Disable Secure Boot

Wyłączenie Secure Boot w BIOS-ie umożliwia rozruch z niezaufanych lub niepodpisanych bootloaderów, np. przy instalacji niektórych dystrybucji Linuksa lub systemów bez pełnego wsparcia UEFI.

Disable Secure Boot – co oznacza wyłączenie tej funkcji

Disable Secure Boot oznacza wyłączenie mechanizmu bezpiecznego rozruchu dostępnego w ustawieniach firmware UEFI. Secure Boot sprawdza, czy program uruchamiany przed systemem operacyjnym posiada prawidłowy podpis kryptograficzny zapisany w zaufanej bazie kluczy. Po wyłączeniu tej kontroli komputer może zaakceptować również bootloader, którego podpisu nie rozpoznaje albo którego nie da się zweryfikować.

Nie jest to ustawienie systemu Windows, lecz opcja znajdująca się zwykle w UEFI, określanym potocznie jako BIOS. Jej nazwa może występować jako Secure Boot, Secure Boot Control albo podobne określenie zależne od producenta płyty głównej lub laptopa. Zmiana nie usuwa systemu, nie formatuje dysku i sama w sobie nie instaluje żadnego oprogramowania. Modyfikuje natomiast reguły, według których firmware decyduje, czy można rozpocząć uruchamianie z wybranego nośnika.

Wyłączenie bywa potrzebne podczas uruchamiania starszych narzędzi serwisowych, instalatora określonego systemu, nietypowego środowiska ratunkowego albo bootloadera, który nie korzysta z kluczy akceptowanych przez daną konfigurację UEFI. Po wykonaniu zadania warto przywrócić Secure Boot, jeśli używany system i jego sposób uruchamiania są z nim zgodne. Pozostawienie tej funkcji wyłączonej może osłabić ochronę procesu startowego, ponieważ firmware nie będzie weryfikował podpisu każdego zgodnego z konfiguracją programu rozruchowego.

Secure Boot a tryb UEFI, Legacy i uruchamianie systemu

Secure Boot jest częścią nowoczesnego sposobu uruchamiania komputerów w trybie UEFI. Nie należy utożsamiać go z samym UEFI ani z partycjonowaniem dysku. UEFI określa środowisko firmware i sposób przekazywania kontroli do programu rozruchowego, natomiast Secure Boot dodaje do tego procesu weryfikację podpisów. Z tego powodu wyłączenie Secure Boot nie zawsze rozwiązuje problem z uruchomieniem nośnika, jeżeli przyczyną jest niezgodny schemat partycji, błędnie przygotowany pendrive albo wybranie niewłaściwego wpisu startowego.

Istotne jest odróżnienie trybu UEFI od trybu zgodności ze starszym firmware, często opisywanego jako Legacy lub CSM. Instalator uruchomiony w jednym trybie może przygotować dysk i wpis rozruchowy w sposób niepasujący do drugiego. W efekcie po zmianie ustawień komputer może wyświetlać komunikat o braku urządzenia rozruchowego, wracać do ekranu konfiguracji UEFI albo uruchamiać inny system znajdujący się na dysku. Wyłączenie Secure Boot nie powinno być wykonywane razem z przypadkowymi zmianami trybu startowego bez sprawdzenia, jak został zainstalowany obecny system.

Przed zmianą należy ustalić, z jakiego nośnika ma nastąpić start, czy nośnik został przygotowany dla UEFI oraz czy na dysku znajdują się ważne dane. W niektórych urządzeniach dodatkowym warunkiem może być zapisanie zmian, ponowne uruchomienie komputera albo wskazanie konkretnego wpisu w menu Boot. Po zakończeniu instalacji lub pracy narzędzia rozruchowego można ponownie wejść do UEFI i aktywować Secure Boot, o ile nie koliduje to z używanym systemem.

Typowe problemy po zmianie ustawienia

Najczęstszym skutkiem nieprawidłowej konfiguracji jest brak startu z pendrive’a lub dysku. Może pojawić się komunikat informujący o nieprawidłowym podpisie, braku systemu operacyjnego albo nieznalezieniu urządzenia startowego. Czasem nośnik jest widoczny na liście urządzeń, lecz nie pojawia się jako pozycja możliwa do wybrania. W takiej sytuacji przyczyną może być zarówno aktywny Secure Boot, jak i sposób przygotowania nośnika, system plików, kolejność startowa lub różnica między trybem UEFI a trybem zgodności.

Inny problem pojawia się wtedy, gdy po wyłączeniu Secure Boot system uruchamia się inaczej niż wcześniej. Może zostać wybrany drugi dysk, awaryjny wpis rozruchowy albo narzędzie diagnostyczne. Jeżeli po zmianie pokazuje się ekran odzyskiwania, należy unikać pochopnego formatowania. Najpierw powinno się sprawdzić, czy dysk jest prawidłowo wykrywany, czy partycja systemowa nadal istnieje oraz czy firmware wskazuje właściwy wpis startowy.

Warto także pamiętać o ustawieniach zabezpieczeń powiązanych z rozruchem. Na części urządzeń zmiana Secure Boot może wymagać potwierdzenia przywrócenia domyślnych kluczy, przełączenia trybu systemu operacyjnego albo zaakceptowania ostrzeżenia o zmianie poziomu ochrony. Nie należy usuwać kluczy UEFI tylko dlatego, że wyłączenie kontroli podpisu okazało się potrzebne. Usunięcie baz kluczy jest inną operacją i może utrudnić późniejsze przywrócenie standardowej konfiguracji.

Jeżeli po zapisaniu ustawień komputer nie startuje, bezpiecznym postępowaniem jest powrót do UEFI i odtworzenie wcześniejszych wartości, o ile jest to możliwe. Gdy nie wiadomo, które ustawienie zostało zmienione, należy zanotować komunikat z ekranu oraz model urządzenia. Ułatwia to odtworzenie konfiguracji bez podejmowania działań mogących naruszyć dane na dysku.

Kiedy najlepiej oddać urządzenie do diagnozy - Disable Secure Boot

Zgłoszenie do serwisu jest uzasadnione, gdy wyłączenie Secure Boot miało umożliwić instalację lub uruchomienie systemu, lecz komputer nadal pomija wybrany nośnik, wyświetla błąd rozruchu albo po zmianie nie odnajduje dotychczasowego systemu. Pomoc może być potrzebna również wtedy, gdy nie da się wejść do UEFI, ustawienia wracają do poprzedniego stanu, a każda próba zmiany kończy się kolejnym komunikatem ostrzegawczym.

W ramach zgłoszenia można opisać model laptopa lub płyty głównej, aktualny system, rodzaj używanego nośnika oraz dokładny komunikat pojawiający się po restarcie. Pozwala to rozdzielić problem z Secure Boot od awarii dysku, uszkodzenia plików rozruchowych, błędnego przygotowania instalatora lub niezgodności trybu uruchamiania. W razie potrzeby możliwe jest także sprawdzenie, czy po zakończeniu prac da się bezpiecznie ponownie włączyć ochronę.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie dostępna jest darmowa diagnoza LAPTOPA. Przed rozpoczęciem zmian warto zaznaczyć, czy priorytetem jest uruchomienie konkretnego instalatora, odzyskanie dostępu do obecnego systemu, czy przywrócenie wcześniejszego poziomu ochrony. Dzięki temu zakres czynności może zostać dobrany do konfiguracji urządzenia i celu użytkownika, bez przypadkowego modyfikowania pozostałych ustawień firmware.