- Sikker oppstart krever UEFI- og GPT-partisjoner og gyldige oppstartsnøkler.
- msinfo32 lar deg sjekke BIOS-modus og status for sikker oppstart.
- Hvis du deaktiverer CSM og velger Windows UEFI, aktiveres signaturverifisering.
- Administrering av nøkler (gjenoppretting av fabrikkinnstillinger) løser statusen «Ikke aktiv».
Etter en BIOS/UEFI-oppdatering er det ganske vanlig at Secure Boot deaktiveres, endrer status eller vises som «Ikke aktiv». Derfor anbefales det å gjennomgå innstillingene for å få det til å fungere ordentlig igjen. I denne artikkelen vil jeg forklare i detalj hvordan du trygt aktiverer Secure Boot på nytt uten å overse kritiske aspekter som UEFI, GPT, CSM, oppstartsnøkler, TPM 2.0 og BitLocker.
Før du rører noe, er det verdt å gjøre et par raske kontroller i Windows og fastvaren. Dette vil hjelpe deg med å unngå vanlige feil som den beryktede «Legacy UEFI» eller krypteringslåser. Ha gjenopprettingsnøkkelen din for hånden hvis du bruker BitLocker , og se i produsentens håndbok hvis aktuelt, da hvert hovedkort (ASUS, MSI, Gigabyte, Lenovo, Dell, HP osv.) kan vise forskjellige menyer.
Hva er Sikker start, og hvorfor bør du ha det aktivert?
Secure Boot er et beskyttelseslag for fastvare som validerer de kryptografiske signaturene til programvaren som lastes inn ved systemoppstart, og sikrer at bare signert og klarert programvare kjøres. Med andre ord blokkerer det kjøringen av uautoriserte oppstartslastere eller drivere og bidrar til å inneslutte skadelig programvare som prøver å infiltrere oppstartsprosessen.
Utover sikkerhet påvirker riktig konfigurering også stabilitet og kompatibilitet med moderne systemer. Hvis du trenger å starte opp verktøy eller operativsystemer som ikke støtter denne bekreftelsen, kan du midlertidig deaktivere den, selv om produsenter anbefaler å holde sikker oppstart permanent aktivert, bortsett fra ved svært spesifikke behov.
Innledende kontroller i Windows: BIOS-modus og status for sikker oppstart
Det første trinnet er å bekrefte datamaskinens gjeldende status. Windows tilbyr en rask forhåndsvisning for å se om du er i UEFI- eller Legacy (CSM)-modus og om sikker oppstart er aktivert. Å merke av her sparer tid fordi hvis den allerede viser "Aktivert", er det ikke noe mer du trenger å gjøre.
- Press Windows + R, skriver msinfo32 og bekreft med Enter. Systeminformasjon åpnes.
- Finn feltene BIOS-modus y Sikker oppstartstilstand.
- Hvis BIOS-modusen indikerer at UEFI og sikker oppstartsstatus er aktivert, trenger du ikke å gjøre noen endringer. Hvis det står Deaktivert, kan du aktivere det. Hvis det står Ikke støttetHovedkortet ditt støtter ikke denne funksjonen.
- Hvis BIOS-modus vises Arvet/CSMDu må bytte til UEFI før du kan bruke sikker oppstart.
MBR vs GPT: Konverter systemdisken om nødvendig
For at sikker oppstart skal fungere, må Windows-installasjonen din være på en disk partisjonert i GPT- format (GUID Partition Table). Hvis systemstasjonen din er i MBR, bør du konvertere den til GPT ved hjelp av Microsofts innebygde verktøy. Sikkerhetskopier viktige data før du gjør det.
Sjekk partisjonsstilen ved hjelp av Diskbehandling: Trykk Windows + X, åpne Diskbehandling, høyreklikk på systemdisken (ikke bare C:-stasjonen), og åpne Egenskaper > Volumer. Under Partisjonsstil ser du om det er GPT eller MBR.
Hvis du trenger å konvertere, åpner du kommandolinjen som Administrator (sørg for at vinduet angir det tillatelsesnivået) og valider med mbr2gpt /validate /disk:0 /allowFullOS (Erstatt 0 med riktig disknummer hvis det ikke samsvarer). Hvis alt er riktig, kjør mbr2gpt /convert /disk:0 /allowFullOSEtter konverteringen kan det være nødvendig Endre oppstartsmodus i fastvaren til UEFI.
Forhåndsvalidering er viktig fordi den blant annet kontrollerer at det er nok plass til GPT-tabellene og at partisjonsstrukturen er kompatibel. Selv om verktøyet er utviklet for konvertering på stedet, medfører enhver partisjoneringsendring risiko, så det anbefales å utføre en sikkerhetskopi på forhånd.
TPM 2.0 og Windows 11: Rask verifisering
Selv om TPM 2.0 ikke er nødvendig for å aktivere sikker oppstart, er det nødvendig for Windows 11. Hvis du bruker Windows 11, bør du bekrefte at brikken er til stede og aktivert. Kjør tpm.msc og sjekk statusen: hvis den sier «Klar til bruk», er alt i orden. Hvis ikke, aktiver det i BIOS/UEFI (se etter TPM, fTPM eller PTT, avhengig av produsenten, vanligvis i Sikkerhet eller Avanserte alternativer).
På mange moderne enheter er TPM aktivert som standard, men det kan deaktiveres etter en fastvareoppdatering eller en systemtilbakestilling. Den typiske måten er å gå til Sikkerhet > TPM/fTPM/PTT og velge Aktivert , lagre endringene med F10 før du avslutter for at aktiveringen skal tre i kraft.
Slik går du inn i BIOS/UEFI: nøkler og sti fra Windows
For å få tilgang til sikker oppstart må du ha tilgang til fastvaren. Den vanligste måten er å starte datamaskinen på nytt og trykke gjentatte ganger på en tast under POST. De vanligste tastene er Delete, F2, F10, F12 eller Esc , men dette avhenger av produsenten.
Hvis du foretrekker å gjøre det fra selve systemet, bruker du Avansert oppstart. I Windows 10 navigerer du til Innstillinger > Oppdatering og sikkerhet > Gjenoppretting og klikker på Start på nytt nå under Avansert oppstart. I Windows 11 går du til Innstillinger > Windows Update > Avanserte alternativer > Gjenoppretting, og under Avansert oppstart velger du Start på nytt nå. Etter omstart går du til Feilsøking > Avanserte alternativer > UEFI-fastvareinnstillinger og bekrefter.
På noen bærbare datamaskiner (spesielt spill-bærbare datamaskiner) er det vanlig å holde nede F2 mens du slår dem på etter at de er slått av . På visse spill-bærbare datamaskiner kan metoden innebære å holde nede volum ned-knappen og trykke på av/på-knappen samtidig. Se i modellens håndbok hvis du ikke får den til å starte opp første gang.
Plasseringen av Secure Boot i fastvaren og hva du må deaktivere.
Når du er inne i BIOS/UEFI, se etter alternativet Sikker oppstart. Det kan finnes i faner som Sikkerhet, Oppstart, Avansert eller Autentisering , avhengig av om grensesnittet er klassisk UEFI, «MyASUS i UEFI» eller et annet produsentlag.
Før du aktiverer sikker oppstart, deaktiver Compatibility Support Module (CSM) eller Legacy-modus. Sikker oppstart fungerer bare i ren UEFI, så hvis CSM er aktivert, deaktiver den. Deretter ser du etter et OS-type-alternativ; mange fastvarer vil vise "Windows UEFI-modus" kontra "Annet operativsystem". For å aktivere sikker oppstart, velg Windows UEFI.
Med CSM deaktivert og riktig OS-type valgt, finn bryteren for sikker oppstart (den kan vises som Sikker oppstartskontroll). Bytt den fra deaktivert til aktivert. Hvis fastvaren ber deg om å administrere nøkler, installere fabrikkstandardene eller gjenopprette standardnøklene; denne databasen er det som gjør at Microsoft-signerte oppstartslastere kan valideres.
Lagre endringer, avslutt og bekreft i Windows
Når du er ferdig, lagrer du og avslutter. Dette gjøres vanligvis ved å trykke F10 og bekrefte (OK/Godta/Bekreft), eller ved å gå til Lagre og avslutt-fanen og velge «Lagre endringer og avslutt». Datamaskinen vil starte på nytt med de nye innstillingene.
Tilbake i Windows, gjenta msinfo32 -spørringen for å bekrefte at Sikker oppstart-statusen nå vises som Aktivert. Hvis den fortsatt viser «Ikke aktiv» eller «Deaktivert», kan det hende at nøkler mangler, eller CSM kan fortsatt være aktivert et sted i fastvaren.
Hva du skal gjøre hvis «Ikke aktiv» vises: tilbakestill tastene og tving frem riktig modus
Det finnes scenarier der statusen viser «Ikke aktiv », til tross for at UEFI og sikker oppstart er aktivert. På moderne hovedkort er den typiske løsningen å aktivere sikker oppstart og gjenopprette fabrikkstandardnøklene, og lagre endringene etterpå.
På bærbare datamaskiner, alt-i-ett-PC-er eller spillkonsoller med klassisk UEFI: Gå til Sikkerhet > Sikker oppstart og aktiver sikker oppstartskontroll . Gå deretter til Nøkkelbehandling. Bruk først "Tilbakestill til oppsettmodus" for å tømme databasene, bekreft med Ja, og velg deretter Gjenopprett fabrikknøkler . Lagre endringene (F10) og start på nytt.
På enheter med «MyASUS i UEFI» er prosessen lik: aktiver sikker oppstart, gå inn i nøkkeladministrasjon, tilbakestill til oppsettmodus , og gjenopprett deretter nøklene med «Gjenopprett fabrikknøkler». Til slutt lagrer du endringene og starter på nytt for at statusen skal oppdateres.
På stasjonære datamaskiner krever noen firmwareversjoner at du endrer Sikker oppstartsmodus til Tilpasset for å administrere nøkler: åpne Nøkkelbehandling, kjør «Fjern sikre oppstartsnøkler», bekreft og velg deretter «Installer standard sikre oppstartsnøkler». Ikke glem å lukke med F10 eller «Lagre endringer og avslutt» slik at statusen endres til Bruker/Aktiv når det er passende.
Mange UEFI BIOS-er har en grunnleggende modus og en avansert modus. Hvis du ikke ser alternativene ovenfor, trykker du på F7 for å gå inn i Avansert modus og sjekker deretter fanene Sikkerhet og Oppstart på nytt. Du kan navigere ved hjelp av piltastene og Enter, eller med en mus eller pekeplate, avhengig av systemet ditt.
Grensesnittet kan variere noe mellom modeller og fastvareversjoner. Ikke bli overrasket om banen er oppført som Sikkerhet > Sikker oppstart > Sikker oppstartskontroll eller Oppstart > Sikker oppstart > OS-type . Målet er det samme: deaktiver CSM, velg Windows UEFI, og sørg for at nøklene for sikker oppstart er lastet inn.
BitLocker og enhetskryptering: unngå overraskelser ved omstart
Hvis du bruker BitLocker eller enhetskryptering, kan endring av kritiske oppstartsparametere (CSM, sikker oppstart, TPM) føre til at Windows ber om gjenopprettingsnøkkelen din ved neste oppstart. Ha den klar før du berører BIOS/UEFI for å unngå å bli låst ute.
Hvis du foretrekker å deaktivere kryptering midlertidig, bør du først se på Microsofts offisielle retningslinjer for å unngå datatap. På bedriftsdatamaskiner anbefales det å koordinere disse endringene med IT-teamet for å overholde retningslinjene og opprettholde sikkerheten.
Alternativ rute for å aktivere UEFI og konvertere partisjoner uten å installere på nytt
Hvis du kom fra Legacy/CSM-modus og disken din ble formatert som MBR, er den reneste måten å konvertere til GPT ved hjelp av verktøyet mbr2gpt og bytt deretter til UEFI i BIOS. Husk å validere først med mbr2gpt /validate og kjør den deretter mbr2gpt /convert med riktig diskidentifikator.
En detalj som ofte overses: ledetekstvinduet må vise «Administrator» . Hvis du ikke kjører konsollen med forhøyede rettigheter, kan kommandoene mislykkes uten en tydelig melding, noe som tvinger deg til å gjenta trinnene.
Når du skal deaktivere sikker oppstart midlertidig
Enkelte diagnostiske verktøy, vedlikeholdsbilder og operativsystemer fungerer ikke med signaturverifisering aktivert. I slike tilfeller kan du midlertidig deaktivere sikker oppstart, bruke det du trenger, og deretter aktivere det på nytt når du er ferdig.
Hvis du installerer Linux og har valgt «Annet operativsystem» i BIOS, er det vanlig å se meldinger eller feil relatert til eldre UEFI. Løsningen innebærer vanligvis å konfigurere UEFI-modus, holde CSM deaktivert, og hvis du beholder Windows, bekrefte at systemdisken er formatert som GPT og at sikker oppstartsnøklene er lastet inn. Noen Linux-scenarier krever signerte oppstartslastere; ellers er den midlertidige løsningen å starte opp med sikker oppstart deaktivert.
Bærbare datamaskiner og alt-i-ett-PC-er: Når datamaskinen er slått av, holder du nede F2 mens du slår den på for å gå inn i systemoppsettet. Når du er inne, bytter du til avansert modus med F7 , går til Sikkerhet > Sikker oppstart og justerer Sikker oppstartskontroll. Hvis den ikke vises, må du også sjekke Oppstart-fanen, spesielt OS-type (Windows UEFI vs. annet operativsystem).
MyASUS i UEFI: Navigasjonen er veldig lik, bare utseendet endres. Gå til Avanserte innstillinger, deretter til Sikkerhet > Sikker oppstart, og aktiver kontroll og administrering av nøkler fra Nøkkelbehandling hvis statusen forblir Ikke aktiv. Husk å lagre med F10.
Stasjonære datamaskiner: På noen modeller er tasten Delete (Del) . Se etter Boot > Sikker oppstart, og hvis nøkkelbehandling er aktivert, setter du modusen til Custom for å fjerne og installere standardnøklene (Installer standard sikre oppstartsnøkler). Kontroller også at CSM er satt til Deaktivert slik at den blir aktiv.
Sluttkontroll og feilsøking
Etter hver BIOS-endring, lagre og start på nytt. I Windows, åpne msinfo32 på nytt for å bekrefte at BIOS-modus er satt til UEFI og sikker oppstartsstatus er satt til aktivert. Hvis noe går galt og datamaskinen ikke starter opp, gå tilbake til fastvaren og deaktiver sikker oppstart midlertidig eller tilbakestill den siste innstillingen for å gjenopprette funksjonaliteten.
Typiske feil som avslører problemet: Hvis «Ikke aktiv» vedvarer, mangler nøkler; hvis du ikke ser bryteren for sikker oppstart, er du i grunnleggende visning og må bytte til avansert modus; hvis Windows ikke starter etter konvertering til GPT, kan det hende at fastvaren fortsatt er i CSM/Legacy-modus i stedet for UEFI. Å justere disse tre punktene løser nesten alltid problemet.
Se alltid produsentens dokumentasjon. Selv om målet er det samme på tvers av alle merker, varierer terminologien og den nøyaktige stien. Det er ikke uvanlig at et alternativ kalt «OS-type» er det som aktiverer eller deaktiverer sikker oppstart i bakgrunnen (Windows UEFI = aktiv, annet operativsystem = inaktiv).
• Bekreft i msinfo32 at du er i UEFI-modus og sjekk statusen for sikker oppstart. Hvis du er i eldre modus, konverter til GPT og bytt til UEFI i fastvaren.
• Deaktiver CSM i BIOS. Sett OS-typen til Windows UEFI og aktiver sikker oppstart. Hvis du blir bedt om det, installerer du standardnøkler eller gjenoppretter dem fra Nøkkelbehandling.
• Hvis statusen viser «Ikke aktiv», tilbakestill til oppsettmodus og installer fabrikknøklene på nytt. På stasjonære datamaskiner må du kanskje bytte til tilpasset modus for å administrere nøkler. Husk å lagre med F10.
• Bruk TPM 2.0 hvis du bruker Windows 11, og husk BitLocker: skriv ned gjenopprettingsnøkkelen før du berører fastvaren. Hvis noe går galt, tilbakestill den siste endringen og prøv på nytt.
Med UEFI, GPT og CSM deaktivert, og fabrikknøklene lastet inn, vil Secure Boot være operativ, og datamaskinen din vil bare starte opp klarert programvare. Denne innstillingen er verdt å sjekke, spesielt etter en BIOS-oppdatering, fordi disse endringene noen ganger tilbakestiller oppstartsparametere eller sletter nøkkeldatabasen. Når du forstår prosessen (msinfo32 for diagnostikk, mbr2gpt om nødvendig, innstillinger i Sikkerhet/Oppstart og nøkkelbehandling), tar det bare noen minutter å aktivere Secure Boot på nytt , og det gir ekstra sikkerhet uten at det går på bekostning av ytelsen.
