微软UEFI CA 2023证书检查 CheckCA2023 v1.6.0 免费版

CheckCA2023是一个由国外开发的开源免费 PowerShell 检测脚本，v1.6.0 为稳定正式版，专门检测 UEFI CA 2023 安全启动证书状态。

Windows自2011年以来使用的安全启动证书将于2026年6月底到期。为避免任何安全问题，微软已数月来通过Windows Update部署新的2023 CA证书。为了查看电脑在这次过渡中的进度，就可以使用CheckCA2023检查脚本查看一下。

这个开源 PowerShell 脚本在一个窗口中显示向 2023 CA 证书过渡的完整状态：包括活动的 UEFI 证书、注册表状态、系统事件以及启动管理器证书。如果更新尚未应用，它还允许直接从界面触发更新。

微软正在更新安全启动证书，作为重大基础设施更新的一部分。新的Windows UEFI CA 2023和Microsoft UEFI CA 2023证书取代了旧的证书，以保持安全引导信任链的完整性。

此更新涉及以下更改：
安全引导KEK（密钥交换密钥）
安全启动数据库（允许的签名数据库）
安全启动DBX（禁止签名数据库）
引导管理器签名链

功能特点

主要面向希望精确了解其计算机在向 CA 2023 证书过渡过程中状态的用户。

简化了向 Secure Boot CA 2023 证书迁移的跟踪过程。

以图形界面的形式呈现，在一个窗口中集中显示了跟踪您计算机上 Secure Boot CA 2023 证书过渡状态所需的所有有用信息。

深入了解信息，逐一详细列出已安装的证书、注册表状态、与安全启动相关的系统事件，以及启动管理器所使用的证书。

CheckCA2023使用方法

CheckCA2023 无需安装。从 页面下载 CheckCA2023.ps1 文件，将其保存到您选择的文件夹中。

在运行脚本之前，您必须允许在计算机上执行 PowerShell 脚本。为此，请以管理员身份打开 PowerShell，然后输入以下命令：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

完成此操作后，进入脚本所在的文件夹。例如：

cd C:\Users\VotreNom\Downloads

然后使用以下命令启动 CheckCA2023：

.\CheckCA2023.ps1

启动 CheckCA2023 后，界面会显示“Ready to check”状态。点击“Check”按钮开始分析。

该工具将检查您系统的不同元素，特别是 Windows 注册表、UEFI 变量、与安全启动相关的事件以及启动管理器使用的证书。几秒钟后，结果将显示在界面中。

检查是否正确：

UEFICA2023Status 必须显示“已更新”并带有绿色勾选标记；

WindowsUEFICA2023Capable 设置为 0x0002，这表示 2023 CA 证书已存在，并且 Windows 将使用这些新证书签名的启动管理器启动；

UEFICA2023ErrorEvent 必须显示 No Error。

UEFI Certificate 2023 部分还可以验证新证书的存在。当它们正确安装时，会在界面中以绿色显示。

最后，在 Bootloader certificates 部分，与 EFI 分区关联的证书必须显示为 CA 2023。

更新日志

v1.6.0的新增功能

添加

配置面板中的安全启动模式指示灯。旁边的安全启动启用/禁用状态，GUI现在显示当前操作模式：部署模式、用户模式、审核模式，设置模式，或禁用。

从标准UEFI变量（SetupMode、AuditMode、UEFI模式）读取模式，DeployedMode、SecureBoot），不依赖于OEM WMI。

立即分流的颜色编码：绿色（用户/部署），橙色（设置/审核），红色（禁用）。

备注

处于安装模式的计算机无法完成CA 2023部署。这指示器在花费时间进行诊断之前显示状况下游症状。