Secure Boot：它管什么，关掉要付出什么代价

Secure Boot 检查什么？

Secure Boot（安全启动）是一项 UEFI 功能，只干一件事。开机时，在操作系统还没加载之前，它按顺序检查即将运行的每个组件：引导程序、内核加载器和早期驱动。只要其中任何一个没有签名，或者签名所用的密钥不受固件信任，固件就拒绝运行它。它是对启动路径的完整性检查，而不是运行时扫描器，所以 Windows 跑起来之后，它看不到 PCIe 设备在做什么。

Secure Boot 会拦截 DMA 卡吗？

Secure Boot 不会拦截 DMA 卡。它从不检查 PCIe 设备，不读取它们的配置空间，也不决定一块卡能否访问内存——这些由另一套机制负责。如果游戏主机上看不到板卡，原因在于枚举、是否插到位或插槽本身，而不是 Secure Boot。Secure Boot 和这套方案只有间接关系：它与启动模式绑定，而且有些反作弊会检查它。

如何在 Windows 中查看 Secure Boot 状态

动任何设置之前，先在游戏主机上查看 Secure Boot 的当前状态，以及它所依赖的启动模式。两者都搞清楚，改动才能撤回；否则可能换来一台开不了机的电脑。

1. 01按 Windows + R，输入 msinfo32，回车
2. 02在“系统摘要”中查看“安全启动状态”（Secure Boot State），结果为开启、关闭或不支持
3. 03在同一面板查看“BIOS 模式”，它必须是 UEFI，Secure Boot 才可能可用
4. 04如果安全启动状态显示不支持，先查 BIOS 模式，因为传统模式安装的系统无法使用 Secure Boot
5. 05打开固件菜单之前，把这两个值都记下来
6. 06每次改动之后，重启进入 Windows，重新查看这两个值，不要只信固件界面上的显示

用命令行检查 Secure Boot

Confirm-SecureBootUEFI 这个 PowerShell cmdlet 给出的结果最明确，需要在以管理员身份运行的 PowerShell 中执行。Secure Boot 受支持且已开启时返回 True，受支持但已关闭时返回 False。在非 UEFI 的机器上，它会提示该平台不支持此 cmdlet。

Confirm-SecureBootUEFI
msinfo32
bcdedit /enum {current}

哪些东西依赖 Secure Boot？

依赖 Secure Boot 的有三样。第一，目前有好几款内核级反作弊要求开启它，没开就不让游戏启动，实际使用中这是最要紧的依赖。要求它的游戏名单一直在变，所以请查你玩的游戏当前的要求，别信一年前的帖子。第二，部分 Windows 安全功能和一些企业策略要求它保持开启。第三，它与启动模式绑定：只有 UEFI 安装的系统才有它，所以关于 CSM 的任何决定，同时也是关于 Secure Boot 的决定。

Secure Boot 该开还是该关？

找到和你情况对应的那一行。答案最后总会回到同一条规则：不要为了修一个多半不是它造成的问题，去关掉游戏要求的设置。

改动 Secure Boot 之前

• 已在 msinfo32 中查看安全启动状态和 BIOS 模式，并把两者都记了下来
• 已确认你玩的游戏目前是否要求 Secure Boot
• 已确认真正的原因不是板卡没插到位、插槽问题或 Above 4G Decoding 依赖链
• 知道机器开不了机时怎么重新进入固件菜单
• 手上有恢复盘，或者你接受没有恢复盘的风险

Secure Boot 常见问题