde databaserne, bekræft med Ja, og vælg derefter Gendan fabriksnøgler . Gem ændringerne (F10), og genstart.
På enheder med "MyASUS i UEFI" er processen den samme: aktiver Sikker opstart, gå ind i Nøglehåndtering, nulstil til Opsætningstilstand , og gendan derefter nøglerne med "Gendan fabriksnøgler". Gem til sidst ændringerne, og genstart for at statussen kan opdateres.
På stationære computere kræver nogle firmwareversioner, at Sikker starttilstand ændres til Brugerdefineret for at administrere nøgler: åbn Nøglehåndtering, kør "Ryd sikre startnøgler", bekræft, og vælg derefter "Installer standard sikre startnøgler". Glem ikke at lukke med F10 eller "Gem ændringer og afslut", så status ændres til Bruger/Aktiv, når det er relevant.
Mange UEFI BIOS'er har en basistilstand og en avanceret tilstand. Hvis du ikke kan se ovenstående muligheder, skal du trykke på F7 for at åbne Avanceret tilstand og derefter kontrollere fanerne Sikkerhed og Opstart igen. Du kan navigere ved hjælp af piletasterne og Enter, eller med en mus eller touchpad, afhængigt af dit system.
Grænsefladen kan variere en smule mellem modeller og firmwareversioner. Bliv ikke overrasket over at finde stien angivet som Sikkerhed > Sikker opstart > Sikker opstartskontrol eller Opstart > Sikker opstart > OS-type . Målet er det samme: deaktiver CSM, vælg Windows UEFI, og sørg for, at Sikker opstartsnøglerne er indlæst.
BitLocker og enhedskryptering: undgå overraskelser ved genstart
Hvis du bruger BitLocker eller enhedskryptering, kan ændring af kritiske opstartsparametre (CSM, sikker opstart, TPM) medføre, at Windows anmoder om din gendannelsesnøgle ved næste opstart. Hav den klar, før du rører ved BIOS/UEFI, for at undgå at blive låst ude.
Hvis du foretrækker midlertidigt at deaktivere kryptering, skal du først konsultere Microsofts officielle retningslinjer for at undgå datatab. På virksomhedscomputere anbefales det at koordinere disse ændringer med IT-teamet for at overholde politikkerne og opretholde sikkerheden.
Alternativ rute til at aktivere UEFI og konvertere partitioner uden geninstallation
Hvis du kom fra Legacy/CSM-tilstand, og din disk blev formateret som MBR, er den reneste måde at konvertere til GPT ved hjælp af værktøjet mbr2gpt og skift derefter til UEFI i BIOS. Husk at validere først med mbr2gpt /validate og så kør den mbr2gpt /convert med det korrekte disk-id.
En detalje, der ofte overses: kommandopromptvinduet skal vise "Administrator" . Hvis du ikke kører konsollen med forhøjede rettigheder, kan kommandoerne mislykkes uden en tydelig besked, hvilket tvinger dig til at gentage trinnene.
Hvornår skal man midlertidigt deaktivere sikker opstart
Nogle diagnosticeringsværktøjer, vedligeholdelsesbilleder og operativsystemer fungerer ikke, når signaturbekræftelse er aktiveret. I disse tilfælde kan du midlertidigt deaktivere Sikker start, bruge det, du har brug for, og derefter genaktivere det, når du er færdig.
Hvis du installerer Linux og har valgt "Andet operativsystem" i din BIOS, er det almindeligt at se meddelelser eller fejl relateret til ældre UEFI. Løsningen involverer normalt at konfigurere UEFI-tilstand, holde CSM deaktiveret, og hvis du beholder Windows, at kontrollere, at din systemdisk er formateret som GPT , og at Secure Boot-nøglerne er indlæst. Nogle Linux-scenarier kræver signerede bootloadere; ellers er din midlertidige løsning at starte med Secure Boot deaktiveret.
Bærbare computere og alt-i-én-pc'er: Når computeren er slukket, skal du holde F2 nede, mens du tænder den, for at åbne systemopsætningen. Når du er inde, skal du skifte til avanceret tilstand med F7 , gå til Sikkerhed > Sikker opstart og justere Sikker opstartskontrol. Hvis den ikke vises, skal du også kontrollere fanen Opstart, især OS-typen (Windows UEFI vs. andet operativsystem).
MyASUS i UEFI: Navigationen er meget ens, kun udseendet ændres. Gå til Avancerede indstillinger, derefter til Sikkerhed > Sikker opstart, og aktiver kontrol og administration af nøgler fra Nøglehåndtering , hvis status forbliver som Ikke aktiv. Husk at gemme med F10.
Stationære computere: På nogle modeller er tasten Delete (Del) . Find Boot > Sikker opstart, og hvis nøglehåndtering er aktiveret, skal du indstille tilstanden til Brugerdefineret for at rydde og installere standardnøglerne (Installer standardnøgler til sikker opstart). Kontroller også, at CSM er indstillet til Deaktiveret, så den bliver aktiv.
Slutkontrol og fejlfinding
Gem og genstart efter hver BIOS-ændring. I Windows skal du genåbne msinfo32 for at bekræfte: BIOS-tilstand er indstillet til UEFI, og Sikker startstatus er indstillet til Aktiveret. Hvis noget går galt, og computeren ikke kan starte, skal du vende tilbage til firmwaren og midlertidigt deaktivere Sikker start eller vende tilbage til den sidste indstilling for at gendanne funktionaliteten.
Typiske fejl, der afslører problemet: Hvis "Ikke aktiv" fortsætter, mangler der nøgler; hvis du ikke kan se knappen Sikker opstart, er du i basisvisning og skal skifte til avanceret tilstand; hvis Windows ikke starter efter konvertering til GPT, er firmwaren muligvis stadig i CSM/Legacy-tilstand i stedet for UEFI. Justering af disse tre punkter løser næsten altid problemet.
Se altid producentens dokumentation. Selvom målet er det samme på tværs af alle mærker, varierer terminologien og den nøjagtige sti. Det er ikke ualmindeligt, at en indstilling kaldet "OS-type" er den, der aktiverer eller deaktiverer sikker opstart bag kulisserne (Windows UEFI = aktiv, andet operativsystem = inaktiv).
• Bekræft i msinfo32, at du er i UEFI-tilstand, og tjek status for sikker opstart. Hvis du er i Legacy-tilstand, skal du konvertere til GPT og skifte til UEFI i firmwaren.
• Deaktiver CSM i BIOS. Indstil OS-typen til Windows UEFI, og aktiver Sikker opstart. Installer standardnøgler , eller gendan dem fra Nøglehåndtering, hvis du bliver bedt om det.
• Hvis statussen viser "Ikke aktiv", skal du nulstille til opsætningstilstand og geninstallere fabriksnøglerne. På stationære computere skal du muligvis skifte til brugerdefineret tilstand for at administrere nøgler. Husk at gemme med F10.
• Brug TPM 2.0, hvis du bruger Windows 11, og husk BitLocker: skriv gendannelsesnøglen ned, før du rører ved firmwaren. Hvis noget går galt, skal du fortryde den sidste ændring og prøve igen.
Når UEFI, GPT og CSM er deaktiveret, og fabriksnøglerne er indlæst, vil Secure Boot være funktionel, og din computer vil kun starte betroet software. Denne indstilling er værd at kontrollere, især efter en BIOS-opdatering, fordi disse ændringer nogle gange nulstiller opstartsparametre eller sletter nøgledatabasen. Når du forstår processen (msinfo32 til diagnosticering, mbr2gpt om nødvendigt, indstillinger i Sikkerhed/Opstart og nøgleadministration), tager det kun få minutter at genaktivere Secure Boot , og det giver ekstra sikkerhed uden at gå på kompromis med ydeevnen.
