计算机用户通常不会花时间去思考安全启动（Secure Boot）功能。但这项Windows安全功能却为抵御危险的恶意软件提供了至关重要的保护——而有些电脑刚刚失去了这份保护。那么，安全启动究竟是什么？你又为何该关注近来关于它的种种消息？实际情况比你想象的要复杂，而且还需要你亲自动手操作一番。
以下是需要了解的内容。
何为安全启动
安全启动旨在防止来历不明的软件在Windows启动前运行。它是为了应对引导套件（bootkit）这类攻击而生，这种攻击方式兴起于2000年代中期。攻击者会将恶意代码植入引导序列，从而在系统检测不到的情况下修改Windows，并逃避杀毒软件的查杀。
从Windows 8开始，微软（Microsoft）便通过实施安全启动来阻断此类恶意软件。它的推出极大地提升了PC的安全性。
安全启动如何工作
你可以将安全启动想象成一个戒备森严大楼的检查站。只有名单上允许的人才能进入，并且需要安检人员核实身份后才能放行。
在你的电脑上，安全启动就是执行这种筛查的“安检员”。它依赖于包含加密信息的安全证书，来验证启动Windows所需的驱动程序及其他组件。
在该类比中，安全启动就是安检员。启动时加载的代码是出示身份证件（数字签名）的人。而安全证书则是包含获准进入者身份信息的数据库。
引导套件瞄准的就是Windows加载前的这段启动时间。
我为何需要新的安全启动证书
许多PC出厂时搭载的是2011年签发的原始版本证书。只有较新的电脑才会预装2023年的下一套证书。
2011年签发的安全启动证书原定于2026年，即15年后到期。用微软自己的话来说，这个计划是“为了确保Windows设备能持续验证受信任的启动软件”。目前，四张证书中有三张已经达到生命周期终点（发生在2026年6月底）。第四张将于2026年10月到期。
过期的证书意味着你的PC保护能力被削弱——安全启动将无法阻止针对你启动过程的新型攻击。更新到2023年的证书，才能保持对引导套件及其他针对启动过程的恶意软件的一贯防御。
如何判断我的安全启动证书是否过时
你必须在Windows中手动确认安全启动证书是否是最新的——能正常启动进入Windows并不能证明证书有效。一台PC即便使用的是过期的2011年证书，也仍然可以进入Windows。
大多数情况下，Windows会通知你这个问题，线索之一是在任务栏上看到一个带有黄色或红色标记的蓝色盾牌图标。
否则，请打开Windows安全应用，然后选择“设备安全”。如果看到一个绿色的勾号，说明你拥有2023年的安全启动证书，并且是最新状态。如果出现黄色或红色的警告，则说明你必须采取行动。
安全启动真的必要吗
现在网络评论经常建议不必担心UEFI/BIOS层面的恶意软件，称只有成为政府攻击目标的人才需要担心。例如，你是一个报道朝鲜的记者。但这种态度可以追溯到安全启动在Windows中的存在。在这个功能实施之前，我也曾经历过那段岁月。即便你不是国家资助黑客的目标，也有可能感染引导套件。
因此，你可以让PC在安全启动证书过期的情况下继续运行，就像你可以在“检查引擎”灯亮起时继续开车一样。但忽视警告，日后可能会引发巨大的麻烦。
清除影响引导序列的恶意软件极为麻烦，无论是检测还是清除都很棘手。安全启动提供的保护在于，一旦发生这种情况，系统将无法启动。你至少能提前得知自己的PC遭到了恶意破坏。
如何获取更新的安全启动证书
大多数Windows PC已经通过推送获得了2023年的安全启动证书。如果你看到绿色的勾号，那么你就万事大吉，无需再担心。
如果你看到黄色或红色的警告，就需要更深入地介入你的电脑——查看你的设备是否会得到制造商的更新支持，是否需要手动更新UEFI/BIOS，等等。你可以在我们的安全启动更新指南中阅读更多关于具体操作和步骤的内容。
微软会自动向能够支持的PC推送2023年的安全启动证书。这就是你可能需要更新电脑UEFI/BIOS的原因。
如果我无法获得更新的安全启动证书会怎样
接下来的步骤取决于你的PC是收到了黄色警告还是红色警告。黄色警告通常意味着你只需再耐心等待一段时间（并确保你的UEFI/BIOS是最新的）。
红色警告可能意味着你的PC无法获得新的安全启动证书。一些制造商已经声明，对某些已达到生命周期终点产品停止支持。这意味着你将无法获得更新至2023年新证书所需的UEFI/BIOS更新。
在这种不幸的情况下，你有两个主要选择。如果坚持使用Windows，你就需要购买一台新电脑。或者，你需要熟悉Linux——特别是那些能够弥补这一差距的发行版。
