Использование SecureBootRecovery.efi для добавления Windows UEFI CA 2023 в DB

Некоторое время назад Майкрософт инициировала глобальный переход компьютеров с Windows на загрузчики, подписанные новыми сертификатами — Windows UEFI CA 2023, одновременно добавляя их в список разрешённых (DB) в UEFI через механизмы Центра обновления.

Однако, в случае сброса настроек BIOS/UEFI или ключей Secure Boot и при условии, что Windows UEFI CA 2023 не были добавлены самим производителем оборудования в рамках обновлений BIOS, это приводит к ошибкам вида Secure Boot Violation: загрузчик подписан новым сертификатом, а в списке разрешённых его нет. SecureBootRecovery.efi — инструмент от Майкрософт, позволяющий решить эту проблему, о нём и пойдёт речь далее.

Работа с SecureBootRecovery.efi

Ранее, в статье про ошибку Secure Boot Violation я описывал способ вернуть загрузчик, подписанный старыми сертификатами Microsoft Windows Production PCA 2011 для возможности загрузки с включенной «Безопасной загрузкой» в ситуации, когда сертификаты Windows UEFI CA 2023 были удалены из списка разрешённых в UEFI.

SecureBootRecovery.efi — официальный инструмент Майкрософт, действует иначе: добавляет новые подписи в список разрешённых в UEFI в обход Windows 11/10 (поскольку загрузиться в неё с включенным Secure Boot не получится, а с отключенным не получится обновить список подписей).

Порядок использования будет следующим:

1. Зайдите в вашу Windows, отключив безопасную загрузку (Secure Boot).
2. Возьмите простую флешку и обязательно отформатируйте её в файловой системе FAT32, на флешке должен быть один раздел (удалить их можно в DISKPART или «Управлении дисками»).
3. Создайте на отформатированной флешке папку с именем EFI, а в ней — BOOT
4. На вашем компьютере перейдите

   C:\Windows\Boot\EFI\

   и скопируйте расположенный там файл SecureBootRecovery.efi в папку BOOT на USB-накопителе.
5. Переименуйте скопированный файл на флешке в bootx64.efi
6. Перезагрузите компьютер, зайдите в UEFI, обязательно включите Secure Boot, выберите вашу флешку в качестве первого устройства загрузки.
7. Загрузитесь с флешки, на некоторое время появится черный экран с отображением статуса работы утилиты: если сертификаты Windows UEFI CA 2023 уже присутствуют (как на скриншоте ниже), изменения выполнены не будут, иначе они будут добавлены в список разрешённых в UEFI (NVRAM), компьютер перезагрузится автоматически.
8. Загрузитесь как обычно, выбрав Windows Boot Manager в качестве первого устройства загрузки и не отключая Secure Boot.

В результате вы вернёте возможность запускать систему с включенной безопасной загрузкой с использованием загрузчика, подписанного новыми сертификатами.