A segurança dos sistemas operacionais da Microsoft passa por mudanças constantes. Recentemente, a empresa colocou em vigor novas diretrizes relacionadas ao certificado do Secure Boot. Com o lançamento das novas imagens ISO do Windows 11 e versões futuras, muitos computadores que não tiverem esse certificado instalado corretamente podem enfrentar problemas ao tentar dar boot no sistema ou até mesmo ao criar um pen drive bootável.
Se a sua BIOS exigir o novo certificado e o seu computador não o possuir, o sistema não iniciará. Embora desabilitar o Secure Boot seja uma solução temporária, isso deixa a sua máquina exposta e vulnerável a ameaças. Diante disso, fabricantes como Dell, ASUS, Lenovo, HP, Acer, MSI e LG vêm orientando seus usuários a aplicarem a atualização.
Se o Windows Update não instalou essa credencial automaticamente na sua máquina — gerando avisos na Central de Segurança do Windows Defender —, confira abaixo como realizar a atualização manual de forma simples e segura utilizando o Rufus. E além do Rufus é possível fazer isso via linux veja aqui.
Por que Atualizar o Certificado do Secure Boot?
No painel de Segurança do Windows (em Segurança do Dispositivo), diversos usuários têm se deparado com alertas informando que o Secure Boot está habilitado, mas o certificado não foi instalado corretamente via Windows Update.
A própria Microsoft incentiva a utilização de ferramentas manuais para fazer a implantação do certificado nesses cenários. Sem ele, além da vulnerabilidade a falhas de segurança, o computador não conseguirá autenticar a inicialização de novas ISOs do sistema operacional.
Pré-requisitos para o Procedimento
Para realizar o processo em máquinas reais (sejam desktops tradicionais, notebooks ou placas-mãe chinesas), você precisará de:
Um pen drive (pode ser de 1 GB, 4 GB, 16 GB ou 32 GB);
O software Rufus (baixado pelo site oficial, Microsoft Store ou GitHub em versão portátil ou beta);
Acesso às configurações da BIOS/UEFI do seu computador.
Passo a Passo: Preparando o Pen Drive no Rufus
Conecte o Pen Drive: Insira o dispositivo USB em uma porta disponível no seu computador.
Execute o Rufus: Abra o programa e selecione o seu pen drive.
Alterne o Modo de Seleção: Clique no menu ao lado do botão de seleção de imagem ISO (selecione baixar e clique no botão) e escolha a opção para utilizar o UEFI Shell 2.2 (ou OFISHALL 2.2).
Selecione a Versão do Windows: Na janela que se abrirá, selecione a versão correspondente do seu sistema (como a versão 24H2, 25H2 ou superiores) e clique em Continuar.
Finalize a Seleção de Arquivo: Avance nas janelas mantendo as opções padrão sem alterar as configurações de navegação até salvar o arquivo na sua máquina.
Inicie a Gravação: Com tudo configurado, clique em Iniciar no Rufus (utilizando o esquema de partição GPT ou MBR, conforme a compatibilidade da sua BIOS) e confirme com OK para concluir a criação do pen drive.
Aplicando o Certificado na BIOS (Modo Setup)
Com o pen drive pronto, o processo de instalação na placa-mãe requer alguns passos dentro do ambiente de firmware do PC:
- Ajustes Iniciais na BIOS
Reinicie o computador e acesse a BIOS (geralmente pressionando as teclas Delete ou F2).
Certifique-se de que o suporte ao CSM esteja desabilitado.
Desabilite o Secure Boot (porém funciona com secure boot habilitado), salve as alterações e reinicie o PC. Na imagem abaixo você não deve ainda entrar no Setup Mode aguarde os comandos que serão solitados a seguir.
- Executando o Comando no UEFI Shell
Inicie o computador dando boot diretamente pelo pen drive criado no Rufus.
Quando a tela de contagem do UEFI Shell carregar, digite o comando abaixo e pressione Enter:mosby
O script solicitará a ativação do Setup Mode (já exibido na imagem do passo 1 ou na segunda imagem abaixo) (Modo de Configuração). Selecione a opção Yes e confirme.
Habilitando o Modo Setup e Finalizando
Reinicie novamente para entrar na BIOS.
Vá até a aba de Secure Boot e selecione a opção para resetar as chaves de segurança / entrar em Setup Mode (Reset to Setup Mode).
Adicional: Quando você entra no Setup Mode (PC desktop) sua placa mãe fica protegida esperando você adicionar as chaves manualmente dos certificados. No entanto, você pode sair do Setup Modde a hora que quiser. Outro cenário seria você não ter conseguido inserir as chaves por algum motivo. Você pode voltar na BIOS da sua placa mão e sair do Setup Mode e tudo volta ao normal. Para sair do Setup Mode (pelo menos no modelo abaixo) você seleciona a opção “Restore Factory Keys” clica Yes e pronto. A placa mãe volta ao normal (ou seja, volta da forma que estava anteriomente).
Salve, reinicie e dê boot novamente pelo pen drive USB.
Aguarde a tela do UEFI Shell e digite o comando mosby mais uma vez.
Selecione OK e, na janela seguinte, confirme a opção Generate pressionando Enter.
O assistente irá aplicar e validar as credenciais do novo certificado na placa-mãe. Após a conclusão bem-sucedida, basta confirmar o reinício da máquina clicando em YES.
Verificação e Conclusão
Ao retornar para a BIOS na guia de Secure Boot ou ao checar a Central de Segurança do Windows, você observará que todas as chaves e certificados mais recentes estarão devidamente instalados e autorizados.
Com essa atualização, seu sistema estará protegido contra vulnerabilidades e pronto para dar boot em futuras versões e ISOs do Windows sem transtornos.
