Es gibt alte UEFI mit einem Bug, ein KEK Zertifikat kann nicht im normalen Betrieb hinzugefügt werden.
Anfragen von der Betriebsystemseite werden vom UEFI blockiert.
Das ist ein Sonderfall, sollte nicht bei Windows 11 kompatiblen Geräten auftreten.
Ein Endanwender wird davon nichts mitbekommen und mit CA 2011 weiterarbeiten.
Ein KEK updateversuch KEK schlägt im normalen Betrieb fehl:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x4 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
Get-WinEvent -FilterHashtable @{
ProviderName='microsoft-windows-tpm-wmi';
Id=@(1802)
}
Description:
The Secure Boot update KEK 2023 was blocked due to a known firmware issue on the device.
Check with your device vendor for a firmware update that addresses the issue.
Die Meldung kann varriieren, generell nach einem vorhandenen KEK CA 2023 Zertifiikat zu prüfen
Ein Firmware Update vom Hardware Hersteller kann das Problem lösen.
Bei alten Geräten ohne Herstellersupport gibt es für wissbegierige Anwender einen Lösungsansatz.
Im UEFI Secure Setup Mode kann ein neuer Schlüsselsatz ab PK Platform Key erstellt werden.
Das erfordert einen manuellen Eingriff vom Endbenutzer: UEFI Einstellungen ändern.
Im Setup Mode können Werte geschrieben werden.
Manche UEFI erlauben die Auswahl von PK, KEK, DB Dateien.
Andere UEFI erlauben das nicht, dann ist ein externes Programm sinnvoll.
Vom Betriebssystemhersteller:
https://github.com/microsoft/secureboot ... otKeys.ps1
https://github.com/microsoft/secureboot ... /releases/
https://github.com/microsoft/secureboot ... naries.zip
PS> cat .\edk2-x64-secureboot-binaries\MicrosoftAndThirdParty\Firmware\README.md
PS> .\InstallSecureBootKeys.ps1
Supply values for the following parameters:
PresignedObjectsPath: .\edk2-x64-secureboot-binaries\MicrosoftAndThirdParty\Firmware
Enrolling certificates for Secure Boot...
Enrolling DB...
DB enrolled successfully.
Enrolling DBX...
DBX enrolled successfully.
Enrolling KEK...
KEK enrolled successfully.
Enrolling PK...
PK enrolled successfully.
Enrollment complete.
Script execution finished.
Secure Boot, Bootloader und SVN sind anschliesend zu setzen.
garlin's scripte vereinfachen das.
https://www.elevenforum.com/t/garlins-p ... 023.43423/
Mosby setzt einen eignen PK Schlüssel, und setzt KEK, DB, und dbx
https://github.com/pbatard/MosbyEs gibt alte UEFI mit einem Bug, ein KEK Zertifikat kann nicht im normalen Betrieb hinzugefügt werden.
Anfragen von der Betriebsystemseite werden vom UEFI blockiert.
Das ist ein Sonderfall, sollte nicht bei Windows 11 kompatiblen Geräten auftreten.
Ein Endanwender wird davon nichts mitbekommen und mit CA 2011 weiterarbeiten.
Ein KEK updateversuch KEK schlägt im normalen Betrieb fehl:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x4 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
Get-WinEvent -FilterHashtable @{
ProviderName='microsoft-windows-tpm-wmi';
Id=@(1802)
}
Description:[QUOTE]The Secure Boot update KEK 2023 was blocked due to a known firmware issue on the device.
Check with your device vendor for a firmware update that addresses the issue.[/QUOTE]
Die Meldung kann varriieren, generell nach einem vorhandenen KEK CA 2023 Zertifiikat zu prüfen
Ein Firmware Update vom Hardware Hersteller kann das Problem lösen.
Bei alten Geräten ohne Herstellersupport gibt es für wissbegierige Anwender einen Lösungsansatz.
Im UEFI Secure Setup Mode kann ein neuer Schlüsselsatz ab PK Platform Key erstellt werden.
Das erfordert einen manuellen Eingriff vom Endbenutzer: UEFI Einstellungen ändern.
Im Setup Mode können Werte geschrieben werden.
Manche UEFI erlauben die Auswahl von PK, KEK, DB Dateien.
Andere UEFI erlauben das nicht, dann ist ein externes Programm sinnvoll.
Vom Betriebssystemhersteller:
https://github.com/microsoft/secureboot_objects/blob/main/scripts/windows/InstallSecureBootKeys.ps1
https://github.com/microsoft/secureboot_objects/releases/
https://github.com/microsoft/secureboot_objects/releases/download/v1.6.3/edk2-x64-secureboot-binaries.zip
PS> cat .\edk2-x64-secureboot-binaries\MicrosoftAndThirdParty\Firmware\README.md
PS> .\InstallSecureBootKeys.ps1
Supply values for the following parameters:
PresignedObjectsPath: .\edk2-x64-secureboot-binaries\MicrosoftAndThirdParty\Firmware
Enrolling certificates for Secure Boot...
Enrolling DB...
DB enrolled successfully.
Enrolling DBX...
DBX enrolled successfully.
Enrolling KEK...
KEK enrolled successfully.
Enrolling PK...
PK enrolled successfully.
Enrollment complete.
Script execution finished.
Secure Boot, Bootloader und SVN sind anschliesend zu setzen.
garlin's scripte vereinfachen das.
https://www.elevenforum.com/t/garlins-powershell-scripts-for-updating-secure-boot-ca-2023.43423/
Mosby setzt einen eignen PK Schlüssel, und setzt KEK, DB, und dbx
https://github.com/pbatard/Mosby
