BOOT IMAGE UNSIGNED

"BOOT IMAGE UNSIGNED" oznacza, że obraz rozruchowy nie ma ważnego podpisu cyfrowego wymaganego przez Secure Boot — wskazuje na naruszoną integralność plików rozruchowych lub wyłączony Secure Boot próbujący uruchomić niepodpisany loader.

BOOT IMAGE UNSIGNED — co oznacza ten komunikat

„BOOT IMAGE UNSIGNED” to informacja, że środowisko startowe komputera próbuje uruchomić obraz rozruchowy, dla którego nie można potwierdzić prawidłowego podpisu cyfrowego. Podpis jest wykorzystywany do sprawdzenia, czy plik uruchamiany przed załadowaniem systemu pochodzi z zaufanego źródła i nie został zmieniony po przygotowaniu. Weryfikacja odbywa się zwykle na etapie firmware’u UEFI, zanim zostanie uruchomiony właściwy system operacyjny.

Komunikat nie zawsze oznacza fizyczne uszkodzenie dysku. Może wskazywać na niezgodność między ustawieniami firmware’u a sposobem przygotowania nośnika, brak właściwego wpisu startowego, uszkodzenie pliku rozruchowego albo próbę uruchomienia środowiska, które nie zawiera podpisu akceptowanego przez aktywną politykę Secure Boot. W praktyce system zatrzymuje start, ponieważ nie może bezpiecznie przekazać kontroli kolejnemu elementowi łańcucha uruchamiania.

Łańcuch rozruchowy obejmuje kilka zależnych elementów: firmware płyty głównej, konfigurację Secure Boot, partycję EFI, menedżer rozruchu oraz pliki potrzebne do rozpoczęcia pracy systemu. Błąd może wystąpić na dowolnym z tych poziomów. Sama treść komunikatu nie rozstrzyga więc, czy przyczyną jest konfiguracja, nośnik instalacyjny, aktualizacja, uszkodzenie danych czy nieprawidłowa kolejność uruchamiania.

Secure Boot, podpis cyfrowy i zgodność trybu uruchamiania

Secure Boot działa jako mechanizm kontroli zaufania. Firmware korzysta z zapisanych kluczy i baz certyfikatów, aby ocenić, czy wskazany loader może zostać uruchomiony. Jeżeli podpisu brakuje, jest nieważny, nie pasuje do zaufanej bazy albo plik został zmodyfikowany, firmware może odmówić dalszego startu. Takie zachowanie ma ograniczać uruchamianie nieautoryzowanego kodu przed załadowaniem systemu, w tym niektórych form złośliwego oprogramowania działającego bardzo wcześnie w procesie startowym.

Istotne znaczenie ma również tryb pracy firmware’u. Instalacja przygotowana dla UEFI może nie uruchomić się prawidłowo przy ustawieniach zgodnych ze starszym trybem Legacy, a nośnik skonfigurowany w innym schemacie partycji może zostać potraktowany jako niezgodny. Podobny efekt może pojawić się po zmianie ustawień płyty głównej, aktualizacji firmware’u, przywróceniu ustawień domyślnych albo podłączeniu dysku przeniesionego z innego komputera.

Weryfikacja powinna obejmować kolejność startową, obecność partycji EFI, poprawność wpisów bootowania, stan plików rozruchowych oraz zgodność ustawień Secure Boot z używanym systemem. Nie zaleca się przypadkowego przełączania wielu opcji naraz, ponieważ utrudnia to ustalenie, która zmiana wpłynęła na rezultat. Przed naprawą warto także zabezpieczyć ważne dane, zwłaszcza gdy nośnik wykazuje inne objawy, takie jak długie uruchamianie, znikanie z firmware’u lub błędy odczytu.

Typowe przyczyny i objawy błędu BOOT IMAGE UNSIGNED

Jedną z częstych przyczyn jest uruchamianie niepodpisanego lub zmodyfikowanego obrazu rozruchowego. Może to dotyczyć nośnika instalacyjnego, narzędzia serwisowego, środowiska odzyskiwania albo pliku przygotowanego w sposób, którego firmware nie uznaje za zaufany. Problem może powstać także wtedy, gdy obraz został uszkodzony podczas pobierania lub zapisu na pamięć USB. W takiej sytuacji ponowne przygotowanie nośnika z prawidłowego źródła bywa skuteczniejsze niż modyfikowanie ustawień komputera.

Komunikat może pojawić się po aktualizacji systemu lub zmianie komponentów. Nadpisanie plików EFI, usunięcie wpisu menedżera rozruchu, zmiana dysku systemowego, błędna operacja na partycjach albo przywrócenie kopii wykonanej na innym urządzeniu mogą zaburzyć zależności wymagane podczas startu. Czasem błąd współwystępuje z komunikatami o braku urządzenia startowego, pętli powrotu do ustawień UEFI, czarnym ekranie albo automatycznym przechodzeniu do narzędzia naprawy.

Przy diagnozie należy odróżnić problem z autoryzacją obrazu od uszkodzenia samego nośnika. Jeśli firmware widzi dysk, ale odrzuca loader, zakres poszukiwań będzie inny niż w przypadku całkowitego braku wykrywania urządzenia. Warto sprawdzić, czy błąd występuje wyłącznie przy starcie z USB, czy także przy uruchamianiu systemu z dysku wewnętrznego. Znaczenie ma również moment pojawienia się komunikatu: przed logo systemu, po wyborze urządzenia startowego czy dopiero podczas odzyskiwania.

Naprawa może polegać na odtworzeniu prawidłowych plików rozruchowych, ponownym utworzeniu wpisu UEFI, przygotowaniu zgodnego nośnika, przywróceniu właściwej kolejności startu albo dopasowaniu konfiguracji Secure Boot. Jeżeli podejrzewane jest uszkodzenie danych, przed działaniami ingerującymi w partycje powinno się wykonać kopię istotnych plików. Wyłączenie Secure Boot może czasem pozwolić na uruchomienie starszego lub niestandardowego środowiska, ale nie usuwa źródła problemu i powinno być traktowane jako decyzja zależna od zastosowania komputera.

Kiedy warto zgłosić sprzęt do serwisu - BOOT IMAGE UNSIGNED

Zgłoszenie do serwisu jest uzasadnione, gdy komunikat pojawia się przy każdym uruchomieniu, po zmianie dysku lub aktualizacji, a także wtedy, gdy nie jest jasne, czy problem dotyczy ustawień firmware’u, plików rozruchowych czy stanu nośnika. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajdują się ważne dokumenty, a każda kolejna próba naprawy może zmienić strukturę partycji albo nadpisać dane potrzebne do odzyskania systemu.

Przed przekazaniem urządzenia warto zanotować, po jakiej czynności pojawił się błąd, czy komputer uruchamia się z innego nośnika oraz czy dysk jest widoczny w ustawieniach UEFI. Pomocne mogą być także zdjęcie komunikatu i informacja, czy wcześniej zmieniano tryb startu, ustawienia Secure Boot lub kolejność urządzeń. Takie dane pozwalają szybciej rozdzielić problem z konfiguracją od awarii nośnika i dobrać sposób postępowania z mniejszym ryzykiem dla zapisanych plików.

W Warszawie diagnostykę takich przypadków można zlecić w serwisie Warszawskie Pogotowie Komputerowe 24/7, gdzie dla laptopów przewidziano darmową diagnozę LAPTOPA. W ramach sprawdzenia można ocenić stan dysku, konfigurację UEFI, pliki startowe i zgodność używanego obrazu rozruchowego, a następnie przedstawić zakres koniecznych prac. Nie powinno się samodzielnie kasować partycji ani wielokrotnie zmieniać ustawień bezpieczeństwa, jeżeli nie ma pewności, które dane i mechanizmy odpowiadają za uruchamianie systemu.