Secure Boot Zertifikate installiert aber nicht an Hardware gebunden

[N3misis]

Hallo zusammen,



eher durch Zufall habe ich mitbekommen, das Windows seitig die neuen Zertifikate bereits ausgerollt wurden.
Laut Ereignis Anzeige, scheinen diese sich aber nicht im BIOS mit der Hardware verbunden zu haben.

Als Fehler wird mir dort unter Ereignis ID 1801 folgendes aufgezeigt:



Secure Boot certificates have been updated but are not yet applied to the device firmware. Review the published guidance to complete the update and ensure full protection. This device signature information is included here.

DeviceAttributes: BaseBoardManufacturer:ASUSTeK COMPUTER INC.;FirmwareManufacturer:American Megatrends Inc.;FirmwareVersion:1402;OEMModelBaseBoard:TUF GAMING B850-PLUS WIFI;OEMManufacturerName:ASUS;OSArchitecture:amd64;

Das aktuelle BIOS zu diesen Board ist jedoch seit gestern installiert. Trotzdem erhalte ich auch heute im Verlauf den Fehler als Bericht in der System Kategorie.

" Review the published guidance to complete the update and ensure full protection. "

Diese Infos sind aber nirgendwo hinterlegt.

Microsoft verweist im Report lediglich auf:


Ablauf des Windows Secure Boot-Zertifikats und Updates der Zertifizierungsstelle

Dort wird aber nur der Secure Boot erläutert und ein Hinweis auf die Zertifikate gegeben.

Ich bin mir ehrlich gesagt jetzt nicht sicher, wie der nächste Stepp ablaufen soll.

Von Microsoft wird hier denke ich einmal nichts mehr passieren denn " Secure Boot certificates have been updated " …

Hat jemand von euch hierzu bereits Erfahrungen wie man den Prozess sauber abschließt?

Bzw. Warum konnte der Prozess nicht regulär beendet werden?
Wobei ich mir auch gerade überlege wie das Microsoft Update dies im Bios regeln hätte sollen?
BIOS und Windows sind zwei völlig unabhängige Ebenen.

 

[kartoffelpü]

Die Meldung bedeutet meiner Meinung nach nur, dass das neue Zertifikat nicht direkt in der Firmware ist, aber trotzdem installiert ist.
Direkt in die Firmware würde es nur durch ein neues BIOS des Herstellers kommen.

Meldung habe ich auch auf meinem Privat-PC. Auf den Firmengeräten, wo wir es bisher teils per Regkey, teils per BIOS-Update ausgerollt haben, muss ich glatt mal nachschauen.

Ansonsten mal selber ein bisschen recherchieren, habe jetzt keine Lust mehr, die Sachen durchzulesen: https://www.google.com/search?q=secure+boot+certificate+1801

 

[Opa Hermie]

Das hier runterladen, entpacken und die enthaltene "Check UEFI PK, KEK, DB and DBX.cmd" als Administrator ausführen: https://codeload.github.com/cjee21/Check-UEFISecureBootVariables/zip/refs/heads/main

Quelle: https://github.com/cjee21/Check-UEFISecureBootVariables#viewing-all-the-uefi-secure-boot-variables

Die neuen Datenbanken werden ins BIOS geschrieben, aber nur ins NVRAM, können also zurückgesetzt/gelöscht werden.
Ein laufendes Update kann man daran erkennen, dass kurz nach dem Start der schwarze Bildschirm (ggf. mit Logo) und dem Ladekringeln nebst Text und Prozentanzeige kommt; also nicht der sonst übliche blaue Bildschirm "Updates werden installiert" usw.

Mit den enthaltenen Scripten kannst Du auch ein Update manuell antoßen. In manchen Fällen werden die Datenbanken mittels BIOS-Update eingespielt (HP z.B.), die müssten dann permanent sein.

 

[Nero FX]

Wie @Opa Hermie schreibt:
Das Zertifikat wurde "Temporär" installiert. Bei einem CMOS Reset etc. verschwindet es.
Windows empfiehlt es aber im BIOS fest zu installieren, das musst du Manuell im SecureBoot Menü machen.

Auf der Anderen Seite hast du das 2026 ablaufende Zertifikat aus 2018 nicht installiert sondern sehr wahrschein das 2021 oder sogar 2023er Zertifkat. Daher ist das Update eher Optional.