Secure Boot Violation — прошивка не приняла подпись загрузчика

Secure Boot — это проверка, которую прошивка платы делает до передачи управления Windows. Она берёт загрузчик с диска, сверяет его цифровую подпись с сертификатами в своей базе и запускает только тот, чья подпись совпала. Если подпись не совпала или сертификата в базе нет, прошивка останавливается и показывает то самое окно. У MSI это красная рамка с текстом Secure Boot Violation, у ASUS и Gigabyte формулировка чуть другая, но смысл тот же: проверка политики безопасной загрузки не пройдена.

В документе поддержки MSI причина названа прямо: сертификат, которым подписан файл загрузчика, отсутствует, устарел или больше не считается доверенным в базе прошивки. Microsoft обновляла сертификаты безопасной загрузки, и загрузчик, подписанный новым сертификатом, старая база не принимает. Отсюда волна таких окон на компьютерах, где Windows обновилась, а прошивка платы — нет.

Это же окно появляется, когда на диск поставили Linux без подписанного загрузчика, подключили диск с системой от другого компьютера, загрузились с флешки со старым загрузчиком или обновили BIOS, а он сбросил базу сертификатов. Во всех этих случаях железо исправно: прошивка просто выполняет свою работу.

Обход, который MSI описывает первым: при появлении логотипа нажать Delete, зайти в раздел Security, найти пункт Secure Boot и перевести его в Disabled, затем F10 для сохранения. Компьютер загрузится, потому что проверка подписи выключена. Но причина осталась: прошивка по-прежнему не доверяет загрузчику, и при следующем включении Secure Boot окно вернётся. Некоторые игры с античитом и часть корпоративных программ требуют включённую безопасную загрузку, поэтому обход годится как временная мера.

Лечение по инструкции MSI — утилита восстановления с сайта производителя. Её распаковывают, папку EFI целиком копируют на флешку, затем при включении нажимают F11, выбирают флешку, и утилита проверяет базу сертификатов и добавляет в прошивку сертификат Microsoft UEFI CA 2023. После этого Secure Boot можно включить обратно, и загрузчик Windows проходит проверку. У ASUS и Gigabyte та же операция делается обновлением BIOS до версии с новыми сертификатами.

Третий вариант, который часто советуют на форумах, — сбросить ключи Secure Boot к заводским или переключить режим с Custom на Standard. Он помогает, когда база ключей повредилась, но при неаккуратном обращении стирает ключи совсем, и тогда система не грузится даже с выключенной проверкой. Мы не советуем трогать раздел управления ключами без понимания, что там записано.

Первое — вспомнить, что менялось перед появлением окна. Обновление Windows, установка второй системы, новый диск, прошивка BIOS, флешка в порту. Если вчера ставили Linux или подключали чужой диск, окно объясняется этим, и мастер тут не нужен: достаточно выбрать в меню загрузки правильное устройство или временно выключить проверку.

Второе — отключить все флешки и внешние диски и включить компьютер снова. Прошивка перебирает устройства по порядку загрузки, и флешка с неподписанным загрузчиком даёт то же окно, хотя с системой на основном диске всё в порядке. Этот шаг ничего не ломает и часто закрывает вопрос.

Третье — временный обход через раздел Security, как описано у MSI, чтобы убедиться, что Windows вообще стартует. Если после выключения Secure Boot система загрузилась, окно было только о подписи, и дальше вопрос решается утилитой производителя или обновлением BIOS. Если вместо Windows появилось другое сообщение — о том, что загрузочное устройство не найдено, или синий экран с кодом, — причина глубже, и её ищут уже в накопителе и загрузочной записи.

Мастера зовут в трёх случаях: система не стартует даже с выключенной проверкой; обновить прошивку самому страшно, а окно возвращается при каждом включении Secure Boot; ключи безопасной загрузки уже пробовали сбрасывать, и стало хуже. На выезде мастер смотрит режим загрузки и базу сертификатов, проверяет, виден ли диск и цела ли загрузочная запись, обновляет BIOS до версии с новыми сертификатами или проводит утилиту восстановления, а затем включает проверку обратно и убеждается, что Windows грузится с ней.

Диагностика и выезд бесплатны. Приведение прошивки в порядок — режим загрузки, ключи, включённая проверка — это настройка BIOS за 1 200 ₽. Если загрузочная запись на диске повреждена и Windows не стартует ни в каком режиме, делается восстановление загрузки за 1 800 ₽. Обновление прошивки платы, когда без него окно не уходит, оформляется как прошивка BIOS: цену мастер называет после осмотра, до начала работы, потому что она зависит от платы и способа прошивки.

Прошивать BIOS с не той версией или выключать питание в процессе нельзя: плата после этого не стартует вовсе, и восстановление после неудачной прошивки стоит уже 2 500 ₽. Поэтому, если сомневаетесь в модели платы или версии файла, лучше остановиться на временном обходе и дождаться мастера.