Как отключить Secure Boot в Windows — полное пошаговое руководство

Быстрая навигация

• Что такое Secure Boot
• Как отключить Secure Boot в Windows 10 и Windows 11
• Вход в UEFI/BIOS
• Где найти опцию Secure Boot на популярных брендах
• Если опция не отображается — отладка и советы
• Как проверить статус Secure Boot в Windows и Linux
• Когда отключать Secure Boot и риски
• Альтернативы и дополнительные подходы
• Проверочный чеклист и руководство для администратора
• Частые вопросы

Введение и суть

Secure Boot — это функция безопасности современных ПК, реализуемая в прошивке UEFI. Кратко: при включённом Secure Boot прошивка проверяет цифровые подписи компонентов, которые пытаются запуститься до ОС (загрузчики, драйверы, модули ядра). Если подпись отсутствует или недействительна, код не запускается, что защищает систему от «bootkit» и других атак на ранних стадиях загрузки.

Одним предложением: Secure Boot подтверждает, что на раннем этапе запуска запускается только доверенный код.

Важно понимать, что Secure Boot — часть цепочки доверия UEFI и не заменяет антивирус или другие механизмы защиты, но заметно усложняет подмену загрузчика и заражение до старта ОС.

Что нужно знать перед началом

• Отключение Secure Boot снижает защиту от атак на фазе загрузки. Делайте это только при веской необходимости (установка неподписанного ОС, старое оборудование или специфические драйверы).
• Некоторые современные игры с античитом и Windows 11 требуют поддержки Secure Boot. Убедитесь, что отключение не помешает работе нужных приложений.
• Процедуры в BIOS/UEFI зависят от производителя и версии прошивки; последовательность и названия пунктов могут отличаться.

Как отключить Secure Boot в Windows 10 и Windows 11

Ниже приводится расширённая инструкция с несколькими путями доступа к меню UEFI/BIOS и с советами для популярных брендов.

Шаг 1. Подготовка и резервирование

1. Сохраните все открытые файлы и закройте приложения.
2. Создайте точку восстановления Windows или резервную копию важных данных — отключение Secure Boot обычно безопасно, но лучше иметь резерв.
3. Если работаете на ноутбуке, подключите питание.

Шаг 2. Вход в меню UEFI/BIOS через «Дополнительные параметры загрузки»

1. Откройте меню «Пуск», нажмите кнопку питания, удерживайте Shift и выберите «Перезагрузить». Удерживайте Shift до появления меню «Дополнительные параметры загрузки».
2. В меню нажмите «Поиск и устранение неполадок» затем «Дополнительные параметры», далее «Параметры прошивки UEFI» и «Перезагрузить». После перезагрузки откроется меню прошивки UEFI/BIOS.

Альтернативный путь: откройте поиск Windows, введите Advanced Startup, запустите соответствующий элемент и нажмите Restart Now.

Еще один быстрый метод: при выключенном питании нажмите и удерживайте специальную клавишу производителя (F1, F2, F10, F12, Del и т. д.) и затем включите устройство. Для некоторых моделей, например Microsoft Surface, нужно удерживать кнопку увеличения громкости.

Шаг 3. Поиск опции Secure Boot в меню прошивки

Разные производители размещают опцию в разных разделах. Общие места:

• Security
• Boot
• Authentication
• Windows OS Configuration

Пример для MSI: Settings → Advanced → Windows OS Configuration → Secure Boot.

После попадания в меню Secure Boot вы увидите текущий статус. Чтобы отключить, выберите Disable или аналогичную опцию, затем сохраните изменения и выйдите из BIOS/UEFI.

Шаг 4. Что делать, если не удаётся переключить опцию Secure Boot

На некоторых системах при попытке изменить Secure Boot можно увидеть сообщение типа “System in Setup Mode! Secure Boot can be enabled when System in User Mode. Repeat operation after enrolling Platform Key(PK).” В этом случае действуйте так:

1. Переключите Secure Boot Mode с Standard на Custom.

2. Затем верните обратно в Standard и при запросе выберите Install Factory Defaults.

3. Если есть подсказка о выходе без сохранения, выберите No, чтобы не потерять изменения.

После этих шагов переключение Secure Boot должно заработать.

Где искать опцию Secure Boot по производителям

Краткая таблица-ориентир:

• MSI: Settings → Advanced → Windows OS Configuration → Secure Boot
• ASUS: Security или Boot
• Gigabyte: Security или Boot
• Lenovo: Security или Startup
• Dell: Boot или Boot Sequence
• HP: System Configuration → Boot Options
• Acer: Security или Boot

Если не уверены, найдите в интернете «как отключить Secure Boot на [модель вашей платы или ноутбука]».

Как проверить статус Secure Boot в Windows и Linux

Windows:

1. Откройте Поиск Windows, введите System Information и запустите приложение.
2. Найдите строку Secure Boot State. Значение On означает включённый Secure Boot, Off — выключенный.

Альтернативно в PowerShell (запуск от администратора):

Confirm-SecureBootUEFI

Команда вернёт True для включённого Secure Boot, False для выключенного. Если команда отсутствует, это значит, что Windows не поддерживает проверку в текущей среде или вы не в режиме UEFI.

Linux:

На дистрибутивах с пакетом mokutil:

sudo mokutil --sb-state

Команда выведет состояние Secure Boot и полезна при установке Linux в режиме UEFI.

Когда отключать Secure Boot и какие есть риски

Когда стоит рассмотреть отключение:

• Установка старой версии Windows или неподписанного загрузчика.
• Установка некоторых старых драйверов или устройств, которые не имеют подписи.
• Необходимость загрузки утилит и дистрибутивов, которые не поддерживают Secure Boot.

Противопоказания к отключению:

• Отключение уменьшает защиту от загрузочных атак и rootkits.
• Современные игры и античит-системы могут требовать включённый Secure Boot.
• При работе в корпоративной сети отключение может нарушить политики безопасности.

Совет: если нужно загрузить неподписанное ПО временно, после завершения работ верните Secure Boot в исходное состояние.

Альтернативы отключению Secure Boot

1. Использовать подписанный загрузчик или shim. Многие Linux-дистрибутивы поставляются с подписанным shim, который позволяет загружать неподписанные модули через механизм подписки MOK (Machine Owner Key).
2. Зарегистрировать собственный ключ MOK и подписать модуль вручную (подходит для разработчиков и системных администраторов).
3. Обновить устройство или драйвер до версии с цифровой подписью.

Эти подходы сохраняют защиту Secure Boot и позволяют установить необходимое ПО без его отключения.

Практические сценарии: примеры и когда подход не сработает

Кейс 1. Установка Ubuntu рядом с Windows 11. Если дистрибутив использует подписанный shim, Secure Boot можно оставить включённым. В противном случае потребуется либо зарегистрировать MOK, либо временно отключить Secure Boot.

Кейс 2. Установка старого оборудования с неподписанными драйверами. Тут отключение Secure Boot может быть единственным простым решением, но учитывайте риски безопасности.

Кейс 3. Корпоративный ноутбук с политиками UEFI и поддержкой Windows Autopilot. В таких случаях администраторский контроль может препятствовать изменению параметров Secure Boot.

Чеклист перед изменением Secure Boot

Для пользователя:

• Создана резервная копия важных данных.
• Зарегистрированы пароли BIOS/UEFI (при необходимости).
• Задокументировано текущее состояние Secure Boot и ключей.
• Понимаете, почему отключаете Secure Boot и как восстановить.

Для администратора:

• Проверены политики групповой безопасности и корпоративные требования.
• Подготовлен план отката и тестирования после изменения.
• Убедились, что критичные приложения совместимы с изменением.

Руководство для системного администратора — SOP

Цель: безопасно отключить Secure Boot на целевом устройстве и при необходимости вернуть его обратно.

Шаги:

1. Оценка влияния и согласование с владельцем системы.
2. Создание резервных копий и снимков дисков.
3. Документирование текущего состояния (скриншоты, System Information).
4. Доступ в UEFI/BIOS через Advanced Startup или аппаратную клавишу.
5. Переключение Secure Boot на Disable. Если опция недоступна, выполнить процедуру с Custom/Standard и установкой заводских ключей.
6. Сохранение и перезагрузка.
7. Функциональное тестирование ОС и приложений.
8. Документирование окончательных изменений и, при необходимости, план восстановления.

Критерии приёмки

• ОС загружается корректно.
• Целевые приложения работают.
• Статус Secure Boot отражает ожидаемое значение.
• В журнале изменений записаны все действия и время.

План отката и инцидентный сценарий

Если после отключения Secure Boot произошли проблемы:

1. Войдите в UEFI/BIOS и верните Secure Boot в исходное состояние (Enable).
2. Если система не загружается, восстановите из ранее созданного образа или точки восстановления.
3. При невозможности загрузки используйте внешний носитель live-USB для диагностики и восстановительных действий.
4. Проанализируйте логи и восстановите целостность загрузчика (например, восстановление BCD для Windows).

Проверочные тесты и критерии приёмки

• Проверка 1: После изменения Secure Boot приложение, ранее не работавшее, запускается.
• Проверка 2: В System Information Secure Boot State соответствует ожидаемому.
• Проверка 3: После включения Secure Boot система корректно возвращается в защищённый режим.

Команды и сниппеты

PowerShell для проверки:

# Возвращает True/False или ошибку, если проверка невозможна
Confirm-SecureBootUEFI

Linux:

# Показывает состояние Secure Boot на большинстве дистрибутивов
sudo mokutil --sb-state

Проверка в Windows через System Information:

1. Нажмите Windows + R, введите msinfo32 и нажмите Enter.
2. Найдите строку Secure Boot State.

Модель принятия решений и схема действий

flowchart TD
  A[Нужна ли установка неподписанного ПО?] -->|Нет| B[Не меняем Secure Boot]
  A -->|Да| C[Можно ли использовать подписанный shim или MOK?]
  C -->|Да| D[Используем shim или регистрируем MOK]
  C -->|Нет| E[Отключаем Secure Boot временно]
  E --> F[Проводим установку и тестирование]
  F --> G[Возвращаем Secure Boot в исходное состояние]
  G --> B

Совместимость и миграционные заметки

• Windows 11 требует поддержку Secure Boot на уровне оборудования, но не обязует включение во время установки. Однако некоторые функции и требования (например, ряд политик безопасности) ожидают наличие поддержки Secure Boot.
• Если планируете переход на Linux, проверьте, использует ли дистрибутив подписанный загрузчик (shim) и поддерживает ли mokutil для регистрации собственных ключей.
• Для старых систем без UEFI переход к современному оборудованию может быть единственным способом сохранить защиту загрузки.

Примечания по безопасности

• Отключение Secure Boot уменьшает барьер для атак на ранних стадиях загрузки.
• По возможности используйте альтернативы: подписанные загрузчики, регистрация ключей MOK, обновление драйверов.

Частые вопросы

Как быстро проверить, включён ли Secure Boot?

Откройте System Information (msinfo32) и посмотрите Secure Boot State. Альтернативно используйте Confirm-SecureBootUEFI в PowerShell или sudo mokutil –sb-state в Linux.

Нужен ли Secure Boot для Windows 11?

Windows 11 требует, чтобы система поддерживала Secure Boot, но он не обязательно должен быть включён при установке если аппарат поддерживает эту опцию. Тем не менее Microsoft и некоторые приложения рекомендуют иметь включённую поддержку Secure Boot.

Можно ли восстановить Secure Boot после отключения?

Да. Просто вернитесь в UEFI/BIOS и включите Secure Boot. При необходимости загрузите или установите заводские ключи платформы (Install Factory Defaults).

Что такое MOK и стоит ли им пользоваться?

MOK (Machine Owner Key) — способ зарегистрировать собственный ключ для загрузки неподписанных модулей, чаще используется в Linux. Это безопаснее, чем полностью отключать Secure Boot, так как вы сохраняете механизм проверки и добавляете только нужные ключи.

Краткое резюме

• Secure Boot защищает раннюю фазу загрузки, проверяя цифровые подписи кода.
• Отключение требует входа в UEFI/BIOS и изменения параметра Secure Boot на Disable.
• Если опция не видна, используйте переход в Custom/Standard и установку заводских ключей или включите расширенный режим BIOS.
• По возможности используйте альтернативы: подписанные загрузчики, MOK или обновлённые драйверы.

Выполнив указанные шаги и пользуясь чеклистом, вы сможете безопасно отключить или вернуть Secure Boot, сохранив контроль над совместимостью и уровнем безопасности системы.