如何应对安全启动证书过期问题？

xianglang · 发表于 2026-10-20 11:12:46

本帖最后由 xianglang 于 2026-10-20 13:21 编辑

微软安全启动证书过期问题，现在摆到了我们的面前。对于BIOS锁死了安全启动不能更改的电脑，没有通过签名的UEFI启动引导器，就得歇菜了！而BCD菜单里禁用签名，好像也不能很靠谱地解决这个问题。

对于传统 BIOS 启动来说，没有这个困扰，仍然可以沿用老办法。而对于纯粹UEFI启动来说，就只能使用经过微软签名认证过的EFI启动文件来用了。不想折腾的，可以直接找小兵PE、VENTOY之类制作启动U盘。只是对于混无忧的人来说，感觉这样的灵活自由度就有了一些欠缺。

综合百度文心提供的解决方法，我觉得像几大LINUX发行版本那样，用SHIM做一阶启动，G4E/GRUB2等做二阶启动，是一个不错的方法。因此前两天我在论坛求助，找SHIMX64.EFI文件，并得到了坛友@sunlenghua提供的FEDORA里提取的SHIMX64.EFI文件。后来我又找到了Alma Linux的，又下载了个6GB多UBUNTU 26.10镜像包，提取出来了这个SHIMX64.EFI。这三个EFI文件，都是经过微软签名认证过的，应对安全启动应该没有什么问题。

而SHIMX64.EFI的使用，也超级简单：将SHIMX64.EFI文件，改名为BOOTX64.EFI，并且放到原来的\EFI\BOOT目录下，替换掉原来的就行了。另外，它会优先搜索同目录下的GRUBX64.EFI文件来作为二阶引导文件，找不到了才做其他操作，而我现在也不太懂，就懒得理它了——反正我只要将G4E的文件，改名成GRUBX64.EFI也丢进\EFI\BOOT目录下就完事了。

附件是Alma Linux和UBUNTU 26.10的启动文件，Alma Linux的SHIMX64.EFI是16.1-4版本的，似乎比UBUNTU的新一些。

xianglang · 发表于 2026-10-20 11:31:23

将附件传到蓝奏云了，没权限下载的，可以到蓝奏下载：

Alma Linux EFI：https://xianglang.lanzouu.com/iGn704cnkm0h 密码:azzy

UBUNTU：https://xianglang.lanzouu.com/iaPvU4cnkm5c 密码:dw77

JOINT · 发表于 2026-10-20 11:31:30

在微软的角度，二阶启动是不是又一个待补的漏洞？

xlp520 · 发表于 2026-10-20 11:31:51

好东西

lclcolin · 发表于 2026-10-20 11:43:07

关闭安全启动。

150154906 · 发表于 2026-10-20 12:02:37

SHIM这个思路不错，借力主流发行版长期维护的签名shim，省心不少。不过也要留意，shim自身的证书和MOK也有有效期，微软撤销或更新DBX后旧shim可能失效，老机器建议留一个关闭安全启动的备用启动方案。感谢分享附件，给折腾的老机器指了条明路。

982631477 · 发表于 2026-10-20 12:17:03

感谢分享

a66 · 发表于 2026-10-20 12:20:13

安全启动开关

ksafei · 发表于 2026-10-20 12:30:46

1414#楼有此类玩法，可参考
https://bbs.wuyou.net/forum.php? ... 201&pid=6352486

进士小站 · 发表于 2026-10-20 12:55:07

佩服楼主的研究精神

下载学习了，万一遇到了试试

sy8356 · 发表于 2026-10-20 12:55:17

收藏备用

xianglang · 发表于 2026-10-20 12:56:22

JOINT 发表于 2026-10-20 11:31
在微软的角度，二阶启动是不是又一个待补的漏洞？

很有可能！！！

心升明月 · 发表于 2026-10-20 13:34:52

到时候再说

youyoutaishan · 发表于 2026-10-20 13:38:13

还没考虑这个问题，先学习

永远的大象 · 发表于 2026-10-20 13:38:38

Mark，虽然已经没有了折腾的精力和兴趣，但还是收藏一下

80181268 · 发表于 2026-10-20 13:59:29

我用的还是优启通3.7呢，目前没有遇到不能启动的，不过证书问题好像是更新了

wwwlhp · 发表于 2026-10-20 15:18:46

多谢分享！！！

zlf84578449 · 发表于 2026-10-20 15:31:21

学习了。

445112826 · 发表于 2026-10-20 15:41:09

持续关注中。。。谢谢分享。

promrhxq · 发表于 2026-10-20 16:24:10

感谢分享好东东

依生13 · 发表于 2026-10-20 16:33:31

xianglang 发表于 2026-10-20 11:31
将附件传到蓝奏云了，没权限下载的，可以到蓝奏下载：

Alma Linux EFI：https://xianglang.lanzouu.com/iG ...

感谢分享

slipper · 发表于 2026-10-20 19:44:09

感谢分享

cdlw333 · 发表于 2026-10-20 19:54:07

收藏了，感谢分享

2012102 · 发表于 2026-10-21 00:08:13

想法不错的

fzzf · 发表于 2026-10-21 00:12:54

路过，留个脚印~

yyz219195888 · 发表于 2026-10-21 06:30:26

来学习

ad051000 · 发表于 2026-10-21 07:19:51

想法不错，来学习

982631477 · 发表于 2026-10-23 22:15:40

感谢分享

Klubnikoff · 发表于 2026-10-27 05:26:06

补充两个容易混淆的点：

1）2011 证书到期，不等于现有电脑会立即无法启动。微软说明，未更新证书的设备仍可正常启动、使用，但后续启动链安全保护会受影响。证书到期、DBX 撤销和新启动文件缺少对应信任证书，是不同的问题。

2）shim 有微软签名，只能说明第一阶段有机会通过固件验证，并不代表它会信任任意二阶 EFI。shim 还会验证下一阶段的签名/信任关系，并检查撤销状态。把 G4E 改名为 grubx64.efi 只是改变被查找的文件名，不会让它获得发行版的签名或信任。实际能否启动，要看所用 shim、二阶文件及本机信任配置，不能仅凭改名就认定安全启动链成立。

建议先核实本机 2023 证书更新状态，以及整条启动链是否受信任；不要把替换成任意发行版 shim 当作通用修复。
微软说明：https://support.microsoft.com/en ... -on-windows-devices
shim 验证机制：https://github.com/rhboot/shim/blob/main/README.md

台风12 · 发表于 2026-10-27 10:13:53

手动刷第三方UEFI安全启动证书，我的三代U 也能刷https://bbs.pcbeta.com/viewthread-2077541-1-1.html

		自动登录	找回密码
密码			注册

[讨论] 如何应对安全启动证书过期问题？

点评

点评

评分

浏览过的版块