Как включить Secure Boot - безопасную загрузку в BIOS/UEFI
Secure Boot - это встроенная в UEFI-технология, которая проверяет цифровые подписи загрузчика и драйверов и не даёт запуститься вредоносному или модифицированному коду ещё до старта Windows. Она обязательна для Windows 11 и всё чаще требуется современными играми и античитами, поэтому пользователю важно понимать, как включить Secure Boot в BIOS разных производителей и что делать, если опция недоступна.
Как включить Secure Boot в BIOS/UEFI
1
Перезагрузите компьютер и войдите в BIOS/UEFI - Del, F2, F10 или Esc в зависимости от производителя. Если клавиша не срабатывает, посмотрите клавиши входа по брендам. На примере виртуальной UEFI OVMF ниже вход выполняется через Esc; в главном меню выберите Device Manager и нажмите Enter. У физического ПК оформление и клавиша входа могут отличаться.
2
При необходимости сначала отключите CSM: найдите CSM Support или Launch CSM и установите в Disabled. Убедитесь, что Boot Mode = UEFI. Отключайте CSM только после проверки, что установленная Windows загружается в UEFI с системного диска GPT. В показанном OVMF переключателя CSM нет; экран физической платы для этого шага здесь не показан.
3
Найдите раздел Security, Boot, Authentication или BIOS Features - название зависит от производителя. В показанном OVMF откройте Device Manager → Secure Boot Configuration и нажмите Enter.
4
Откройте пункт Secure Boot или Secure Boot Configuration и включите безопасную загрузку. В показанном OVMF выберите Attempt Secure Boot и включите флажок: на кадре видна отметка [X] (1), а Current Secure Boot State показывает Enabled (2). В других прошивках переключатель может называться Enabled / On. Установку заводских ключей через Install Default Keys или аналогичный пункт выполняйте только по инструкции производителя своей модели; на этих кадрах она не показана.
5
Сохраните изменения и перезагрузите компьютер. В показанном OVMF нажмите F10 (1), затем Y (2) в окне Save configuration changes?. После сохранения перезагрузите ПК; в OVMF можно вернуться в главное меню и выбрать Reset. В другой прошивке подтверждение может называться Yes.
После загрузки проверьте результат через
msinfo32 - строка «Состояние безопасной загрузки» должна показывать включённое состояние — на приведённом кадре это «Вкл.».Как проверить, включён ли Secure Boot в Windows
1
Нажмите Win + R. В окне Выполнить введите
msinfo32 в поле Открыть (1), затем нажмите ОК или Enter (2).
2
В окне «Сведения о системе» найдите две строки:
Режим BIOS — на кадре UEFI (1); при Legacy безопасная загрузка недоступна.
Состояние безопасной загрузки — на кадре «Вкл.» (2). В зависимости от версии Windows формулировка состояния может отличаться; «Не поддерживается» требует проверки поддержки UEFI/Secure Boot.
3
Если Режим BIOS показывает Legacy, Secure Boot в текущем режиме включить нельзя. Переход установленной Windows на UEFI/GPT — отдельная операция: сначала сохраните резервную копию и проверьте совместимость прошивки и разметки диска. Для подходящих системных дисков Microsoft предоставляет MBR2GPT, выполняющий преобразование без удаления данных; сначала нужна проверка его условий. Не форматируйте системный диск и не переключайте режим загрузки вслепую. На приведённом выше кадре уже показаны UEFI и включённая безопасная загрузка; переход с Legacy здесь не снят.
4
Второй способ — Windows PowerShell от администратора. Выполните
Confirm-SecureBootUEFI и нажмите Enter. На кадре команда вернула True: безопасная загрузка включена. На поддерживаемом компьютере с выключенным Secure Boot результат будет False. По документации Microsoft, Cmdlet not supported on this platform возможна при BIOS/Legacy или отсутствии поддержки Secure Boot; это не доказательство одного только Legacy. Ошибка доступа требует запуска PowerShell от администратора.
Условия для включения Secure Boot
Если хотя бы одно не выполняется - пункт Secure Boot в BIOS может быть серым, недоступным или отсутствовать.
Режим загрузки UEFI (не Legacy/CSM)
Для загрузки Windows в режиме UEFI системный диск должен использовать GPT. Выбор GPT при записи флешки в Rufus относится к флешке и не меняет разметку системного диска.
Поддержка Secure Boot в прошивке платы (все современные платы и ноутбуки её имеют)
Установлена ОС с поддержкой Secure Boot - Windows 8/10/11 или современный подписанный Linux
Что означают пункты Secure Boot в BIOS
Secure Boot Control / Secure Boot Support
Главный переключатель функции. Enabled - включена, Disabled - выключена. Если он серый, дело не в нём: мешает включённый CSM, режим Legacy или незагруженные ключи.
Secure Boot Mode: Standard или Custom
Standard - прошивка использует заводские ключи Microsoft, это нужный вариант в 99% случаев. Custom открывает управление ключами вручную и нужен для подписанного своими сертификатами Linux. Выбрав Custom по ошибке, вернитесь на Standard.
Install Default Keys / Restore Factory Keys / Factory Key Provision
Загружает в прошивку заводской набор ключей Microsoft. Без него переключатель Secure Boot может не активироваться. Восстановление ключей меняет доверенные сертификаты прошивки; не выполняйте его наугад, особенно при собственных ключах или нескольких ОС. Если включён BitLocker, заранее обеспечьте доступ к ключу восстановления. Название и порядок действий сверяйте с инструкцией производителя.
Platform Key (PK) и Key Management
Platform Key - корневой ключ, которым подписаны остальные. Раздел Key Management нужен только при ручной настройке; для Windows туда заходить не нужно, достаточно Install Default Keys.
CSM Support / Launch CSM
Режим совместимости со старым BIOS. Пока он включён, Secure Boot работать не может - это не ошибка, а взаимоисключающие режимы. Отключайте CSM только если система уже установлена в UEFI + GPT, иначе она перестанет загружаться.
Особенности у разных брендов
Gigabyte и AORUS
Вход в BIOS - Del. В простом режиме нажмите F2, чтобы переключиться в Advanced Mode. Пункт лежит в Boot → Secure Boot, на платах серии AORUS иногда в Settings → Boot. Сначала переведите CSM Support в Disabled - пока CSM включён, строка Secure Boot остаётся серой. После включения выберите Secure Boot Mode: Standard, иначе прошивка будет ждать ручной загрузки ключей.
ASUS (ROG, TUF, Prime)
Вход - Del или F2, затем F7 для Advanced Mode. Путь: Boot → Secure Boot. Если пункт недоступен, откройте Boot → CSM и отключите его, сохраните по F10 и войдите заново. На части плат сначала нужно нажать Install Default Keys в подразделе Key Management - без загруженных ключей переключатель не активируется.
MSI
Вход - Del, режим Advanced по F7. Путь: Settings → Advanced → Windows OS Configuration → Secure Boot или Settings → Boot на старых платах. Перед включением поставьте BIOS UEFI/CSM Mode = UEFI. В подменю Secure Boot переведите Secure Boot Support в Enabled и оставьте режим Standard.
ASRock
Вход - F2 или Del. Путь: Security → Secure Boot, на новых платах Advanced → Secure Boot. Сначала в разделе Boot отключите CSM. Если переключатель серый, нажмите Install Default Secure Boot Keys - у ASRock он вынесен отдельным пунктом рядом.
HP, Dell, Lenovo (ноутбуки)
Secure Boot лежит в разделах Security, Boot Options или System Configuration. При включении может запросить восстановление заводских ключей - выбирайте Restore Factory Keys или Install Default Keys.
Xiaomi, Huawei / Honor, Chuwi и другие китайские
Интерфейс отличается визуально, логика та же - UEFI-режим, отключение CSM, включение Secure Boot в подразделе Security или Boot. На некоторых бюджетных моделях режим зашит и всегда включён или частично заблокирован.
Если пункт Secure Boot недоступен - сначала переведите систему на UEFI + GPT (обязательно сделайте резервную копию данных), и только после этого включайте Secure Boot.
Для Windows 11 требуется компьютер с поддержкой Secure Boot; включение функции повышает защиту загрузки.
Если включить его не получается, а система нужна - есть обходной путь:
установка Windows 11 без TPM и Secure Boot.
Написать комментарий
Комментарии: 8