第 500 期：如何检查 Windows 11 是否安装了新的安全引导证书

如果您最近检查过事件查看器，可能会看到一些有关安全引导证书的新的 TPM-WMI 错误。别担心，您不是一个人。许多Windows 11 用户不知道为什么这些日志会突然冒出来，特别是在安装了 2026 年 2 月的补丁星期二更新之后。

幸运的是，这不是什么大的问题。原因是，微软正在更新安全引导证书，这些证书可以追溯到 2011 年。这些旧的证书的使用寿命即将结束，Windows 现在正在将设备转移到一个名为 Windows UEFI CA 2023 的较新的证书颁发机构。

安全引导是一项功能，它只允许受信任的固件、引导加载程序和系统组件在 Windows 加载之前运行，从而在启动过程中保护您的电脑。当然，如果这些证书过期或脱离信任，整个安全引导机制就会失效。
微软将证书更新与 2026 年 2 月的Windows 11 更新 (KB5077181 更新) 捆绑在一起，以典型的方式，这是一个分阶段的、特定于设备的推送，并可能会使用遥测和健康检查，以便推送新的引导证书到您的个人电脑。

因此，许多用户看到事件查看器日志中提到诸如 “已更新证书可用” 或 “正在检查” 之类的日志内容，尽管他们的系统上尚未发生任何更改。

请注意，这些日志并不表示您的电脑出了问题。在大多数情况下，Windows 可能会在适当的时候准备您的设备并检查兼容性，以便安全地应用新的安全引导证书。

为什么在事件查看器中可能会看到 TPM-WMI 错误

许多 Windows 11 用户已经注意到事件ID 1801，以及如下消息：

“BucketConfidenceLevel：正在检查-需要更多数据”

请放心，您的电脑是安全的，没有任何问题。这里的日志记录是状态检查，而不是错误或失败。

安全启动证书存在于固件级别，并在整个电脑生态系统中共享，包括 OEM 固件、主板供应商和 Windows。正因为如此，必须仔细协调变更，以避免设备在出现问题时无法启动。

此过程涉及两个独立的步骤：

– 新的安全引导证书可用于 Windows。
– 该证书稍后应用于系统固件。

大多数系统会在这两个步骤之间停留一段时间。

当事件查看器显示新的引导证书可用但尚未应用时，表示您的设备已被检测、评估并排队等待下一阶段。“在观察中” 置信级别表明，在推送固件级别更改之前，微软仍在从您的设备收集更新可靠性信号。在这些事情上，遥测是有意义的。

此外，Windows 可以在固件采用新证书之前很久就下载并在操作系统中存放新证书。直到固件接受并记录新证书为止，事件查看器可以继续记录指示转换未决的状态消息。

这就是为什么日志显示为错误的原因，即使它们是信息暂存日志，并且这并不意味着损坏的 TPM 芯片、失败的安全引导或损坏的BIOS。请注意，许多系统将暂时保持这种状态，特别是在像这样的分阶段部署期间。

如何检查新的证书是否已经应用到您的电脑上

Windows 有一种简单的方法来检查Windows UEFI CA 2023 证书是否已经存在于您的系统中。此方法不会修改任何内容，并且是完全安全的。

步骤1：以管理员身份打开 PowerShell

右键单击开始按钮，然后选择 Windows PowerShell (管理员) 或 Terminal (管理员)。

步骤2：完全按照所示运行此命令：
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’)

第三步：检查结果

True：这意味着，Windows UEFI CA 2023 证书已经存在于安全引导数据库中。即使事件查看器仍显示暂存或观察消息，系统也已准备就绪。

False：这表示，您的设备尚未收到证书。这不是错误，不需要任何操作。您的个人电脑只是在等待它的推出轮到它。

如何在事件查看器中验证更新

如果 PowerShell 命令返回 True，并且您希望查看官方日志以使您高枕无忧，则可以在系统日志中找到它们。以下是无需滚动数千个事件便可追踪它们的最简单方法：

– 打开事件查看器 (在开始菜单中搜索)。
– 导航到 Windows 日志 > 系统。
– 在右侧窗格中，单击“筛选当前日志…”。
– 在事件源下拉列表中，向下滚动并选中
– TPM-WMI 框 (它可能被列为 microsoft-windows-tpm-wmi)。
– 单击 “确定”。

过滤后，查找事件 ID 1808。如果您看到它，则表示已成功应用新的安全引导证书。您可能还会看到事件 ID 1034，它确认 DBX (撤销列表) 更新也已处理。

请注意，这两个检查可能显示为不同步。某些用户将在 PowerShell 中看到 True，而事件查看器仍会记录有关证书未应用于固件的警告。那很正常。

操作系统级别的更新可以先进行，而固件应用程序则稍后进行，有时在重新启动或更新之后进行。

如果 PowerShell 返回 True，则说明您的系统已经具备了所需的功能。此时，可以安全地忽略事件查看器条目。

您现在需要更新您的 BIOS 吗？

不，您不需要匆忙进行 BIOS 更新。

围绕这一推出的最大误解之一是，假定微软直接推动固件更改，不是的。BIOS 和 UEFI 固件由设备制造商控制，而不是由 Windows 自动更新控制。这意味着，微软不能在没有戴尔、联想、惠普、华硕和其他公司的协作下，盲目地在每台电脑的固件级别更新安全启动证书。

固件更改远比操作系统更新敏感。您可以回滚失败的 Windows 更新，但失败的固件更新会使您的电脑无法启动。因此，OEM 必须仔细验证安全引导证书更换，并且只有在确信更新不会干扰特定于平台的配置时才释放它们。

只有在以下情况下，您才应考虑更新您的BIOS：

– 您的设备制造商明确指示您这样做
– 更新文档提到安全引导证书更改

– 您能够自如地执行固件更新并了解风险

我们还建议您，避免使用诸如清除安全启动密钥、启用设置模式或手动修改固件设置之类的解决方法。这些适用于企业，如果操作不正确，可能会降低安全性。

如果这一切让人感觉，微软最近在幕后做了更多的工作，那是因为，他们确实在做。尽管安全引导证书更新是不可避免的，但由于上一次更新已有 15 年历史，正如我们之前所报道的，该公司的使命是使 Windows 默认安全。

大部分用户抗拒系统或软件更新，这是有一定道理的。万一不小心更新导致电脑变砖，那就得不偿失了。拓扑梅尔智慧办公平台的版本更新比较慢，主要的原因是，我们希望交付可靠稳定的东西，而不是东拼西凑的玩意儿。

话说，您的电脑更新了新的引导证书了吗？

本文来自：How to check if Windows 11 has applied the new Secure Boot 2023 certificates (replaces Secure Boot 2011)