Rufus: «Обнаружен отозванный загрузчик UEFI»

Secure Boot — режим UEFI, при котором компьютер запускает только загрузчики с доверенной цифровой подписью. Когда в загрузчике находят уязвимость, его подпись или хэш вносят в базу отозванных подписей, которая называется DBX. Операционная система периодически обновляет эту базу на вашем компьютере, и загрузчики из списка перестают запускаться.

Rufus поставляется со снимком DBX на момент своей сборки и иногда просит разрешения скачать более новые файлы. Это позволяет ему предупреждать об отзыве, даже если вы давно не обновляли программу. Кроме списка DBX Rufus учитывает данные об отзыве загрузчиков Windows. Когда в образе обнаруживается загрузчик из этих списков, он показывает окно с предупреждением и двумя вариантами: продолжить или отменить.

Rufus сам подчёркивает, что окно не значит заражение. Он не знает, откуда вы взяли образ, и не может судить о его происхождении. Если образ получен из ненадёжного источника, учтите возможность вредоносного кода в загрузчике, а если из надёжного, ищите более свежую версию, которая не вызывает предупреждения. Так сформулирована и рекомендация самой программы.

По FAQ Rufus уязвимости нашли в загрузчиках образов Windows, выпущенных до версии 24H2, а загрузчики 24H2 тоже предлагается считать отозванными. Поэтому предупреждение встречается на совершенно легальных образах, скачанных у Microsoft: они просто устарели относительно текущего списка отзыва. Вывод практический: решать нужно по тому, на каком компьютере и в каком режиме вы будете загружаться.

Исход зависит от компьютера, куда вы вставите флешку. Если Secure Boot выключен, загрузчик из образа запустится и предупреждение никак не проявится. Если Secure Boot включён, но список DBX на этом компьютере старый, загрузка тоже пройдёт. Если же Secure Boot включён и компьютер обновлён, система отвергнет загрузчик и покажет экран нарушения безопасности.

Именно эту картину видят пользователи с экраном «Secure Boot Violation: Invalid signature detected»; подробности — в материале про Secure Boot Violation. Если вы увидели это после записи, значит, предупреждение Rufus было справедливым, и либо образ нужно обновить, либо Secure Boot отключить.

• Secure Boot выключен — флешка загрузится, но защита загрузки на время отсутствует
• Secure Boot включён, DBX на компьютере старый — флешка загрузится, но так будет не всегда
• Secure Boot включён, DBX обновлён — загрузка остановится с экраном нарушения безопасности

Чистое решение — свежий образ. Скачивайте его только с сайта Microsoft: страница загрузки Windows предлагает образ ISO или программу Media Creation Tool, которая сама записывает флешку. Чем новее версия, тем меньше шансов на предупреждение. Если вы скачали образ год назад, скачайте новый, а не обновляйте Rufus в надежде, что окно исчезнет: окно связано с образом, а не с программой.

Проверьте и целостность. В Rufus после выбора образа рядом с кнопкой выбора есть значок расчёта контрольных сумм: он показывает MD5, SHA-1 и SHA-256 образа. Сравните SHA-256 с цифрой, которую публикует Microsoft на странице загрузки; совпадение подтверждает, что образ не подменён по дороге. Если Media Creation Tool не запускается, смотрите страницу про Media Creation Tool, который не запускается.

Образы сторонних «сборок» не берите вовсе: у них собственные загрузчики, и предупреждение в таком случае как раз по делу.

Бывают случаи, когда образ менять нельзя: нужна старая версия Windows под конкретную программу или образ Linux с устаревшим загрузчиком. Тогда единственный путь, как отмечает FAQ Rufus, — отключить Secure Boot на компьютере, куда ставите систему, пока загрузчики не обновятся.

В BIOS или UEFI найдите раздел Security или Boot и переключите Secure Boot в Disabled. Названия пунктов зависят от производителя, а вход в BIOS на каждой модели свой: подробный порядок описан в разборе как отключить Secure Boot в BIOS. После установки включите защиту обратно, порядок есть в разборе Secure Boot: как включить и зачем он нужен. Если после включения Windows не запускается, смотрите разбор после включения Secure Boot не запускается Windows.

Если на диске включено шифрование BitLocker, перед сменой настроек микропрограммы найдите ключ восстановления в аккаунте или на распечатке: после изменения Secure Boot Windows может его запросить.

Не обязательно заходить в BIOS, чтобы увидеть состояние защиты. Нажмите Win+R, введите msinfo32 и откройте «Сведения о системе». В правой части найдите строки «Режим BIOS» и «Состояние безопасной загрузки». Если режим «UEFI», а состояние «Вкл.», Secure Boot работает и неподходящий загрузчик будет отвергнут; если «Откл.» или режим «Устаревший», проверки нет и флешка загрузится.

Эта же проверка помогает выбрать схему разделов для флешки: компьютер в режиме UEFI обычно работает с GPT, а в режиме «Устаревший» — с MBR. Запишите результат и вспомните его, когда Rufus спросит про схему и целевую систему: так вы не запишете флешку, которая не загрузится по другой причине. Если строк в окне нет вовсе, значит, у компьютера старая микропрограмма без поддержки Secure Boot, и предупреждение Rufus к нему не относится.

Не путайте предупреждение об образе с загрузчиком самой программы. Для флешки с файловой системой NTFS Rufus добавляет собственный небольшой загрузчик UEFI:NTFS. По FAQ программы, начиная с версии 3.17 он подписан для Secure Boot, и из-за него отключать защиту не нужно. Предупреждение же относится к загрузчику внутри образа.

Для современного компьютера выбирайте схему разделов GPT и целевую систему UEFI (без CSM). Если ваш компьютер старый и работает в режиме Legacy, подойдёт MBR и BIOS, и Secure Boot там вообще нет. Неверный выбор схемы даёт совсем другую проблему: флешка не появляется в меню загрузки, и о ней рассказывает разбор BIOS не видит загрузочную флешку.

Microsoft объявила о замене сертификатов Secure Boot, выпущенных в 2011 году: срок их действия истекает в 2026 году, и компьютеры получают новые сертификаты через обновления Windows. Это одна из причин, по которой образы старых выпусков постепенно перестают проходить проверку на обновлённых машинах, а список отзыва растёт.

Практически это значит одно: образы Windows лучше качать заново перед каждой установкой, а не хранить «золотую» флешку годами. Старая флешка, которая вчера грузилась, на обновлённом компьютере завтра может уже не стартовать, хотя сама не менялась.

Если вы не хотите входить в BIOS и менять режимы сами, оставьте заявку. Мастер приедет по Москве и ближнему Подмосковью, осмотр и диагностика бесплатны независимо от вашего решения, а оплачивается только выполненная работа.

• Нужно установить Windows с флешки, образ и режим подобрать верно — работа: установка Windows, 1 300 ₽, срок 1–2 часа; подробности на странице установки Windows 11.
• Нужно войти в BIOS, отключить или включить Secure Boot — работа: настройка BIOS, 1 200 ₽; смотрите настройку BIOS и UEFI.
• Установка с сохранением файлов и драйверов — работа: переустановка Windows с драйверами, 1 800 ₽; смотрите переустановку Windows с сохранением данных.
• После смены режимов загрузка сломалась — работа: восстановление загрузки, 1 800 ₽; описано в услуге восстановления запуска Windows.
• Нужна установка Windows 10 на старый компьютер — работа: установка Windows, 1 300 ₽, на странице установки Windows 10 описан порядок.

Не храните образы Windows годами: скачивайте новый перед установкой и записывайте заново. Обновляйте Rufus до последней версии и давайте ему скачивать обновлённые данные DBX, когда он просит. Подписывайте флешки лентой с датой записи.

Перед установкой на рабочий компьютер сделайте пробную загрузку с флешки до удаления разделов: если загрузчик отвергнут, вы узнаете об этом сразу, а не после стирания диска. Если компьютер принадлежит организации, уточните у администратора, можно ли менять режим Secure Boot, потому что на управляемых машинах эта настройка нередко закрыта политикой, и обходить её самостоятельно не стоит. Заодно проверьте, что у вас есть доступ к ключу BitLocker и резервной копии нужных файлов: настройки микропрограммы меняют редко, но именно в такой момент любая мелочь превращается в потерю данных.

Если часто ставите системы на разные компьютеры, держите две флешки: с актуальным образом для обновлённых машин и отдельную для старых. И не отключайте Secure Boot насовсем только ради того, чтобы флешка запускалась: после установки защиту включают.