Neue Secure Boot Zertifikate Lenovo sagt JA ?

[Chri5]

Hallo zusammen,

meine Hardware:

ThinkPad T14 Gen1 AMD
1x AMD Ryzen 7 PRO 4750U Processor(Ryzen 7 PRO 4750U)
1x AMD Radeon Graphics
16GB RAM
1x 256GBPCIeNVMeOP

Auf meinem T14 Gen 1 sind noch die alten Secure Boot Zertifikate.
Eine Suche auf der Hersteller Seite ergab, dass Lenovo jedoch auch die ältere Generation bis zu bestimmen Modellreihen mit den neuen Zertifikaten unterstützen möchte....zumindest lese ich das so heraus ;-)

Folgende Info von Lenovo:

Ablauf des Microsoft Secure Boot-Zertifikats 2011 – Lenovo Commercial PCs

Bitte die Seite auf englische darstellen lassen, da in der übersetzten deutschen Seite keine Liste der Modell Reihe angezeigt wird.

Wie man dort sehen kann, wird die T14 Gen1 Reihe für AMD und INTEL mit einem BIOS bedacht, welches die neuen Zertifikate für KEK CA 2011, PCA 2011 und CA 2011 einspielen soll.

In meinem Fall:

T14 Gen 1 AMD 20UD, 20UE R1BET85W (v1.54)

Kurioserweise zeigt der Link zur v1.54 jedoch nur alle Versionen bis 1.53 an:

Verlinkte BIOS Versionen für das Modell

Eine 1.54 wird auf der Produktseite nirgendwo erwähnt.

Die Frage ist nun, warum teilt Lenovo auf der Seite zum Thema Secure Boot Zertifikat, für die T14er Reihe eine BIOS in Version 1.54 mit, aber gibt für diese auf der verlinkten Produktseite keine genaueren Infos zum Stand?

Soll das nun noch etwas kommen oder bleibt die T14er Reihe hier außen vor ?

Was passiert eigentlich mit den Windows Installationen, die mit Secure Boot unter den alten Zertifikaten erstellt wurden ab Juli 26?


Habt ihr zum erwähnten 1.54 Update irgendwelche Infos?



Danke im Voraus.

 

[Mornsgrans]

Kurze Info für die, die Mainboards tauschen.

Im Wiki ergänzt

 

[Herr Moehre]

Update:

"Neues" T14s Gen 1 AMD Board eingebaut, ohne Secure Boot über einen Rufus Stick Windows 11 24H2 installiert, während der Laufzeit Secure Boot aktiviert, startete weiter.
Hatte allerdings nach Installation aller Updates (inkl. BIOS) nur die alten Secure Boot Zertifikate aktiv, Windows startete trotzdem, zeigte im Sicherheitsmenü die Meldung, dass eine ältere SecureBoot Konfiguration verwendet wird.

Auch hier hat ein Factory Reset der Secure Boot Keys Abhilfe geschaffen.

Wiki ist noch nicht akutalisiert, es lässt mich nicht mehr rein, Passwort zu oft falsch eingegeben, muss erstmal warten x)

 

[elchmartin]

Das wird den Rest des Jahres lustig bleiben

 

[Herr Moehre]

Wieso den Rest des Jahres? Ändert sich 2027 etwas?

 

[elchmartin]

Wieso den Rest des Jahres? Ändert sich 2027 etwas?

Nicht dass ich wüsste.
Aber wir werden denke ich noch viel spaß in den kommenden Monaten haben mit Zertifikat-Wirrwarr, bootenden/nicht bootenden Maschinen etc.

 

[Herr Moehre]

Woher kommt denn der Gedanke, also was ist deine Berüchtung woher das kommt?

Wenn der Key ausgetauscht ist, bootet es vom neuen Key, wird halt nur doof, wenn du ein Board ohne die neuen keys verbaust.
Scheinbar bootet es auch mit Secure Boot und abgelaufenen alten Keys, sofern diese im OS noch hinterlegt sind, das war jetzt nach Einbau eines "neuen" Boards mit alten Keys und Neuinstallation.

Einzig offen in meinen Augen ist ein neues Board mit alten Keys und original Windows 11 25H2 vollgepatched per Media Creation Tool.

 

[linrunner]

Hütet euch bitte vor einem grundlegenden Missverständnis: die MS Zertifikate, die gerade abgelaufen sind, dienen zum Signieren von Bootloadern. Ihr Ablauf heisst lediglich, dass damit keine neuen Bootloader mehr signiert werden können. Das bedeutet nicht, dass damit signierte alte Bootloader vom UEFI-BIOS (per Secure Boot) nicht mehr gestartet werden können.

Die Installation der neuen MS Zertifikate sorgt dafür, dass damit signierte neue Bootloader, z.B. aus MS Updates, lauffähig werden. MSs Updatemechanismus sollte dafür sorgen, dass erst die neuen Zertifikate da sind, bevor der Bootloader dran ist.

Eine Sperre der mit den alten Zertifikaten signierten Bootloader soll es erst zu einem viel späteren, von MS noch nicht festgelegten Termin geben.

Vertrackt ist, dass es zwei Wege für die Zertifikate-Updates gibt: BIOS-Updates und MS Updates.

Am Besten lest ihr (so Abo vorhanden) die Artikelstrecke bei heise:

Secure Boot und seine Probleme

Eigentlich soll Secure Boot vor infizierten Bootmanagern schützen. Doch derzeit kämpft die Funktion vor allem mit Problemen, und zwar mit erschreckend vielen.

www.heise.de

Falls euch nach dem ersten Durchlesen der Kopf raucht, mit Abstand so oft wiederholen bis es klarer wird. Ging mir bisher schon mehrfach so.

 

[Cicla]

Boot-Chaos T530
Ich hab ein altes T530 mit Win 10 22H2, ESU-Programm, BIOS/UEFI ist das letzte, 2.77. Das lief völlig problemlos bis zum letzten Windows-Update (KB 5099539). Secure Boot war eingeschaltet, nach dem Neustart im Zuge der automatischen Installation startete es nicht mehr, sondern zeigte nur noch den Boot-Manager an.

Ursache war offensichtlich der erfolglose Versuch von Windows, ein neues CA 2023 ins UEFI zu schreiben. Die bisher einzige Lösung ist : Secure Boot abschalten. Erst dann funktionierte das Booten mit Windows wieder.

Eine Lösung, das Zertifikat manuell zu implementieren, kenne ich bisher nicht. Oben wird allerdings irgendwo behauptet, selbst das T530 liefe mit CA 2023 - hab aber keine Ahnung wie.

 

[Rodcruiser]

habe anderswo im Netz in einem Beitrag über Probleme bei der Secure Boot Zertifikat Installation bzw wenn diese nicht kommen wollten, einen Link zu einem Tool aus Github gesehen, welches die Zertifikate automatisch installiert.

Ich stell mal den Link ein:

GitHub - anomixer/Update-SecureBootCert: Quick fix for Windows Secure Boot 2026 certificate expiration. Works without ESU (快速修復 Windows Secure Boot 2026 憑證過期問題，沒 ESU 也適用)

Quick fix for Windows Secure Boot 2026 certificate expiration. Works without ESU (快速修復 Windows Secure Boot 2026 憑證過期問題，沒 ESU 也適用) - anomixer/Update-SecureBootCert

github.com

Da Github und es daher transparent sein sollte, was das Tool macht, sollte es wenig Bedenken dazu geben.
Wenn doch, bitte ich um Info bzw Mod-Edit um den Link zu entfernen.

 

[fakiauso]

Ich hab ein altes T530 mit Win 10 22H2, ESU-Programm, BIOS/UEFI ist das letzte, 2.77. Das lief völlig problemlos bis zum letzten Windows-Update (KB 5099539). Secure Boot war eingeschaltet, nach dem Neustart im Zuge der automatischen Installation startete es nicht mehr, sondern zeigte nur noch den Boot-Manager an.

Ursache war offensichtlich der erfolglose Versuch von Windows, ein neues CA 2023 ins UEFI zu schreiben. Die bisher einzige Lösung ist : Secure Boot abschalten. Erst dann funktionierte das Booten mit Windows wieder.

Eine Lösung, das Zertifikat manuell zu implementieren, kenne ich bisher nicht. Oben wird allerdings irgendwo behauptet, selbst das T530 liefe mit CA 2023 - hab aber keine Ahnung wie.

Auf Maschinen, die nicht per BIOS-Update hochgewuppt werden, installiert MS Update die Zertifikate und das lässt sich zumindest überprüfen:

Status der Zertifikataktualisierung für den sicheren Start in der Windows-Sicherheit-App | Microsoft Support

Status der Zertifikataktualisierung für den sicheren Start in der Windows-Sicherheit-App

support.microsoft.com

Selbst ohne gültiges Zertifikat sollte das Booten aber weiterhin möglich sein (Zitat aus diesem Artikel):

Ihr Gerät funktioniert noch einige Zeit normal. Nach Ablauf der aktuellen Zertifikate für den sicheren Start kann Ihr Gerät jedoch im Laufe der Zeit möglicherweise keine Sicherheitsupdates mehr erhalten, die den Windows-Startprozess schützen. Dies kann auch zu Kompatibilitätsproblemen führen, da neuere Betriebssysteme, Firmware, Hardware oder softwareabhängiger sicherer Start möglicherweise nicht geladen werden können. Die Windows-Sicherheit-App führt Sie zu den nächsten Schritten.

Weitere Hinweise finden sich hier:

Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates | Microsoft Support

Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates

support.microsoft.com

Eine weitere Möglichkeit wäre ein Zurücksetzen der Keys und ein erneuter Versuch, das Update installieren zu lassen:

Secure Boot Schlüssel zurücksetzen | UEFI konfigurieren

Secure Boot Schlüssel zurücksetzen ✓ PK KEK DB korrekt verwalten · Startprobleme lösen ✓ Windows 11 sicher nutzen

www.win-tipps.de

Oder Du besitzt eine Live-Linux und versuchst das Installieren mittels fwupdmgr, hier für Debian erklärt. Es sollte aber sinngemäß auch mit anderen Systemen ähnlich laufen:

SecureBoot/CAChanges - Debian Wiki

wiki.debian.org

Voraussetzung ist dabei, dass die Kiste mit aktivem SecureBoot unterwegs ist.

 

[bodu]

Boot-Chaos T530
Ich hab ein altes T530 mit Win 10 22H2, ESU-Programm, BIOS/UEFI ist das letzte, 2.77. Das lief völlig problemlos bis zum letzten Windows-Update (KB 5099539). Secure Boot war eingeschaltet, nach dem Neustart im Zuge der automatischen Installation startete es nicht mehr, sondern zeigte nur noch den Boot-Manager an.

Ist CA 2011 in die dbx aufgenommen worden?

Hier am T530 242964G BIOS G4ETB7WW (2.77) - 09 Sep 2019

Der CA 2023 bootmanager ist aktiv.

DBXUpdate2024.bin

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

powershell

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Microsoft Windows Production PCA 2011 und BootMgr SVN 5.0 in der dbx gesetzt.

DBXUpdateSVN.bin

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

powershell

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

SVN 9.0 wird in der dbx hinzugefügt.

Der Rechner bootet nicht mehr mit secure boot, ohne Fehlermeldung wird die BootMediumAuswahl angezeigt.
Die Einträge werden nicht mehr gültig angesehen, der SVN 9.0 (7.0, 8.0) Check schlägt fehl.


Im BIOS Secure boot, Restore Factory Key gesetzt.
C:\Windows\Boot\EFI\SecureBootRecovery.efi auf <USB Stick>EFI\boot\bootx64.efi kopiert
Vom USB Stick bebootet: CA2023 wird in die DB geschrieben
CA2023 boot von der lokalen Platte ist wieder möglich.
Die dbx Tabelle ist leer, Windows fügt die dbxupdate.bin automatisch wieder ein.


Die automatische Sperre von CA 2011 mit 6 Monate Vorlauf ist noch nicht angekündigt.
Wenn die automatische Sperre ab 2027 verteilt wird, ist die Situation am T530 neu zu bewerten.


Eins noch: DVD boot:
Make2023BootableMedia.ps1 mit Oscdimg.exe setzt 1 Sektor Größe im El-Torito Bootkatalog für das Diskettenimage efisys_EX.bin.
Ein X250 bootet nicht von der DVD, andere Thinkpads booten.

Im Hexeditor den Bootkatalog in der ISO Datei geändert.
0x60: 1 Sektor zu 2880 Sektoren (1.44 MB Diskette)
88 00 00 00 00 00 01 00
88 00 00 00 00 00 40 0B

Der X250 bootet nun von der DVD.

Windows 11 herunterladen

Media Creation Tool ISO und fertige (MVP) ISO sind mit 1.44 MB Images im Bootsektor.

 

[elchmartin]

Woher kommt denn der Gedanke, also was ist deine Berüchtung woher das kommt?

Ist mehr so ein Gefühl.
Ich spreche auch eher von nicht-neuen bzw selbst gebauten Maschinen.
Freue mich auch, wenn es anders kommt.
Aber so ein durcheinander und so viel Trallafitti wie bisher um das Thema gemacht wurde, kocht das sicherlich noch lange vor sich hin.

 

[Cicla]

Der Rechner bootet nicht mehr mit secure boot, ohne Fehlermeldung wird die BootMediumAuswahl angezeigt.
Die Einträge werden nicht mehr gültig angesehen, der SVN 9.0 (7.0, 8.0) Check schlägt fehl.

Genau so war es nach dem automatischen MS-Update, auch wenn MS behauptet, das könne nicht passieren. Gerätestatus in der MS-App war übrigens durchgehend grün, haha.

Der genannte Weg mit Umbennung der Recovery.evi und Start von USB scheint nun aber die Lösung gebracht zu haben: Start mit Secure Boot ist wieder möglich, und ein Check ergibt, dass Windows CA_2023 auch tatsächlich nutzt.

Irritierend: Nach dem Rüksetzen der Zertifikate auf Factory Values im BIOS erschien die Fehlermeldung: "Secure Boot: Image failed to verify with 'Access Denied'". Scheint ja nun aber trotzdem zu funktionieren.

Vielen Dank für die Hinweise!

 

[Mornsgrans]

Ich werde aus dem Beitrag #91 von @bodu nicht wirklich schlau:
Sind die Anweisungen

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f
powershell Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

und

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f
powershell Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

jeweils eine (mit Zeilenumbruch) oder zwei Anweisungen?

Diese in [ code ] - Blöcken gesetzt würde es übersichtlicher gestalten.

Im Hexeditor den Bootkatalog in der ISO Datei geändert.
0x60: 1 Sektor zu 2880 Sektoren (1.44 MB Diskette)

Wo kommt die Diskette her?

 

[bodu]

Genau so war es nach dem automatischen MS-Update, auch wenn MS behauptet, das könne nicht passieren. Gerätestatus in der MS-App war übrigens durchgehend grün, haha.

Der T530 ist gut 16 Jahre alt, erste Secure Boot Generation, wird vom Hardwarehersteller nicht mehr unterstützt. Das historische UEFI passt wohl nicht zu den aktuellen Bedingungen. CA 2023 wurde auf eigenes Risiko aktiviert.

Der genannte Weg mit Umbennung der Recovery.evi und Start von USB scheint nun aber die Lösung gebracht zu haben: Start mit Secure Boot ist wieder möglich, und ein Check ergibt, dass Windows CA_2023 auch tatsächlich nutzt.

Und möglicherweise bei nächsten CA 2011 Sperre mit nächsten SVN Upgrade wieder nicht mehr booten. Ein neues UEFI wäre angebracht. Oder eine Entscheidung bei dem Umfeld ist zu treffen.

jeweils eine (mit Zeilenumbruch) oder zwei Anweisungen?

Jeweils eine Zeile mit Zeilenumbruch, d.h. zweimal zwei Zeilen.

Wo kommt die Diskette her?

CA 2011 "C:\Windows\Boot\DVD\EFI\en-US\efisys.bin"
CA 2023 "C:\Windows\Boot\DVD_EX\EFI\en-US\efisys_EX.bin"
Beide sind Diskettenimage, 2880 Sektoren , 1.44MB groß. Das UEFI liest \efi\boot\bootx64.efi aus diesem Image auf der DVD.

UEFI Specification: 10.3.5.2. CD-ROM Media Device Path

https://uefi.org/specs/UEFI/2.11/10_Protocols_Device_Path_Protocol.html

Und El Torito Figure 5 - Section Entry

Wayback Machine

 

[Mornsgrans]

Danke.
Schau mal oben in Deinem Beitrag nach, ob ich die Trennung richtig vollzogen habe.