Windows Windows 11 Update > Mit Rufus erstellte USB Sticks mögen nimmer booten

[JogHurt]

Hat das schon jemand mitbekommen? Mit Rufus 4.5 erstellte USB Sticks (in diesem Fall mit Linux Mint) booten nicht mehr. Es kommt ein Hinweis auf eine Sicherheitsverletzung. Jedes Gerät bei mir mit Win11 ( X280,T480, T580 und M920x) bootet nicht mehr. Hab mehrere Sticks probiert, auch USB-C /NVME Laufwerke, nix geht. Leider hab ich die Meldung nicht fotografiert. Ich hab dann auf einem Rechner mit Win10 den Stick mit Rufus erstellt. Dieser bootet nun auf allen Geräten mit Win11 ohne irgendwelche Einschränkungen. Ich frage mich nun als Windows Leichtmatrose woher dieses Phänomen kommt. Danke für alle Anregungen.

Gruß JogHurt

 

[Mornsgrans]

Microsoft hat alle Zertifikate für Secure Boot widerrufen, angeblich aus Sicherheitsgründen.

Das Secure-Boot-Desaster

Die c’t-Ausgaben 7/2024 und 12/2024 enthielten Beiträge rund um UEFI Secure Boot. Es ging um die aktuellen Sicherheitsprobleme, die von Microsoft ursprünglich geplanten, aber völlig absurd anmutenden Gegenmaßnahmen, sowie um einen neuen Plan, der seit April gilt (selbst Microsoft zeigt sich...

www.heise.de

Secure-Boot: Massenhaft Startverbote für Bootloader spätestens ab Oktober 2024

Secure Boot hat Konstruktionsfehler. Microsofts Versuche, die Folgen auszugleichen, funktionieren nicht korrekt und führt zu Schwierigkeiten.

www.heise.de

Hier hat Günter Born noch etwas geschrieben:

Windows August 2024-Update legt Linux-Boot lahm

[English]Nutzer, die Windows und Linux über Secure Boot auf Rechnern verwenden, dürften seit dem 13. August 2024 ein Problem haben. Microsoft hat mit dem August 2024 Patchday etwas am Boot-Prozess geändert und Boot-Einträge von DBX auf Secure Boot Advanced Targeting (SBAT) umgestellt. Als Folge...

www.borncity.com

Und wer sein Windows nicht aktualisiert (z.B. ausschließlicher Offline-Betrieb ohne Updates einzuspielen), bekommt ab 26.10.2026 Probleme:

Achtung: Microsofts UEFI Zertifikat läuft am 19. Okt. 2026 aus – Secure Boot betroffen

[English]Ich stelle mal ein Thema hier im Blog ein, was noch "ein paar Tage Zeit hat", aber arg unangenehme Folgen haben könnte. Im Herbst 2026 läuft ein Zertifikat in Windows aus, welches im UEFI dafür sorgt, dass der Secure Boot ausgeführt werden kann. Zu diesem Zeitpunkt war das Zertifikat 15...

www.borncity.com

 

[JogHurt]

Danke Mornsgrans für die böhmischen Dörfer. Ich wunder mich halt warum ein unter Win10 erstellter Stick dann auf der Win11 Maschine ohne Probleme bootet. An den Einstellungen im BIOS wurde ja von mir nichts geändert.

 

[Mornsgrans]

Weil, wie die Artikel ausführen, die Zertifikate der nicht-Windows-Betriebssysteme derzeit kein Secure Boot können, weil Microsoft die UEFI-Zertifikate für ungültig erklärt hat.
Lies Dir wenigstens den dritten Artikel von Borncity durch. Der ist eigentlich recht verständlich.

Für Dich heißt es, erst einmal im BIOS Secure Boot deaktivieren und nach Installation wieder aktivieren. - Ich hoffe, dass wenigstens das klappt

 

[linrunner]

Das erklärt aber nicht den Unterschied zwischen den unter Win10 und Win11 erstellten Mint-Bootmedien. Da Mint selbst eine signierte 1. Bootstage (Shim) mitbringt müssten die Ergebnisse identisch sein.

 

[Corvus]

Anfang des Jahres ausgerollt und im Windows Ordner zwischengespeichert sollen der neue Bootloader und die Zertifikate für den Flash und die Files für die EFI Partition erst mit 24h2 richtig installiert und damit scharf werden.

Ich halte es aber für möglich, daß alle Neuinstallationen dem 24h2 Stand entsprechen, ich musste im April auf dem TP nach Mainboardwechsel neu installieren, weil Bitlocker nicht mitspielte, und es war ein größeres Geschiß als die Erstinstallation im letzten Jahr.

 

[cash22]

Weil, wie die Artikel ausführen, die Zertifikate der nicht-Windows-Betriebssysteme derzeit kein Secure Boot können, weil Microsoft die UEFI-Zertifikate für ungültig erklärt hat.
Lies Dir wenigstens den dritten Artikel von Borncity durch. Der ist eigentlich recht verständlich.

Für Dich heißt es, erst einmal im BIOS Secure Boot deaktivieren und nach Installation wieder aktivieren. - Ich hoffe, dass wenigstens das klappt

 

[cash22]

Hallo. Ich bin absoluter Leihe, was Technik betrifft. Muss mich aber da alleine durchkämpfen. Und zwar geht es darum, dass ich mich auch mit Linux anfreunden möchte. Nun ist es so das HP bei mir gar nicht aktiviert ist. Einige Leute sagen ja win11 geht nicht ohne HP, aber das stimmt so nicht. Ich wurde bei der Installation gefragt, ob ich es aktivieren möchte oder nicht. Ich habe das verneint und Windows. 11 hat sich trotzdem installiert. Also muss ich es dann ja auch nicht im BIOS deaktivieren. Ich möchte Linux auf einem USB-Stick installieren. Spielt HP da überhaupt eine Rolle? Sorry, aber ich habe leider nicht viel technisches Verständnis.

 

[JogHurt]

@Mornsgrans: Ich habe schon die Dir verlinkten Artikel gelesen und zumindest soweit verstanden, dass da Windows mit Secure Boot Probleme macht und man ggfs. Secure Boot deaktivieren sollte. Mir geht es in erster Linie darum ein Live System zu booten und dabei verschiedene Linuxe zu probieren. Dabei finde ich ja das aberwitzige, dass der identische Stick unter Win 11 erstellt nicht booten will und wenn ich den unter Win10 erstelle der ohne Probleme startet. So wie ich die Artikel verstanden habe, dürfte das ja eigentlich nicht funktionieren.

 

[DocMabuse]

Hallo. Ich bin absoluter Leihe, was Technik betrifft. Muss mich aber da alleine durchkämpfen. Und zwar geht es darum, dass ich mich auch mit Linux anfreunden möchte. Nun ist es so das HP bei mir gar nicht aktiviert ist. Einige Leute sagen ja win11 geht nicht ohne HP, aber das stimmt so nicht. Ich wurde bei der Installation gefragt, ob ich es aktivieren möchte oder nicht. Ich habe das verneint und Windows. 11 hat sich trotzdem installiert. Also muss ich es dann ja auch nicht im BIOS deaktivieren. Ich möchte Linux auf einem USB-Stick installieren. Spielt HP da überhaupt eine Rolle? Sorry, aber ich habe leider nicht viel technisches Verständnis.

Was ist HP?

 

[Mornsgrans]

Dabei finde ich ja das aberwitzige, dass der identische Stick unter Win 11 erstellt nicht booten will und wenn ich den unter Win10 erstelle der ohne Probleme startet.

Dann liegt die Vermutung nahe, dass im UEFI der Windows 11 Rechner die alten Zertifikate gelöscht und derzeit nur ein Windows-Zertifikat hiterlegt ist, während die UEFI der Windows 10 Rechner noch die alten Zertifikate besitzen.

So tief stecke ich da auch nicht im Metier, zumal Windows 11 für mich noch kein Thema ist.

 

[Schwartz]

Wie oft schön gehört, re: Secure Boot und Microsoft-Monopol aufs Booten: "Ist doch alles kein Problem, da gibt MS Zertifikate an Linux weiter". Ja, ja...

 

[cash22]

Was ist HP?

Entschuldigung, da habe ich wohl etwas falsch verstanden . Ich habe Secure Boot und TPM verwechselt. Tut mir leid, ich schau mir das noch mal genauer an. Ich habe bei meinem win11 das TPM nicht aktiviert. Ich dachte mit Secure Boot ist die TPM Sicherung gemeint.

 

[JogHurt]

Dann liegt die Vermuting nahe, dass im UEFI der Windows 11 Rechner die alten Zertifikate gelöscht und derzeit nur ein Windows-Zertifikat hiterlegt ist, während die UEFI der Windows 10 Rechner noch die alten Zertifikate besitzen.

So tief stecke ich da auch nicht im Metier, zumal Windows 11 für mich noch kein Thema ist.

Ja dann dürfte sich der Stick ja nicht auf der Win11 Maschine booten lassen wenn da die Zertifikate gelöscht wurden. Was er aber tut wenn der Rechner auf dem der Stick erstellt wurde mit Win10 läuft.

 

[dub-setter]

heiliger strohsack..
irgendwas is immer.

hoffe, das ist dann bis nächstes jahr (wenn ich endlich den sprung zu win11 mache) gelöst.

 

[bodu]

heiliger strohsack..

...Scheibenkleister:

X250 mit Windows 11 und secure boot.

mountvol s: /s
dir s:\efi\Microsoft\Boot\*.efi
14.08.2024 18:31 2.508.728 memtest.efi
14.08.2024 18:31 2.759.624 bootmgfw.efi
14.08.2024 18:31 2.746.288 bootmgr.efi
14.08.2024 18:31 160.576 SecureBootRecovery.efi

Die DVD Win11_23H2_German_x64v2.iso bootet nicht.

Download Windows 11

Kein lokal vorhandenes Rettungsmedium bootet!

USB Stick g:
g:\efi\microsoft\boot\bcd gesichert

Aktuelle bootdateien auf den USB Stick schreiben:
bcdboot c:\windows /s g: /f UEFI

Die efi Dateien vom 14.08.2024 sind nun auf dem USB Stick.
g:\efi\microsoft\boot\bcd zurück kopiert

Booten vom USB Stick ist wieder möglich.

Hinzuegefügt:

KB5025885: Verwalten der Windows-Start-Manager-Sperrungen für Secure Boot-Änderungen im Zusammenhang mit CVE-2023-24932 - Microsoft-Support

support.microsoft.com

Wir sind aktuell in der "Bereitstellungsphase", umgestellte Rechner benötigen neue Installationsmedien, vgl "Aktualisieren der Windows-Installationsmedien"


Wie kann ich Zertifikats-Änderungen im UEFI diagonstizieren?

 

[think_pad]

Microsoft reagiert auf lahmgelegte Linux-Bootloader durch Windows Update

Die Windows-Updates aus dem August haben Linuxe lahmgelegt und diese am Booten gehindert. Microsoft benennt nun die Ursache.

www.heise.de

Die Autoren schlagen einen etwas halbherzigen Workaround vor: Sofern die Installation des August-Updates noch nicht mit einem Reboot abgeschlossen wurde, können potenziell Betroffene einen Registry-Schlüssel zum Opt-out nutzen, sodass das SBAT-Update nicht installiert wird. Der Schlüssel lasse sich später auch wieder löschen, wenn doch SBAT-Updates installiert werden sollen. Der Befehl zum Ergänzen des Schlüssels lautet laut Microsoft:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\SBAT /v OptOut /d 1 /t REG_DWORD

 

[linrunner]

Die Clowns in Redmond werden nie kapieren wie Installieren richtig geht.