Leidiges Thema Secure Boot Zertifikate [Hilfe]

[Kulle9935]

Danke DK2000
Da werde ich mich mal überraschen lassen müssen.
Einen Bootstick für SVN 11 habe ich erstellt. Das Microsoft Windows Production PCA 2011 war aber
vorher drin, also Grün, Seltsam. Kann doch eigentlich nicht sein das es bei jeder Aktualisierung so ein Theater gib.

[Tante Google]

[DK2000]

Nein, das ist ein Missverständnis mit dem CA 2011.

Es ist bei Dir immer noch Grün, aber in der DB.

Der untere Teil, wo es jetzt Rot markiert ist, das ist die DBX. Hier kommt es rein, wenn es widerrufen wurde und somit gesperrt ist.

Bei Dir ist das aber noch nicht der Fall.

[Kulle9935]

Hab nur das noch gefunden
Ereignisanzeige TPM-WMI 1808

3.png

[bezelbube]

Unter "C:\Windows\system32\SecureBootUpdates" kann jeder nachschauen,welche Securebootupdates,
am letzten Patchday von MS aktualisiert wurden.
Einfach die 3 "Apply....cmd`s" aus dem Githubscript nachmal ausführen.Die drei Aufgaben werden nach einen Neustart ausgeführt.
Bei Microsoft Windows Production PCA 2011 steht jetzt bei mir (revoked: true).
SVN war vor der Aktualisierung noch 8.0,jetzt 11.0.

[Kulle9935]

Okay DK2000
Habe die 3 Apply.. CMD,s nochmal ausgeführt.
Jetzt schaut es so aus, Haken ist wieder grün.
So lassen ? Und danke für deine Hilfe.

4.png

5.png

[DK2000]

Jetzt ist das CA 2011 widerrufen. Jetzt booten nur noch ISOs/Sticks mit dem neuen Zertifikat.

[MikeXII]

Jetzt ist das CA 2011 widerrufen. Jetzt booten nur noch ISOs/Sticks mit dem neuen Zertifikat.

Sicher?

Code: Alles auswählen

17 Sep 2026
------------------------------------------------------------
HW : HP HP All-in-One Desktop 27-cr0xxx - HP 8B4E
FW : AMI - F.30 - 17 Mrz 2026
OS : Windows 11 - 26H2 (Build 26300.9457)

Detected AMD64/X64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ HP UEFI Secure Boot PK 2017

Default UEFI PK
√ HP UEFI Secure Boot PK 2017

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Current UEFI DBX
√ Microsoft Windows Production PCA 2011
2026-07-14 [AMD64]          : SUCCESS: 291 successes detected
Windows BootMgr SVN         : 11.0
Windows CDBoot SVN          : 3.0
Windows WDSMgFw SVN         : 3.0
Statistics                  : 483 SHA256 hashes, 1 X.509 certs, 4 SVNs

Size statistics (Bytes)
PK                          : 1228
KEK                         : 4296
db                          : 7268
dbx                         : 25059
SetupMode                   : 1
SecureBoot                  : 1
dbt                         : 0 or unable to determine
Total size                  : 37853
PKDefault                   : 1228
KEKDefault                  : 4296
dbDefault                   : 7268
dbxDefault                  : 11064
dbtDefault                  : 0 or unable to determine
Total default size          : 23856

Drücken Sie eine beliebige Taste . . .

[MikeXII]

@DK das hat den folgenden Grund:
https://support.hp.com/us-en/security-bulletins
8B4E AMI F30 Bios (Rev.4)

und nicht von der DE-Site
https://support.hp.com/de-de/security-bulletins
da kommt oft immer alles später rein.

[rt26h2]

btw: Secure Boot Certs - Realtek Unified Extensible Firmware Interface 2011 und 2023 Links

Code: Alles auswählen

https://ibb.co/FqWDfdk3

[Kulle9935]

Zertifikate.jpeg

Screenshot 2026-10-01 171504.png

Hi All
Ich habe von meinem Kumpel auf Einen Huawei MateBook 16D Baujahr 2021 die Zertifikate Mit Windows 26H2 eingespielt.
Das Bios ist von 2022, ein neues gibt es nicht. Hat soweit alles geklappt. Nur habe ich im Checker noch Rote Hacken drin.
In dem SecureBootCertChecker ist aber alles Okay sie Screenshots. In der Registry steht ConfidenceLevel - HighConfidence.
Die 3 Apply,s Befehle hab ich aus geführt. Muss ich noch etwas tun? wie bekomme ich die Roten Hacken noch weg falls nötig?
Im BIOS kann ich nicht viel machen , sehr Spartanisch. Load BIOS defaults bringt nichts da von 2022.
Kann ich es so belassen? Danke Euch

[bodu]

Das Bios ist von 2022, ein neues gibt es nicht. Hat soweit alles geklappt. Nur habe ich im Checker noch Rote Hacken drin.

Die rote Hacken beziehen sich auf das alte BIOS, die Voreinstellung vom Hersteller hat keine CA2023 Einträge.
Die aktiven "current" sind grün, die aktiven Einträge passen. Belasse das so.

Load BIOS defaults bringt nichts da von 2022.

Load BIOS defaults mit secure boot reset würde wieder die alten CA 2011 Einträge aktiv setzten. Das gilt es zu meiden. Bzw. falls ein BIOS reset mit secure boot factory reset aus anderen Gründen angebracht ist, sind dann die CA2023 Einträge wieder zu setzten, C:\Windows\Boot\EFI\SecureBootRecovery.efi ist dann ein Ansatz.

[Kulle9935]

@Bodu Danke Dir, Ich belasse das jetzt so.