secure boot uefi 的微软ca证书2011于2026年6月24号过期，需要更新为2023签发的ca证书，ca证书有4个，

本方法在win10下测试通过。

win下验证2023证书是否已经存在的方法，在powershell（管理员权限）里执行如下四条命令，返回true说明新证书已经存在bios里：

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match'Windows UEFI CA 2023'

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match'Microsoft UEFI CA 2023'

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Option ROM UEFI CA 2023'

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI kek).bytes) -match 'KEK 2K CA 2023'

方法一：手动增加

如果主板支持手动加入可以，自己下载微软证书官方站获取：

实际上，如果固件能够支持手动导入证书，也可以试着自己导入。MS 给了四个证书的下载链接：
Windows UEFI CA 2023：https://go.microsoft.com/fwlink/?linkid=2239776
Microsoft Corporation KEK 2K CA 2023：https://go.microsoft.com/fwlink/p/?linkid=2239775
Microsoft UEFI CA 2023：https://go.microsoft.com/fwlink/?linkid=2239872
Microsoft Option ROM UEFI CA 2023：https://go.microsoft.com/fwlink/?linkid=2284009

下载到本地磁盘中，证书以.crt形式存在。以华硕主板为例，进入bios里，‘启动’-》”更新安全启动的数字签名“-》“db库”，（除了kek 2k 那个放在kek里，其他三个都放到db里）在默认库的基础之上，追加新的ca证书，即可。

方法二：在win下自动增加

如果主板不支持，手动更新，可以在win下powershell（管理员权限）里执行下面的命令：

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

Start-ScheduledTask -TaskName “\Microsoft\Windows\PI\Secure-Boot-Update”

理论上很快，新证书就装上了，可以通过上面的方法验证：

PS C:\Windows\system32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match'Windows UEFI CA 2023'
True
PS C:\Windows\system32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match'Microsoft UEFI CA 2023'
True
PS C:\Windows\system32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Option ROM UEFI CA 2023'
True
PS C:\Windows\system32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI kek).bytes) -match 'KEK 2K CA 2023'
True
PS C:\Windows\system32>