BIOS z włączonym Secure Boot – brak boot

Brak rozruchu przy włączonym Secure Boot oznacza, że bootloader (np. starsza dystrybucja Linuksa lub niepodpisany system) nie posiada zaufanego podpisu cyfrowego wymaganego przez tę funkcję zabezpieczeń.

BIOS z włączonym Secure Boot – brak boot: na czym polega problem

Brak rozruchu przy aktywnym Secure Boot pojawia się wtedy, gdy firmware komputera nie uznaje programu uruchamiającego za zaufany. Secure Boot jest mechanizmem kontroli działającym jeszcze przed startem systemu operacyjnego. BIOS lub UEFI sprawdza, czy bootloader, jego składniki oraz wybrane elementy ścieżki startowej mają prawidłowy podpis cyfrowy zapisany w zaufanym magazynie kluczy. Jeżeli weryfikacja zakończy się niepowodzeniem, dalsze uruchamianie może zostać zatrzymane, a na ekranie może pojawić się komunikat o braku urządzenia startowego, nieprawidłowym podpisie albo niemożności znalezienia systemu.

Nie musi to oznaczać fizycznego uszkodzenia dysku. Przyczyną może być niezgodność pomiędzy ustawieniami firmware a sposobem zainstalowania systemu, zmiana wpisu rozruchowego, uszkodzenie plików startowych albo użycie nośnika, którego bootloader nie spełnia wymagań Secure Boot. Problem może wystąpić również po aktualizacji systemu, zmianie trybu uruchamiania, klonowaniu dysku lub przywróceniu obrazu systemu na innym urządzeniu.

Rola UEFI, kluczy i podpisu bootloadera

Secure Boot jest częścią środowiska UEFI, dlatego jego działanie należy odróżnić od samego wyboru dysku startowego w BIOS-ie. UEFI przechowuje zestaw zaufanych certyfikatów i kluczy, na podstawie których ocenia autentyczność programu uruchamiającego. W prawidłowym scenariuszu firmware przekazuje kontrolę podpisanemu bootloaderowi, a ten uruchamia kolejne elementy systemu. Gdy którykolwiek etap nie przejdzie kontroli, proces może zostać przerwany przed wyświetleniem ekranu logowania.

Znaczenie ma także tryb instalacji systemu. System przygotowany dla UEFI może nie uruchomić się poprawnie w konfiguracji ustawionej na tryb zgodności ze starszym sposobem startu, a instalacja wykonana w innym trybie może nie mieć właściwego wpisu w pamięci firmware. Podobne objawy może wywołać wyłączony lub uszkodzony wpis menedżera rozruchu, nieprawidłowa kolejność urządzeń albo podłączony nośnik z niespójną strukturą partycji.

W praktyce nie powinno się zaczynać od przypadkowego kasowania kluczy Secure Boot ani od formatowania dysku. Najpierw ustala się, czy dane na nośniku są dostępne, jaki tryb rozruchu był używany, czy firmware widzi dysk oraz czy problem dotyczy samej weryfikacji podpisu, czy również plików systemowych. Takie rozróżnienie ogranicza ryzyko utraty danych i ułatwia dobranie właściwej metody naprawy.

Typowe objawy i źródła błędów - BIOS z włączonym Secure Boot – brak boot

Najczęściej obserwowanym objawem jest zatrzymanie komputera na ekranie firmware po zmianie ustawienia Secure Boot. Może pojawić się komunikat informujący o odrzuceniu obrazu startowego, braku systemu operacyjnego lub nieznalezieniu urządzenia rozruchowego. Czasem zamiast komunikatu występuje powrót do ustawień BIOS-u, wielokrotne przechodzenie przez ekran producenta albo automatyczne otwieranie narzędzia wyboru urządzenia startowego.

Do częstych przyczyn należą:

• bootloader bez podpisu akceptowanego przez aktualny zestaw kluczy;
• zmiana ustawień UEFI, trybu zgodności lub kolejności uruchamiania;
• brak prawidłowego wpisu systemu w pamięci firmware;
• uszkodzenie plików znajdujących się na partycji EFI;
• przywrócenie kopii systemu bez odtworzenia środowiska rozruchowego;
• aktualizacja firmware, po której zmieniły się ustawienia zabezpieczeń;
• podłączenie nośnika instalacyjnego lub diagnostycznego, który nie jest akceptowany przy aktywnym Secure Boot;
• usterka dysku albo błędy odczytu, które dają objawy podobne do problemu z podpisem.

Weryfikacja powinna obejmować odczyt komunikatu, sprawdzenie wykrywania dysku, analizę partycji rozruchowej oraz ocenę wpisów UEFI. Jeżeli system jest widoczny, ale nie startuje, możliwe jest odtworzenie plików bootowania lub naprawa konfiguracji bez ingerowania w dane użytkownika. Gdy nośnik nie jest wykrywany albo pojawiają się błędy odczytu, konieczne staje się rozdzielenie diagnostyki logicznej od oceny stanu sprzętu.

Kiedy trzeba oddać urządzenie do diagnozy - BIOS z włączonym Secure Boot – brak boot

Zgłoszenie do serwisu jest uzasadnione, gdy problem pojawił się nagle, po aktualizacji, zmianie dysku lub modyfikacji ustawień BIOS-u, a samodzielne przywrócenie poprzedniej konfiguracji nie przyniosło rezultatu. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się ważne dokumenty, a ekran sugeruje inicjalizację, formatowanie lub ponowną instalację systemu. Przed taką operacją warto ustalić, czy dane są nadal dostępne i czy naprawa środowiska rozruchowego może zostać wykonana bez ich usuwania.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji UEFI, wpisów rozruchowych, partycji EFI oraz stanu dysku, a w przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA. Po rozpoznaniu przyczyny określa się, czy wystarczy korekta ustawień, odbudowa bootloadera, przywrócenie wpisu systemowego, naprawa nośnika instalacyjnego czy dalsza diagnostyka sprzętowa.

Warto przekazać informację o ostatnich zmianach: aktualizacji firmware, instalacji drugiego systemu, wymianie dysku, użyciu programu do klonowania albo włączeniu Secure Boot. Pomocny jest także dokładny tekst komunikatu wyświetlanego przez BIOS oraz wskazanie, czy dysk jest widoczny na liście urządzeń. Tak przygotowane zgłoszenie ułatwia odtworzenie sekwencji zdarzeń i pozwala szybciej rozstrzygnąć, czy przyczyną jest podpis bootloadera, konfiguracja UEFI, uszkodzenie plików startowych czy problem z samym nośnikiem.