赤い画面

あっついなぁ、と思っていたら、午後過ぎに、余裕の36度超え。

しばらくすると、36.9度！

こんな数字、見たことないかもしれない。

こんな赤い画面を見たことある？

Secure Boot Violation

Invalid signature detected. Check Secure Boot Policy in Setup

ブルースクリーンは有名だけれど、こんな赤い画面(ダイアログ)を見たのは初めて。

もうね、ビックリ。

何をしてこうなったかと言うと、BIOSのアップデート。

日付は古いけれど、BIOSとしては最新のものにアップデートした。

ある問題があって、それが解決すれば、という、とっても淡い期待を持って。

正直、BIOSのアップデートなんてしたくない。
問題が起こったら、えらいことだから。

Windows上でBIOSのアップデートが出来たのはよかったし、見た目には問題なかった。

が、再起動をすると、これだ。
本当に、ドキドキした。(苦笑)

え？どういうこと？と思いながらも、OKを2回押すと、BIOSの画面が出てきた。

なんにもわからない状態で、とりあえず、関係ありそうなのは、Securityだろうと思って、その中にある「Secure Boot」を「Disabled」にした。

そうしたら、Windowsは起動して、とりあえず、ホッ。

でも、ここから、解決までの道のりは長かった。

幸いにも、今は、AIという、優秀な助手/専門家がいるので、相談しながら色々とやってみた。

結論を書くと、解決した。

残念ながら、AIのお陰で、とはいかず、ネットで検索して、ここに辿りついて解決。

Windows 11 が起動しなくなる？「セキュアブート2023年署名」問題と修復ツールの作成手順 | Windows 技！

本当に、感謝である！

今回のように、「Secure Boot」を「Disabled」にして、Windowsが起動するなら、ここに書かれていることをすれば、ほぼ、解決するのではないかと思う。

あと、かなり大事なことなんだろうけれど、「BitLocker」が無効であること。
これが有効だと、やっかいなことになりそう。

簡単に言うと、BIOSの各証明書を、2023年のものにして、Windowsのブートマネージャーの署名と一致させれば、「Secure Boot」を「Enabled」にしても、Windowsは起動するようになる、というもの。

解決しなかったら、自分のPCの使い方だったら、大きな問題にはならないから、「Secure Boot」を「Disabled」のままで使っていこうと思っていた。

顛末も含め、自分のやったことを書いていくので、興味のある人は、以下を読んでみてね。

AIと相談しながらやったのは、上記の画面に出ている、「Resore Factory Keys」「Reset To Setup Mode」。
(BIOSの初期化はしなかった。)

各証明書が、BIOSの方にないかもしれないから、ということで。

しかし、こういう感じで、証明書は戻った(もしかしたら、元からあったかもしれない)けれど、やはり、「Secure Boot Violation」は、解決しなかった。

あるAIは、これら証明書のハッシュ値がおかしくなっているから、それをどうにかしないといけない、とかなんとか。

でも、ネットにある情報で、色々なコマンドを打っていて気になったのが、証明書に、2011年はあるけれど、2023年のものがないということ。

これがないことによって、ブートマネージャーが起動しないのでは？

別の言い方をすれば、メーカーのロゴ(Windowsのロゴ)が出て、クルクル回る前の段階で、赤い画面が出る。

次のコマンドを打って出てきた結果。
PowerShellを管理者権限で開く。

>>> foreach ($var in @(‘PK’,’KEK’,’DB’,’DBX’)) { “`n${var}:”; (Get-SecureBootUEFI -Name $var -Decoded).Subject }

PK:
CN=(メーカー名) PK

KEK:
CN=(メーカー名) KEK CA
CN=Microsoft Corporation KEK 2K CA 2023, O=Microsoft Corporation, C=US
CN=Microsoft Corporation KEK CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

DB:
CN=(メーカー名) OWN CA
CN=Microsoft Corporation UEFI CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

DBX:

「(メーカー名)」というのは、このPCのメーカー名が書かれていた。

1つだけ、2023年のものがあるけれど、他は、2011年。

そのAIは、2011年があるし、ブートマネージャーの方も、2011年対応だから、それで合致して、起動するはずだから、原因は別だ、と言う。

でもなぁ、と、上記のリンク先のページを読んで、やはり、2023年の証明書がないからでは？と思って、別のAIに、セカンドオピニオンを求めることに。(笑)

そうすると、そこに書かれているセキュアブート回復メディアを作って、証明書を追加すれば、解決するかもしれない、とのこと。
もし、これを実行しても、変なことになることはないから、やってみる価値はある、ということで、実行してみることにした。

詳細は、そこを見てもらうとして、ここでは、簡単に、そのメディアの作り方を書いておく。

【準備するもの】
・32GB以下のUSBメモリ
・それを、FAT32でフォーマット
・ここでは、そのUSBメモリが、Eドライブとしてマウントされたと仮定して、以下コマンドを記述
・Windows Updateとかがちゃんとされており、OSそのものが、最新状態であること
・「C:\Windows\Boot\EFI\SecureBootRecovery.efi」というファイルがあること。念のため日付を見て、それなりに新しいか確認

【実行】
・コマンドプロンプトを、管理者権限で起動
・フォルダ作成
>>> md E:\EFI\BOOT
・ファイルコピー
>>> copy C:\windows\boot\efi\securebootrecovery.efi E:\efi\boot\bootx64.efi

たったこれだけで、セキュアブート回復メディアの完成。

USBメモリを挿したまま、PCを再起動。
間違いないのは、BIOSの中で、ブートの順番を、USBメモリを一番上に持ってくること。
それが面倒なら、ロゴが出るまでに、「F7 or F8 or F11 or Esc」を連打して、ブートメニューを表示して、そこで、USBメモリを選択すればいい。
(このブートメニューを表示するキーは、PCによって違うので、各自で試してみて。)

あっという間に終わるので、写真を撮ることも出来なかった。(苦笑)

それをやって、「Secure Boot」を「Enabled」にしたら、Windowsは起動した！！(嬉泣)

なんとなく思っていた、2023年の証明書がないからだ、というのは、当たっていたようだ。

改めて、証明書を、BIOSから見てみると、

へー、「Authorized Signatures(db)」が、「Mixed」になっている。

どうやら、ここに、今回のセキュアブート回復メディアからの証明書が入ったようだ。

さっきのコマンドを打ってみた。

>>> foreach ($var in @(‘PK’,’KEK’,’DB’,’DBX’)) { “`n${var}:”; (Get-SecureBootUEFI -Name $var -Decoded).Subject }

PK:
CN=(メーカー名) PK

KEK:
CN=(メーカー名) KEK CA
CN=Microsoft Corporation KEK 2K CA 2023, O=Microsoft Corporation, C=US
CN=Microsoft Corporation KEK CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

DB:
CN=(メーカー名) OWN CA
CN=Microsoft Corporation UEFI CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US

DBX:

最後の行のものが追加されたもの。

これが、「Mixed」なんだと思う。

面白かったのが、更に時間が経ってから、コマンドを実行したら、更に2つ加わっていた。

PK:
CN=(メーカー名) PK

KEK:
CN=(メーカー名) KEK CA
CN=Microsoft Corporation KEK 2K CA 2023, O=Microsoft Corporation, C=US
CN=Microsoft Corporation KEK CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

DB:
CN=(メーカー名) OWN CA
CN=Microsoft Corporation UEFI CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US
CN=Microsoft Option ROM UEFI CA 2023, O=Microsoft Corporation, C=US
CN=Microsoft UEFI CA 2023, O=Microsoft Corporation, C=US

DBX:

ちなみに、先のページの人が作った「セキュアブート証明書チェッカー」を実行した結果。

問題が起こっている時。

セキュアブート回復メディア実行後。

「Windows UEFI CA 2023: 検出(新ブートマネージャー対応)」に変わった。

更に時間が経過してから。

このツールは、上記のようなコマンドを使って、それをわかりやすくまとめてくれたものだ。

より、詳細に見たいなら、「Get-SecureBootUEFI DB -Decoded」を管理者権限で開いているPowerShellで実行すればいい。

「DB」だけが表示される。

他のもの「PK」「KEK」を見たければ、そこを置き換えればいい。

ブートマネージャーの状態を見たいなら、「Get-AuthenticodeSignature C:\Windows\Boot\EFI\bootmgfw.efi | Format-List *」を実行。

今回の件の流れ。

・BIOSアップデート前は正常

・BIOSアップデート後に、Secure Boot Violation
　(Secure Boot Key Store初期化、Factory Keys復元、しかし、アップデートBIOSに、キーセットWindows UEFI CA 2023を含んでいなかった。)

・Secure Boot Disabledなら起動可能

・Windowsブートローダー(bootmgfw.efi)の署名はValid

・Issuerは、Microsoft Windows Production PCA 2011

・BitLocker影響なし

・DBX(失効リスト)は、異常なし

・しかし、Secure Boot DBに、Windows UEFI CA 2023が存在しない

・SecureBootRecovery.efiによって証明書更新後、Secure Boot Enabledでも正常起動

ものすごく簡単に書けば、

「BIOSアップデート後に、Secure Boot Violation発生。原因はWindowsではなく、Secure Boot証明書DB不足だった」

というもの。

本当に、回復出来てよかった。

改めて、そのページの作者に感謝である。

今回の件、詳細には理解していないけれど、ふと思ったことがある。

最近、2026年問題として、PCが起動しなくなるかも、というものがあるよね。

それって、これ系のことではないかと。

古いPCだと、今回のように、BIOSに、2023年の証明書が入っていないかもしれない。

すると、Windowsのブートマネージャーの署名と不一致を起こし、起動しなくなる、というもの。

どういうエラーメッセージが出るのか、上記の赤い画面と同じなのかはわからないけれど、もし、そうなったら、セキュアブート回復メディアを作って、実行すれば、そのPCの2026年問題は、解決するかもしれない。

なんて思ったのである。

BIOSをいじると、何かある、というのは、本当だな、と。(苦笑)

しかも、今回は、証明書の期限が絡んでいたから、余計に、問題発生、となった。

もう、こんなことはコリゴリである！

あ、最初の方に書いた、BIOSアップデートの切っ掛けの、とある問題は、解決しなかった。