🛡️
Secure Boot یا بوت امن قابلیتی در UEFI (بایوس جدید) است که هنگام روشن شدن کامپیوتر فقط به بوت‌لودرها و نرم‌افزارهای دارای امضای دیجیتال معتبر اجازهٔ اجرا می‌دهد. برای دیدن وضعیتش کلید Win + R را بزنید، msinfo۳۲ را اجرا کنید و جلوی عبارت Secure Boot State را ببینید: On یعنی روشن است و Off یعنی خاموش. اگر Unsupported نوشته شده، ویندوز احتمالاً در حالت Legacy نصب شده و قبل از روشن کردن Secure Boot باید دیسک را به GPT تبدیل کنید.
چک‌لیست سریع پیش از شروع
🔍
در msinfo۳۲ مقدار BIOS Mode را ببینید: UEFI یا Legacy؟
💾
از فایل‌های مهم بکاپ بگیرید.
⌨️
کلید ورود به بایوس مادربرد یا لپ‌تاپ را از جدول پایین پیدا کنید.
🔑
اگر BitLocker روشن است، کلید بازیابی‌اش را یادداشت کنید.
Secure Boot چیست و چه کاری میکند؟
🏢
رسمی: طبق صفحهٔ پشتیبانی مایکروسافت دربارهٔ ویندوز ۱۱ و Secure Boot، این قابلیت جلوی بارگذاری نرم‌افزار مخرب در لحظهٔ روشن شدن ویندوز را می‌گیرد و فقط نرم‌افزارهای مورد اعتماد و امضاشده را در فرایند بوت اجرا میکند. در همین صفحه آمده که مایکروسافت در حال جایگزینی گواهی‌های Secure Boot صادرشده در سال ۲۰۱۱ است که انقضایشان از ژوئن ۲۰۲۶ شروع می‌شود. روی نسخه‌های پشتیبانی‌شدهٔ ویندوز این به‌روزرسانی خودکار انجام می‌شود.
🔐
رسمی: بر اساس مستندات Microsoft Learn برای سازندگان سخت‌افزار، فرم‌ور هنگام بوت امضای هر بخش، از درایورهای UEFI تا بوت‌لودر ویندوز، را با پایگاه‌دادهٔ کلیدهای مورد اعتماد مقایسه میکند. اگر امضا معتبر نباشد، اجرای آن بخش متوقف می‌شود. به زبان ساده، Secure Boot مثل نگهبانی است که پیش از آمدن آنتی‌ویروس سر کار می‌آید؛ یعنی دقیقاً در مرحله‌ای که بدافزارهای بوت‌کیت و روت‌کیت معمولاً در آن جا خوش می‌کنند.
چطور بفهمیم Secure Boot روشن است؟
دو راه ساده و بدون نیاز به نرم‌افزار جانبی وجود دارد:
🖥️
System Information: کلید Win + R را بزنید و msinfo۳۲ را اجرا کنید. در بخش System Summary دو سطر مهم است: BIOS Mode که باید UEFI باشد و Secure Boot State که باید On باشد.
🛡️
Windows Security: تنظیمات ← Privacy & security ← Windows Security ← Device security. اگر در این صفحه بخش Secure boot دیده شود و هشداری نداشته باشد، بوت امن فعال است.
| آنچه در msinfo۳۲ می‌بینید | معنی | کار بعدی |
|---|---|---|
| BIOS Mode: UEFI و Secure Boot State: On | همه‌چیز درست است | کاری لازم نیست |
| BIOS Mode: UEFI و Secure Boot State: Off | سیستم آماده است، فقط خاموش است | مستقیم به قدم ۴ بروید |
| BIOS Mode: Legacy و Secure Boot State: Unsupported | ویندوز در حالت Legacy/CSM نصب شده | اول تبدیل MBR به GPT، بعد UEFI |
آموزش فعال‌سازی Secure Boot در BIOS/UEFI
⚙️
رسمی: مایکروسافت در همان راهنما مسیر ورود به بایوس از داخل ویندوز را این‌طور گفته است: تنظیمات ← System ← Recovery ← Advanced startup ← Restart now. بعد از ری‌استارت: Troubleshoot ← Advanced options ← UEFI Firmware Settings ← Restart. این روش روی همهٔ برندها جواب می‌دهد و دیگر لازم نیست دنبال کلید درست بگردید.
اگر می‌خواهید با کلید وارد شوید، این جدول خلاصهٔ راهنمای رسمی هر سازنده است. نام منوها بسته به مدل و نسخهٔ بایوس کمی فرق میکند:
| برند | کلید ورود | مسیر Secure Boot | وضعیت بررسی |
|---|---|---|---|
| مادربرد ASUS | Del (در بعضی مدل‌ها F۲) | F۷ برای Advanced Mode ← Boot ← Secure Boot ← OS Type را روی Windows UEFI mode بگذارید | رسمی (FAQ ایسوس) |
| مادربرد MSI | Del | Settings ← Advanced ← Windows OS Configuration ← BIOS CSM/UEFI Mode را روی UEFI بگذارید ← Secure Boot ← Enabled | رسمی (وبلاگ و FAQ ام‌اس‌آی) |
| مادربرد Gigabyte | Del | Boot ← CSM Support را Disabled کنید ← Secure Boot ← Enabled؛ اگر Not Active بود: Secure Boot Mode روی Custom ← Restore Factory Keys | رسمی (FAQ گیگابایت) |
| لپ‌تاپ ASUS | F۲ هنگام روشن کردن | Security ← Secure Boot ← Secure Boot Control روی Enabled | رسمی (FAQ ایسوس) |
| لپ‌تاپ Lenovo، HP و Dell | معمولاً F۲، F۱۰ یا Esc (بسته به مدل) | معمولاً در تب Security یا Boot | تأییدنشده؛ از روش Advanced startup بالا استفاده کنید |
💾
بعد از تغییر، با F۱۰ تنظیمات را ذخیره کنید و از بایوس خارج شوید. سپس دوباره msinfo۳۲ را باز کنید تا مطمئن شوید Secure Boot State روی On رفته است.
🧰
اگر بعد از روشن کردن Secure Boot سیستم بالا نیامد یا ارور بوت گرفتید، راهنمای عیب‌یابی کامپیوتر و لپ‌تاپ را ببینید.
پیش‌نیاز: دیسک GPT و حالت UEFI به‌جای Legacy/CSM
بسیاری از کامپیوترهای ایرانی سال‌ها پیش با فلش‌های بوتیِ ساخته‌شده در حالت MBR و با CSM روشن نصب شده‌اند. روی این سیستم‌ها اگر مستقیم CSM را خاموش کنید، ویندوز بالا نمی‌آید. رسمی: مایکروسافت ابزار داخلی MBR۲GPT را برای همین کار ساخته است. این ابزار دیسک سیستم را بدون پاک شدن اطلاعات از MBR به GPT تبدیل میکند. ترتیب کار این است:
۱
از اطلاعات بکاپ بگیرید و اگر BitLocker روشن است، آن را موقتاً Suspend کنید.
۲
Command Prompt را با دسترسی Administrator باز کنید و دستور mbr2gpt /validate /allowFullOS را اجرا کنید.
۳
اگر اعتبارسنجی موفق بود، دستور mbr2gpt /convert /allowFullOS را اجرا کنید.
۴
وارد بایوس شوید، حالت را روی UEFI بگذارید (CSM را خاموش کنید) و بعد Secure Boot را روشن کنید.
💡
اگر MBR۲GPT خطا داد، تمیزترین راه نصب دوبارهٔ ویندوز با فلش GPT است. روش ساخت فلش درست را در آموزش ساخت فلش بوتیبل توضیح داده‌ایم.
Secure Boot و TPM ۲.۰ برای ویندوز ۱۱ و بازی‌ها
🔒
رسمی: طبق صفحهٔ فعال‌سازی TPM ۲.۰ مایکروسافت، ویندوز ۱۱ به TPM ۲.۰ نیاز دارد و این تراشه در بیشتر کامپیوترهای چند سال اخیر وجود دارد، ولی گاهی در بایوس خاموش است. برای نصب ویندوز ۱۱ کافی است سیستم «قابلیت» Secure Boot را داشته باشد، یعنی در حالت UEFI باشد. با این حال مایکروسافت روشن کردنش را برای امنیت بیشتر توصیه میکند. TPM در اینتل معمولاً با نام PTT و در AMD با نام fTPM در بایوس دیده می‌شود.
🎮
تجربهٔ کاربران: گیمرهای ایرانی بیشتر وقتی سراغ این تنظیمات می‌روند که بازی آنلاین با ضدتقلب سطح کرنل پیغام نیاز به Secure Boot یا TPM می‌دهد و اجرا نمی‌شود. در بیشتر این گزارش‌ها مشکل همان نصب Legacy ویندوز بوده و پس از تبدیل به GPT و روشن کردن Secure Boot برطرف شده است. اینکه دقیقاً کدام بازی‌ها این شرط را دارند ممکن است تغییر کند.
🔄
اگر هنوز روی ویندوز ۱۱ نسخهٔ ۲۴H۲ هستید، این را هم بدانید که ویندوز ۱۱ نسخهٔ ۲۴H۲ دیگر آپدیت نمی‌گیرد. وقتی گواهی‌های Secure Boot در حال تعویض‌اند، عقب ماندن از آپدیت‌ها ریسک را بیشتر میکند.
آیا Secure Boot جلوی همهٔ بدافزارها را می‌گیرد؟
📰
نه. خبر رسانه‌ای: BleepingComputer در ۲۴ اکتبر ۲۰۲۶ گزارش داد که بوت‌کیت BlackX از نقص قدیمی Baton Drop (CVE-۲۰۲۲-۲۱۸۹۴) برای دور زدن Secure Boot استفاده کرده است. طبق تحلیل کسپرسکی که در همین گزارش آمده، قربانیان ویندوزِ کاملاً به‌روز داشتند. مشکل این بود که پچ Baton Drop گواهی قدیمی «Windows Production PCA ۲۰۱۱» را خودکار باطل نمیکند و مدیر سیستم باید این کار را دستی انجام دهد. این حمله‌ها جاسوسی هدفمند علیه نهادهای دیپلماتیک در آسیای میانه بوده‌اند و کاربر خانگی هدف اصلی آن‌ها نبوده است.
✅
نتیجه برای کاربر عادی: Secure Boot لازم است، ولی کافی نیست. ویندوز را به‌روز نگه دارید، بایوس را فقط از سایت رسمی سازندهٔ مادربرد یا لپ‌تاپ به‌روز کنید و فایل بایوس یا درایور را از منابع ناشناس دانلود نکنید.
پاسخ به سوالات شما
آیا خاموش کردن Secure Boot خطر دارد؟
خاموش کردنش سیستم را خراب نمیکند، فقط یک لایهٔ حفاظتی در مرحلهٔ بوت را حذف میکند. مایکروسافت هم گفته ممکن است برای رفع یک مشکل لازم شود موقتاً خاموشش کنید، ولی بعد از حل مشکل دوباره روشنش کنید.
با لینوکس و دوالبوت مشکل پیدا میکنم؟
توزیعهای رایج مثل اوبونتو و فدورا با Secure Boot بوت میشوند. ماژولهای کرنلِ امضانشده، مثل بعضی درایورهای گرافیک، ممکن است نیاز به ثبت کلید MOK داشته باشند. غیررسمی: جزئیات به توزیع بستگی دارد و باید در مستندات همان توزیع بررسی شود.
بعد از روشن کردن Secure Boot ویندوز بوت نمی‌شود؛ چه کنم؟
دوباره وارد بایوس شوید و Secure Boot را خاموش کنید، یا CSM را دوباره روشن کنید تا سیستم به حالت قبل برگردد. معمولاً علتش MBR بودن دیسک است. اگر سیستم با پیغام‌های دیگری هم بالا نمی‌آید، راهنمای عیب‌یابی کامپیوتر و لپ‌تاپ را ببینید.
گزینهٔ Secure Boot در بایوس خاکستری است؛ چرا؟
در اغلب مادربردها تا وقتی CSM روشن است یا کلیدهای پیشفرض نصب نشدهاند، این گزینه غیرفعال میماند. CSM را خاموش کنید و در صورت نیاز گزینهٔ Restore Factory Keys یا Install Default Secure Boot Keys را بزنید.
دیدگاه‌ها