Neue Secure Boot Zertifikate Lenovo sagt JA ?

[Chri5]

Hallo zusammen,

meine Hardware:

ThinkPad T14 Gen1 AMD
1x AMD Ryzen 7 PRO 4750U Processor(Ryzen 7 PRO 4750U)
1x AMD Radeon Graphics
16GB RAM
1x 256GBPCIeNVMeOP

Auf meinem T14 Gen 1 sind noch die alten Secure Boot Zertifikate.
Eine Suche auf der Hersteller Seite ergab, dass Lenovo jedoch auch die ältere Generation bis zu bestimmen Modellreihen mit den neuen Zertifikaten unterstützen möchte....zumindest lese ich das so heraus ;-)

Folgende Info von Lenovo:

Ablauf des Microsoft Secure Boot-Zertifikats 2011 – Lenovo Commercial PCs

Bitte die Seite auf englische darstellen lassen, da in der übersetzten deutschen Seite keine Liste der Modell Reihe angezeigt wird.

Wie man dort sehen kann, wird die T14 Gen1 Reihe für AMD und INTEL mit einem BIOS bedacht, welches die neuen Zertifikate für KEK CA 2011, PCA 2011 und CA 2011 einspielen soll.

In meinem Fall:

T14 Gen 1 AMD 20UD, 20UE R1BET85W (v1.54)

Kurioserweise zeigt der Link zur v1.54 jedoch nur alle Versionen bis 1.53 an:

Verlinkte BIOS Versionen für das Modell

Eine 1.54 wird auf der Produktseite nirgendwo erwähnt.

Die Frage ist nun, warum teilt Lenovo auf der Seite zum Thema Secure Boot Zertifikat, für die T14er Reihe eine BIOS in Version 1.54 mit, aber gibt für diese auf der verlinkten Produktseite keine genaueren Infos zum Stand?

Soll das nun noch etwas kommen oder bleibt die T14er Reihe hier außen vor ?

Was passiert eigentlich mit den Windows Installationen, die mit Secure Boot unter den alten Zertifikaten erstellt wurden ab Juli 26?


Habt ihr zum erwähnten 1.54 Update irgendwelche Infos?



Danke im Voraus.

 

[Cicla]

Bei einer 08/15-Installation schon. Aber ganz ohne Tricks bekommst Du 11 sowieso nicht aufs T530. Wenn Du aber das Installationsmedium mit z.B. Rufus erstellst, dann kannst Du SecureBoot abstellen.

Klar, MS möchte nicht, dass man 11 auf Geräten mit TPM 1.2-Chip und Core-i-Prozessoren der 3. Generation installiert. Danke für den Rufus-Tipp, ich wusste nicht, dass man secure boot da abstellen kann.

Mit 24H2 wird mindestens ein Core-I CPU benötigt, ab T510. Die 24H2 funktioniert nicht auf einem Core2Duo T500.
Ein Upgrade von 24H2 auf 25H2, 26H2, 27H2, ... mag auf historischer Hardware manuelle Eingriffe benötigen.
In einem nicht produktiven, nicht sicherheitskritischen Bereich, mit kontrolliertem Zugang zum Rechner halte ich Secure Boot auf historischer Hardware für entbehrlich. Hier im Thread finde ich es interessant, technische Grenzen auszuloten.

Meiner hat einen 3630QM (Ivy-Bridge), daran wird es also nicht scheitern. Und ja: Das ist ein rein privater Rechner in meinem privaten WLAN, den nur ich nutze. Für den Job habe ich ein Macbook mit M3 von meinem Arbeitgeber. Da der T530 bisher völlig problemlos läuft, auch keineswegs langsam, sehe ich einfach nicht ein, mir etwas Neues zu kaufen... danke nochmal für die Tipps!

 

[linrunner]

Dieser heise-Artikel (Paywall) beleuchtet die Problematik aus Linux-Sicht:

Auswirkungen der neuen Secure-Boot-Zertifikate für Linux

Nach 15 Jahren sind die Secure-Boot-Zertifikate abgelaufen, mit denen auch Linux-Bootloader signiert sind. Wir erklären, welche Auswirkungen das auf Linux hat.

www.heise.de

 

[der_holzwurm]

Dieser heise-Artikel (Paywall) beleuchtet die Problematik aus Linux-Sicht:

Auswirkungen der neuen Secure-Boot-Zertifikate für Linux

Nach 15 Jahren sind die Secure-Boot-Zertifikate abgelaufen, mit denen auch Linux-Bootloader signiert sind. Wir erklären, welche Auswirkungen das auf Linux hat.

www.heise.de

Schade, ist mit paywall.

 

[hha81667]

Schade, ist mit paywall

schreibt er ja

 

[der_holzwurm]

upsi

habe ich glatt überlesen.....

 

[bodu]

Das Zertifikat Windows Production PCA 2011 läuft am 19. Oktober 2026 aus. https://support.microsoft.com/en-us...re-boot-certificate-expiration-and-ca-updates
Das hat keine akute Aufwirkung, Rechner booten weiterhin.

Neue Bootloader können nicht PCA 2011 signiert werden. PCA 2011 bootlader sind nicht mehr gewartet.

Akutell wird PCA 2011 nicht automatisch in die dbx aufgenommen und damit gesperrt.
Das kann so übernommen werden. Warten was in der Zufunft automatisch gesetzt wird.

Oder im Hinblick auf klare Verhältnisse kann PCA 2011 manuell gesperrt werden.

Ist der Windows UEFI CA 2023 bootloader aktiv:
Powershell

mountvol.exe S: /S
(Get-PfxCertificate -FilePath "S:\EFI\Microsoft\Boot\bootmgfw.efi").issuer
(Get-SecureBootSVN -BootManagerPath "S:\EFI\Microsoft\Boot\bootmgfw.efi").BootManagerSVN

(Get-PfxCertificate -FilePath "S:\EFI\Boot\bootx64.efi").issuer
(Get-SecureBootSVN -BootManagerPath "S:\EFI\Boot\bootx64.efi").BootManagerSVN
mountvol.exe S: /D

Get-SecureBootSVN

issuer 'CN=Windows UEFI CA 2023' und akutell BootManagerSVN 12.0 sollte angezeigt werden.


Mit Oktober 2026 Update enthält die DBXUpdate2024.bin CA2011, keine SVN mehr. Im September wurde noch gleichzeitig eine SVN gesetzt.
CA2011 in die dbx hinzufügen, Powershell

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Die ESD wurden in letzen Monaten Donnerstags nach Windows Update aktualisiert.
Der jeweils aktuelle CA2023 bootloader mit aktuellem SVN integriert.
Das Media Creation Tool greift darauf zu: Windows 11-Installationsmedium erstellen https://www.microsoft.com/de-de/software-download/windows11
Media Creation Tool erstellt CA2011 bootmedien. Da fehlt ein Update. Wird das 2027 kommen?
Make2023BootableMedia.ps1 erstellt dann CA2023 bootmedien. https://github.com/microsoft/secureboot_objects/tree/main/scripts/windows


SVN Secure Version Number kann zuätzlich aktiviert werden. Ein Zähler zum aktuellen Bootloader.
Wenn Windows Update einen neuen Bootloader verteilt, dann sind auch die Bootmedien zu aktualisieren.
SVN kann nun aktiviert werden, oder erst wenn Media Creation Tool CA2023 bootmedien erstellt.
Zukünftige Sicherheitshinweise beeinflussen das auch.
DBXUpdateSVN.bin, Powershell

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Current_MCT_Version.bat zeigt die verfügbare MCT Version an.
Current MCT ISO is build 26300.9711 (October 2026)
Post #476 https://www.elevenforum.com/t/download-official-windows-11-iso-file-from-microsoft.1009/post-699015


Ein T530 bootet nun mit CA2023 und SVN 12.0 (Secureboot reset und die beiden obigen AvailableUpdates).
Es wird wieder spannend bei zukünftigem SVN 13.0.



X250:
Mit virtuellem DVD Wechsler Zalman ZM-VE400 mit IODD 2541 Firmware gab es unklares Bootverhalten.
DVD booten funktionierte sporadisch. Der ZM-VE400 zeigt manchmal ZZ Sleep im Display an.

Lenovo BIOS Simulator Center

download.lenovo.com

MIt BIOS defaults USB / Always on USB Enabled / Charge on Battery eingeschaltet.
DVD booten funktioniert zuverlässig.
Gegencheck: USB / Always on USB Enabled / Charge on Battery ausgeschaltet.
DVD boot funktioniert immer noch zuverlässig.
Was ist da los: Charge on Battery eingeschaltet, wieder ausgeschaltet und anderes Verhalten?
Gab es ein Reset im Charge on Battery Verhalten?