Du verwendest einen veralteten Browser. Es ist möglich, dass diese oder andere Websites nicht korrekt angezeigt werden. Du solltest ein Upgrade durchführen oder einen alternativen Browser verwenden.
NewsProbleme mit älteren Systemen: Microsoft stoppt teils Rollout von Secure-Boot-Zertifikaten
Genau genommen gar nicht: Grundsätzlich überschriebt der Conroller keine Flashzellen, da das technisch nicht möglich ist, sondern schreibt es in leere Zellen und "merkt" sich die vorherigen Zellen als frei, um sie bei Inaktivität zu löschen, damit sie neu beschrieben werden können: Deshalb anschließend nur eine halbe Stunde am Strom lassen, wie für blkdiscard beschrieben. - Komplett per blkdiscard löschen würde ich sie trotzdem, um sicher zu sein.
Das überschreiben des LUKS-Headers war nur als zusätzliche Info gedacht, falls z. B. nur das unbrauchbar gemacht werden soll und andere auf dem Laufwerk bleiben soll, oder eben für HDDs.
Btw: Zusätzlich mit der Option "-z" überschreibt blkdiscard das ganze Laufwerk mit Nullen: Für SSDs eine unnötige Schreiblast, aber HDDs kann man so auch komplett löschen. - SMRs rattern anschließend noch eine ganze Weile (meine drei 1 TB Toshibas noch ca. 20 Min.): Erst wenn die ruhig sind, ist alles überschrieben und man darf sie abklemmen.
fdsonne schrieb:
Nicht als User und auch nicht als Betriebssystem. Da hat die Firmware der SSD den Finger drauf und verteilt die Schreibzugriffe aus Haltbarkeitsgründen auf die Speicherzellen.
Auch an den Over-Provisioning-Bereich kommt man von außen nicht ran. Aber dafür werden sowieso nur gelöschte Zellen genutzt, damit sie bei Bedarf sofort beschrieben werden können.
Das Problem ist aber nicht, dass Microsoft Zertifikate installiert sind, sondern dass es praktisch keine zweite Stelle gibt, die global einen ähnlichen Umfang hat und damit als Alternative fungieren würde.
Kann sein, dass das ne Konfigurationssache seitens des OEM oder dessen Platform Key ist, aber mein Mainboard lässt das Enrollment eines weiteren KEK zu, auch wenn mir die Zertifikatskette nebst Platform Key nicht gehört.
Das Ergebnis davon danach:
Bash:
$ efi-readvar -v PK ; efi-readvar -v KEK
Variable PK, length 817
PK: List 0, type X509
Signature 0, size 789, owner 93b3518c-be8a-4b7a-906d-f34c9cfa7c6f
Subject:
CN=MSI SHIP PK
Issuer:
CN=MSI SHIP PK
Variable KEK, length 5241
KEK: List 0, type X509
Signature 0, size 1532, owner 77fa9abd-0359-4d32-bd60-28f4e78f784b
Subject:
C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, CN=Microsoft Corporation KEK CA 2011
Issuer:
C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, CN=Microsoft Corporation Third Party Marketplace Root
KEK: List 1, type X509
Signature 0, size 1478, owner 77fa9abd-0359-4d32-bd60-28f4e78f784b
Subject:
C=US, O=Microsoft Corporation, CN=Microsoft Corporation KEK 2K CA 2023
Issuer:
C=US, O=Microsoft Corporation, CN=Microsoft RSA Devices Root CA 2021
KEK: List 2, type X509
Signature 0, size 790, owner 93b3518c-be8a-4b7a-906d-f34c9cfa7c6f
Subject:
CN=MSI SHIP KEK
Issuer:
CN=MSI SHIP PK
KEK: List 3, type X509
Signature 0, size 1329, owner af76a737-536a-47bc-b21a-f7759cbc45fb
Subject:
CN=My Key Exchange Key
Issuer:
CN=My Key Exchange Key
BitLocker ist sowieso der größte Schmutz, bei jedem Rechner deaktiviere ich es beim installieren, oder im Nachhinein, der Schrott macht mehr Probleme als es potenziell helfen könnte.
Stammtischgerede… Bitlocker ist vollkommen in Ordnung und nach aktuellem Wissensstand eine sichere/wirksame Verschlüsselung, die nicht schlechter ist VeraCrypt oder die gängige LUKS-Verschlüsselung von Linux-Installationen.
Sonst würden Firmen, bei denen es aus wirtschaftlichen Gründen wirklich auf die Datensicherheit ankommt, diese auch nicht benutzen (was sie aber tun).
Du hast mich falsch verstanden, ich habe nicht die Qualität dieser Verschlüsselung kritisiert, mir geht es um was anderes, was man im Kontext herauslesen kann.
Die diversen Querschläger die damit einhergehen, wie das im Artikel, beim BIOS aktualisieren, mal wieder Windows Update Hoppalas (die wie wir wissen alles andere als selten sind) wo man durch den Dreck nicht ins Windows kommt, ich zweifle stark daran das dies nicht mehr vorkommen wird.
Firmen können das wenn sie wollen sehr gerne nutzen, nichts dagegen, aber ich will das nicht, ich hab nichts davon...
Auf dem Asrock z790 D4 PC mit i7 13700KF ist das Update seit 19.06.2026 drauf nach dem ich mit Securebootrecovery das Problem mit invalid Secureboot beheben konnte. Beim Acer Aspire 5 517-53 fehlt es bis heute.
Ganz ehrlich ich glaub auch nicht mehr das es kommen wird ist doch KEK 2023 schon abgelaufen und kann glaub ich gar nicht mehr aktualisiert werden. Zwar sagte Acer das Update würde am 02.07.2026 per Windows Update ausgeliefert aber bis her war gar nichts. CA 2023 ist zwar vorhanden und wurde laut Tools installiert es fehlt aber das wichtige KEK 2023.
Hier die Antwort meiner Anfrage.
Vielen Dank für Ihre Kontaktaufnahme.
Bei der Beantwortung Ihrer Fragen sind wir Ihnen gern behilflich.
Sie finden Ihr Notebook unter der Bezeichnung "Aspire A517-53 ".
Der Eintrag 02/07/2026 bedeutet das die Bereitstellung am 02.07.26. erfolgt.
Die Installation erfolgt automatisch über Windows Update.
Auch ohne dieses Update, also noch mit den alten Zertifikaten bleibt Ihr Notebook auch über den Umschalttermin (27.06.26) hinaus zunächst vollumfänglich Boot- und Funktionsfähig.
Sollten Sie hierzu noch Fragen haben, Herr wagga, so können Sie uns gerne auf diese E-Mail antworten.
Ich glaub nicht mehr dran das da was kommt.
Ob der Laptop dann in 3-5 Jahren Elektroschrott ist wird sich zeigen.
Beim PC habe ich folgenden Status.
Der fehlt beim Laptop.
Diese Unterstützung kam bisher nicht obwohl gesagt wurde siehe Auszug Antwort von Acer bisher nicht.
Sollte es irgendwann mit dem Start Probleme geben, würde ich auf dem Laptop Secureboot deaktivieren.
Schönes Wochenende.
Liebe Grüße.
Ergänzung ()
guggi4 schrieb:
Bei 3 davon kam bei jedem Start die Bitlocker Key Abfrage, beim Rest nicht 🤷♂️
Das habe ich als erstes deaktiviert beim Windows 11 Laptop, im Herbst kommt da als Dualboot Linux Mint drauf hoffentlich kann das Secureboot ansonsten wäre das dann sowieso aus.
Habe zwar vorher den Key gesichert, aber ich weiß gar nicht obs nicht einen neuen Schlüssel gebe wenn ich es wieder aktivieren würde.
andy_m4 schrieb:
Manchmal fragt man sich schon, was die Leute bei Microsoft eigentlich beruflich machen. :-)
Das wird als reines Hobby Projekt entwickelt zu mindestens könnte man das bei den Problemen und Fehlern meinen.
Ergänzung ()
Marco01_809 schrieb:
Noch schlimmer aber ohne Frage Microsoft, die dieses System so beknackt designed haben dass da Zertifikate ablaufen und man dann den Bootloader nicht mehr aktualisieren kann 🤦♂️ Ich habe noch nie eine Situation gesehen wo es Sinn gemacht hätte, das Zertifikate für Software-Signaturen ablaufen können.
Hatte ich beim Desktop auch nach dem Mai Update geholfen hatte es Secureboot zu deaktivieren und ein FAT 32 USB Stick mit der Datei Securebootrecovery.efi was auf dem USB Stick in Bootx64.efi umbenannt wurde im Ordner EFI/BOOT
Zu finden diese Datei unter Windwos 11: C:\Windows\EFI
Verwendung auf eigenes Risiko. Der PC startet es erscheint ca. 10-25 Sekunden eine Meldung mit Secureboot Recovery auf Englisch, der PC startet selbst. Windows fährt wieder hoch.
Danach konnte ich Secureboot wieder deaktivieren und er lud sogar über Windows Update die neuen 2023er KEK 2023, CA 2023 Zertifikate. Wenn auf dem Gerät wichtige Daten sind sollte man die lieber sichern.
Zwar ist bei mir nichts passiert, aber ausschließen zu 100% würde ich das auch nicht.
Naja. Das das ein Indiz ist, halte ich für ziemlich wild. Wenn man manchmal sieht, für was Firmen Geld ausgeben und wie leichtfertig sie mit Daten umgehen (man erinnere sich nur mal an die ganzen Ransomware-Wellen der vergangenen Jahre), dann ist die Argumentation schon amüsant.
Insbesondere dann, wenn man andere Postings als Stimmtischgerede abtut. :-)
wagga schrieb:
Das wird als reines Hobby Projekt entwickelt zu mindestens könnte man das bei den Problemen und Fehlern meinen.
ISt Microsoft eigentlich die einzige Firma, die den Schlüssel verwaltet? Ist das noch im Interesse der Nutzer, dass MS damit Konkurrenz Produkte ausschließen kann?
Bei mir bleibt der Mist aus.
Meines wissens ja außer größere IT Firmen die ihre eigenen Schlüssel haben,ansonsten liegt das allein beim Microsoft was ich auch nicht als ideal oder gut ansehen würde.
Ergänzung ()
andy_m4 schrieb:
Das tut den vielen Hobbyentwicklern die viel Herzblut in ihr Projekt stecken aber so ein bisschen Unrecht. :-)
Ok anders formuliert bei Hobby Entwicklern würde ich das Verhalten und die Fehler eher verzeihen als so einer Firma wie Microsoft, das es genau anders rum ist die Hobby Entwickler Qualität liefern, ist eine traurige Sache.
