一、Secure Boot是什么？

1.1 基本概念

Secure Boot（安全启动）是UEFI固件规范2.3.1版引入的一项安全功能。它的核心作用是：在电脑启动过程中，验证每个启动加载程序的数字签名，只允许受信任的代码执行，从而阻止rootkit、bootkit等底层恶意软件的加载。

1.2 工作原理

Secure Boot基于公钥基础设施（PKI）工作：

1. 平台密钥（PK）：由电脑制造商或用户设置，是信任链的根
2. 密钥交换密钥（KEK）：用于更新签名数据库
3. 签名数据库（db）：包含允许启动的签名列表
4. 禁止签名数据库（dbx）：包含被禁止的签名列表（已知恶意软件）

启动流程：

固件启动 → 检查PK → 验证启动加载程序签名 → 
签名在db中？→ 是：允许启动 / 否：拒绝启动

1.3 Secure Boot与Windows 11

Windows 11将Secure Boot列为最低系统要求之一。这意味着：

• 安装Windows 11需要主板支持并开启Secure Boot
• 部分Windows 11功能（如基于虚拟化的安全）依赖Secure Boot
• 但开启Secure Boot可能影响某些启动盘和Linux发行版的使用

二、各品牌电脑Secure Boot设置方法

2.1 联想（Lenovo）

进入BIOS：开机按F2或Fn+F2

设置路径：

Security → Secure Boot → Secure Boot [Enabled/Disabled]

注意事项：

• 部分机型需要先设置管理员密码才能修改Secure Boot
• ThinkPad系列：Security → Secure Boot
• IdeaPad系列：Configuration → Secure Boot

2.2 戴尔（Dell）

进入BIOS：开机按F2

设置路径：

Secure Boot → Secure Boot Enable → [Enabled/Disabled]

注意事项：

• 较新机型：左侧菜单直接找到Secure Boot
• 旧机型：Boot Sequence → Secure Boot
• 部分机型需要关闭Legacy Option ROMs

2.3 惠普（HP）

进入BIOS：开机按F10

设置路径：

Security → Secure Boot Configuration → Secure Boot [Enabled/Disabled]

注意事项：

• 部分机型：Advanced → Secure Boot Configuration
• 可能需要先禁用Legacy Support
• 消费级机型：F10进入BIOS → Security选项卡

2.4 华硕（ASUS）

进入BIOS：开机按F2或Del

设置路径：

Boot → Secure Boot → OS Type [Windows UEFI mode/Other OS]

注意事项：

• "Windows UEFI mode" = 开启Secure Boot
• "Other OS" = 关闭Secure Boot
• 部分机型：Advanced Mode（F7）→ Boot → Secure Boot

2.5 微星（MSI）

进入BIOS：开机按Del

设置路径：

Settings → Advanced → Windows OS Configuration → Secure Boot [Enabled/Disabled]

注意事项：

• 需要先将BIOS Mode设置为UEFI
• 部分主板：Security → Secure Boot

2.6 技嘉（Gigabyte）

进入BIOS：开机按Del或F2

设置路径：

BIOS → Secure Boot → Secure Boot Enable [Enabled/Disabled]

注意事项：

• 需要先将CSM Support关闭
• 部分主板：Security → Secure Boot

三、Secure Boot与U盘启动盘

3.1 为什么Secure Boot会影响U盘启动？

当Secure Boot开启时，固件只会加载带有有效数字签名的启动程序。以下情况可能导致U盘无法启动：

• U盘启动盘使用的引导程序未签名或签名不在db中
• 使用了非官方的PE系统镜像
• 某些Linux发行版的引导程序未被微软签名

3.2 晨枫U盘启动盘与Secure Boot

晨枫U盘启动盘制作工具制作的启动盘：

• 标准模式：支持Secure Boot，使用已签名的引导程序
• 兼容模式：关闭Secure Boot支持，兼容性更好

建议：

• 安装Windows系统时：可以开启Secure Boot
• 使用PE维护系统时：建议关闭Secure Boot以获得最佳兼容性
• 日常使用：根据需求灵活切换

3.3 临时关闭Secure Boot的方法

如果只是为了临时使用U盘启动盘，不需要永久关闭Secure Boot：

1. 进入BIOS设置
2. 关闭Secure Boot
3. 从U盘启动完成维护操作
4. 重新进入BIOS开启Secure Boot

部分电脑支持"一键临时关闭"功能，重启后自动恢复。

四、Secure Boot常见问题

4.1 开启Secure Boot后无法启动

症状：开机显示"Secure Boot Violation"或"Invalid Signature"

解决方法：

1. 进入BIOS关闭Secure Boot
2. 检查启动介质是否支持Secure Boot
3. 更新主板BIOS到最新版本
4. 重新安装操作系统

4.2 安装Linux时Secure Boot冲突

解决方案：

• 选择支持Secure Boot的Linux发行版（Ubuntu、Fedora等）
• 在BIOS中关闭Secure Boot
• 使用Shim引导程序（包含微软签名的Linux引导加载器）

4.3 Secure Boot密钥管理

清除密钥：

BIOS → Secure Boot → Clear Secure Boot Keys / Restore Factory Keys

自定义密钥（高级用户）：

1. 生成自己的PK、KEK、db密钥
2. 通过BIOS或efi-var工具导入
3. 用自己的密钥签名引导程序

4.4 检查Secure Boot状态

在Windows中检查：

:: 使用msinfo32查看
msinfo32
:: 查看"安全启动状态"一行

:: 或使用PowerShell
Confirm-SecureBootUEFI

在Linux中检查：

# 检查Secure Boot状态
mokutil --sb-state

# 或查看sysfs
cat /sys/firmware/efi/efivars/SecureBoot-*

五、Secure Boot最佳实践

5.1 家庭用户建议

场景	Secure Boot设置	说明
日常使用Windows	开启	提供基础启动保护
安装新系统	临时关闭	确保启动盘兼容
使用PE维护	关闭	获得最佳工具兼容性
双系统（Win+Linux）	视情况	Ubuntu等支持，其他建议关闭

5.2 企业用户建议

• 统一开启Secure Boot，配合BitLocker实现完整启动链保护
• 使用MDM/SCCM集中管理Secure Boot策略
• 定期更新dbx（禁止签名数据库）以防御已知威胁

5.3 安全与兼容的平衡

Secure Boot是一项重要的安全功能，但在实际使用中需要权衡：

• 安全性：开启Secure Boot可以阻止底层恶意软件
• 兼容性：关闭Secure Boot可以获得更好的启动盘兼容性
• 灵活性：根据使用场景灵活切换是最佳策略

---

本文发布于2026年5月24日，适用于主流UEFI固件。更多晨枫U盘工具使用教程请访问晨枫U盘启动盘官网。