Что такое опция «Use Windows CA 2023 signed bootloaders» в Rufus

Во время подготовки к записи образов Windows с помощью программы Rufus в окне «Опыт использования Windows» пользователю предлагается выполнить базовую настройку. При записи образов последних версий Windows 11 к уже существующим параметрам добавляется еще один — «Use Windows CA 2023 signed bootloaders в Rufus (requires a compatible PC)». За что он отвечает и нужно ли его включать или отключать, обсуждаем в этой статье.

История с сертификатами безопасности

Новый пункт в Rufus появился не случайно. В 2022 году в механизме безопасности Secure Boot была обнаружена серьезная уязвимость. Как оказалось, UEFI-буткит BlackLotus мог легко обходить защиту, потому что Microsoft продолжала доверять своим старым загрузчикам, подписанным сертификатом еще 2011 года. Этим как раз и воспользовались хакеры.

Уязвимость была закрыта, но спешить с быстрой заменой сертификатов разработчики не стали, так как это привело бы к тому, что миллионы старых флешек и восстановительных дисков по всему миру перестали бы работать. Вместо этого был запущен постепенный переход. В 2023 году был выпущен новый защищенный сертификат, а в Rufus появилась та самая опция, позволяющая пользователю самому решить: использовать привычный старый загрузчик или переходить на новый стандарт безопасности.

Примечание: хотя новые сертификаты были созданы еще в мае 2023 года, их активное внедрение в BIOS домашних компьютеров завершилось только к началу 2026-го. Именно поэтому Rufus добавил эту опцию сейчас — когда железо пользователей наконец-то стало готово к работе с новыми стандартами безопасности.

Что делает «Use Windows CA 2023 signed bootloaders в Rufus»

Как вы уже догадались, указанный пункт в Rufus включает использование загрузчиков, подписанных новыми сертификатами Windows CA 2023. Спешить, однако, не стоит. Если в базе UEFI вашего компьютера отсутствует информация о сертификате, установить записанную Rufus Windows не получится.

Проверить его наличие можно с помощью следующей командой в PowerShell, запущенном с правами администратора:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI -Name db).Bytes) -match "Windows UEFI CA 2023"