史上最安全的系統？Win11安全啟動探秘

大家知道，為了提高系統的安全性，Windows 11把TPM2.0、安全啟動和UEFI模式列為運行它的強制選項。那么這些組件有什么作用，它們又是怎樣保護Windows 11的安全的呢？

認識安全啟動

一些朋友在嘗試更新到Windows 11的時候，安裝程序會提示“該電腦必須支持TPM2.0和安全啟動”，因為電腦沒有開啟這些安全選項，從而導致無法成功安裝Windows 11（圖1）。

那么什么是安全啟動？我們先了解一下Windows的啟動過程，對于傳統的BIOS啟動方式，當用戶按下主機電源鍵后BIOS開始自檢，并加載相應的主引導記錄和引導文件開始啟動系統，具體流程如圖2所示。

這種傳統的啟動方式有個弊端，那就是在加載引導文件的時候沒有進行相應的安全檢測，這樣一些引導型的病毒一旦在BIOS自檢后開始加載，由于它們比系統中的殺毒軟件優先啟動，這就導致進入系統后無法對它們進行查殺。Windows 11強制要求的安全啟動，在加載UEFI固件后對于任何要加載的模塊都要進行簽名驗證，確保啟動的是可信的安全模塊，它的啟動流程如圖3所示。

那么UEFI是怎樣實現安全啟動的呢？根據UEFI安全規范，主板出廠的時候，可以內置一些可靠的公鑰。然后任何想要在這塊主板上加載的操作系統或者硬件驅動程序，都必須通過這些公鑰的認證。也就是說，這些軟硬件必須用對應的私鑰簽署過，否則主板拒絕加載。由于惡意軟件不可能通過認證，因此就沒有辦法感染電腦的啟動過程。

根據微軟的規定，所有預裝Windows 11操作系統的廠商（即OEM廠商）都必須打開安全啟動（Secure Boot），經過認證的Windows 11公鑰固化在主板上，這樣可以有效地避免惡意軟件啟動Windows 11。所以如果沒有在主板上開啟安全啟動功能，Windows 11就會拒絕安裝，從而導致如圖1所示的問題。

如何開啟安全啟動功能

那么如果在安裝Windows 11時遇到如圖1所示的問題該怎么解決？因為Windows 11將把TPM2.0、安全啟動和UEFI模式作為強制安全選項，所以解決方法是在主板BIOS中開啟上述三個選項。

1.開啟安全啟動

安全啟動開啟選項在主板BIOS設置中，用戶只要按照主板說明進行開啟即可。以華碩主板操作為例，開機后按DEL鍵進入BIOS設置界面，接著切換到“BOOT”菜單，在下方找到“Secure Boot state”，將其選項設置為“Enable”（開啟），最后按F10鍵保存退出。

2.開啟UEFI啟動

因為安全啟動需要UEFI模式的支持，所以還需要在BIOS中將電腦的引導模式設置為UEFI，同上進入BOOT菜單，定位到OSType模式，在右側菜單下拉列表中選擇“WindowsUEFIMode”，按F10鍵保存退出（圖4）。

3.開啟TPM2.0支持

先確認自己的主板有TPM模塊（近5年新裝的電腦一般都有該模塊），以微星主板AMD平臺開啟TPM功能操作為例，按DEL鍵進入BIOS后，按F7進入高級模式，依次選擇“Settings→Secunty→Trusted Computing”，將AMD TPM Switch選項設置為“AMD CPU TPM”，按F10鍵保存退出（圖5）。

這樣電腦完成上述的設置后，再使用Windows 11安裝盤啟動系統進行安裝，就可以順利地完成安裝了。

繞過安全啟動驗證安裝Win11

如上所述，如果你要安裝Windows 11原版ISO操作系統，用常規方式使用ISO文件啟動安裝后，安裝程序會在安裝過程中檢測TPM2.0、安全啟動功能的開啟狀況，若電腦未開啟上述選項，則會出現如圖1所示的提示。如果要在未開啟上述選項的電腦上安裝Windows 11，那么可以使用手動安裝的方法來安裝Windows 11。這里以Windows 10中的操作為例。

先到https：//www.cr173.com/soft/44758.html下載WinNTSetup，接著打開資源管理器，然后將準備好的Windows 11安裝文件（ISO格式）加載到虛擬光驅。啟動WinNTSetup后，在選擇Windows安裝文件的位置，選擇上述加載到虛擬光驅中的“＼sources＼install.esd”文件。再選擇引導驅動器的位置，選擇本地C盤，這樣Windows 11的引導信息會添加到BCD配置文件中。

在選擇安裝驅動器的位置選擇D：，請預先準備好安裝Windows 11的空閑分區。在相應的選項下，選擇“install.esd”鏡像文件中Windows 11的版本，這里選擇PRO版。其他參數保持默認，最后點擊“安裝”（圖6）。

這樣用戶使用手動的方式將Windows 11系統文件解壓到了D：＼，從而繞過了Windows 11安裝程序對本機的檢測。重啟電腦后，按提示選擇新增的Windows 11菜單進入，按屏幕的提示完成Windows 11的安裝即可。

完后Windows 11的安裝后進入系統，點擊“開始→運行”，輸入“msinfo32”，回車后打開系統信息窗口，在右側窗口查看BIOS模式參數為“傳統”（如果是UEFI安全啟動顯示的則為“UEFI”），即用戶安裝的Windows 11使用的是傳統BIOS啟動，沒有使用安全啟動（圖7）。

繼續在運行對話框中輸入tpm.msc，在彈出的對話框中“狀態”可以看到，目前Windows 11也沒有啟用TPM，至此用戶也能順利地在普通電腦上成功安裝Windows 11系統。

小結

按需選擇體驗Win11

Windows 11默認把TPM2.0、安全啟動和UEFI模式列為運行它的強制選項，這樣可以更好地保護系統的安全，如果你的硬件支持，強烈建議啟用上述安全選項來體驗Windows 11。當然對于舊電腦，通過手動方式也可以繞過安裝Windows 11的限制。對于希望第一時間嘗鮮Windows 11的用戶，不妨按照自己電腦的實際情況自主選擇安裝方式。