Windows Boot Manager has been blocked by the current security policy: как восстановить загрузку

Ошибка "Windows Boot Manager has been blocked by the current security policy" появляется до запуска Windows. После неё ноутбук или компьютер не загружается, а система возвращается в BIOS/UEFI или снова показывает то же сообщение.

Чаще всего проблема возникает на ноутбуках Lenovo, но встречается и на устройствах других производителей. Нередко ошибка появляется после сброса настроек BIOS, обновления прошивки или изменения параметров Secure Boot.

Дополнительные ключи: ошибка загрузчика Windows, Secure Boot заблокировал Windows Boot Manager, восстановление загрузки Windows 11, Windows UEFI CA 2023, отключение Secure Boot, ошибка BIOS после обновления, восстановление загрузчика EFI.

Почему Secure Boot блокирует Windows Boot Manager

Secure Boot - это механизм UEFI, который разрешает запускать только загрузчики с доверенной цифровой подписью. Перед передачей управления Windows прошивка проверяет файл загрузчика и сравнивает его сертификат с ключами в базе разрешённых подписей.

Сообщение появляется, когда одновременно выполняются два условия:

• Secure Boot включён;
• подпись загрузчика Windows отсутствует среди разрешённых или попала под запрет.

В результате UEFI считает Windows Boot Manager недоверенным и не передаёт ему управление.

Сама Windows при этом может быть полностью исправна. Проблема находится на уровне загрузчика или базы ключей UEFI, поэтому переустановка системы обычно не требуется. Модель безопасности Secure Boot основана на управлении ключами и сертификатами UEFI, а не только на наличии самого файла загрузчика. Microsoft

В каких случаях возникает ошибка

На практике встречаются несколько сценариев.

Сброс настроек BIOS или ключей Secure Boot

После сброса BIOS прошивка может вернуть заводские параметры, но не восстановить нужные сертификаты Microsoft в базе разрешённых загрузчиков.

Windows продолжает использовать корректный файл, однако UEFI больше не считает его доверенным.

Обновление Windows и новые сертификаты

В Windows 10 и Windows 11 постепенно используются загрузчики, подписанные сертификатами семейства Windows UEFI CA 2023. Если такой сертификат отсутствует в базе DB прошивки, Secure Boot может отклонить запуск.

Сценарий особенно вероятен после:

• обновления BIOS/UEFI;
• восстановления заводских настроек;
• очистки ключей Secure Boot;
• замены системного диска или загрузочных записей.

Отзыв старого сертификата

Возможна и обратная ситуация: загрузчик подписан старым сертификатом, например Microsoft Windows Production PCA 2011, а обновление UEFI добавило этот сертификат в список запрещённых - DBX.

Тогда файл формально имеет цифровую подпись, но прошивка больше не разрешает его запускать.

Быстрый способ запустить Windows

Чтобы выполнить восстановление из самой Windows, можно временно отключить Secure Boot.

Как отключить Secure Boot

1. Полностью выключите компьютер.
2. Включите его и сразу несколько раз нажимайте клавишу входа в BIOS/UEFI.
3. На ноутбуках Lenovo это обычно F2 или Fn + F2, на стационарных ПК - Delete, иногда F2.
4. Откройте раздел Security, Boot или Authentication.
5. Найдите параметр Secure Boot.
6. Установите значение Disabled.
7. Сохраните изменения через Save & Exit.

Для сохранения настроек часто используется клавиша F10, но точная комбинация зависит от производителя.

Если включён быстрый запуск, обычное выключение может не помочь войти в UEFI. Используйте один из вариантов:

• нажмите Перезагрузка вместо выключения;
• выберите завершение работы с зажатой клавишей Shift;
• войдите в UEFI через дополнительные параметры восстановления Windows, если такая возможность доступна.

После отключения Secure Boot Windows обычно запускается. Затем можно восстановить ключи и загрузчик, а Secure Boot включить снова.

Способ 1. Восстановить сертификаты Microsoft UEFI 2023

Этот метод подходит, если загрузчик Windows исправен, но в UEFI отсутствует сертификат, которым он подписан.

Подготовьте флешку

Понадобится обычный USB-накопитель. Размер не принципиален, но на нём должен быть один раздел FAT32.

Перед использованием сохраните данные с флешки: подготовка накопителя может удалить файлы.

При необходимости раздел можно удалить через Управление дисками Windows или командную строку. Для этой процедуры структура должна выглядеть так:

EFI└── BOOT

То есть в корне флешки создайте папку EFI, а внутри неё - папку BOOT.

Скопируйте SecureBootRecovery.efi

1. Загрузите Windows с отключённым Secure Boot.
2. Откройте проводник.
3. Перейдите в каталог:

C:\Windows\Boot\EFI\

1. Найдите файл:

SecureBootRecovery.efi

1. Скопируйте его в папку:

EFI\BOOT

1. На флешке переименуйте файл в:

bootx64.efi

В результате полный путь должен выглядеть так:

EFI\BOOT\bootx64.efi

Запустите восстановление

1. Не извлекая флешку, перезагрузите компьютер.
2. Войдите в BIOS/UEFI.
3. Снова включите Secure Boot.
4. Выберите загрузку с USB-накопителя.
5. Запустите компьютер с подготовленной флешки.
6. Дождитесь завершения процедуры.
7. После перезагрузки установите Windows Boot Manager первым в списке загрузки.

Инструмент восстановления проверяет наличие актуальных сертификатов Microsoft UEFI и добавляет их в базу разрешённых подписей, если это необходимо.

Если операция не поможет, она не должна повредить установленную Windows: утилита работает с данными Secure Boot и не переустанавливает операционную систему. После завершения верните стандартный порядок загрузки и проверьте запуск с включённым Secure Boot.

Способ 2. Проверьте сертификат текущего загрузчика

Этот вариант нужен, если есть подозрение, что загрузчик Windows подписан устаревшим сертификатом.

Запустите Windows с временно отключённым Secure Boot. Затем откройте Терминал Windows или PowerShell от имени администратора.

Подключите EFI-раздел

Выполните команды по очереди:

mountvol z: /s

Затем проверьте издателя загрузчика:

([System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromSignedFile("z:\EFI\boot\bootx64.efi")).Issuer

После проверки отключите EFI-раздел:

mountvol z: /d

Если в результате отображается:

CN=Microsoft Windows Production PCA 2011

это указывает на использование старой подписи. При этом сам файл может быть исправным, но обновлённая база запрещённых сертификатов UEFI способна блокировать его запуск.

Способ 3. Заменить загрузчик на подписанный Windows UEFI CA 2023

Перед заменой создайте загрузочную флешку Windows 10 или Windows 11. Она пригодится, если система перестанет запускаться после ручной операции.

Сначала проверьте, доступен ли новый файл загрузчика:

([System.Security.Cryptography.X509Certificates.X509Certificate2]::CreateFromSignedFile("C:\Windows\Boot\EFI_EX\bootmgfw_EX.efi")).Issuer

Продолжайте только в том случае, если команда выполняется без ошибки и показывает:

CN=Windows UEFI CA 2023

Теперь подключите EFI-раздел:

mountvol z: /s

Сделайте резервные копии текущих файлов:

Rename-Item z:\EFI\boot\bootx64.efi bootx64.efi.bakRename-Item z:\EFI\Microsoft\Boot\bootmgfw.efi bootmgfw.efi.bak

Скопируйте загрузчик с новой подписью:

Copy-Item C:\Windows\Boot\EFI_EX\bootmgfw_EX.efi z:\EFI\boot\bootx64.efiCopy-Item C:\Windows\Boot\EFI_EX\bootmgfw_EX.efi z:\EFI\Microsoft\Boot\bootmgfw.efi

Завершите работу с EFI-разделом:

mountvol z: /d

После этого:

1. Перезагрузите компьютер.
2. Включите Secure Boot.
3. Установите Windows Boot Manager первым загрузочным устройством.
4. Проверьте запуск Windows.

Не выполняйте эти команды наугад. Ошибка в пути или случайная замена другого файла EFI может привести к новой проблеме с загрузкой. Если команды PowerShell возвращают ошибку, лучше использовать автоматическое восстановление через установочную флешку.

Способ 4. Восстановить заводские ключи Secure Boot

Если ключи были удалены вручную, в UEFI может присутствовать пункт для восстановления стандартного набора сертификатов.

Ищите его в разделах Security, Boot или Secure Boot. Возможные названия:

• Restore Factory Keys;
• Install Default Secure Boot Keys;
• Enroll Factory Keys;
• Load Default Keys.

После выбора сохраните изменения и перезагрузите компьютер.

Этот способ помогает, если проблема вызвана пустой или повреждённой базой ключей. Однако после восстановления стандартных ключей может потребоваться отдельно добавить сертификат Windows UEFI CA 2023 способом с SecureBootRecovery.efi.

Способ 5. Восстановить файлы загрузки Windows

Ошибка может быть связана не только с сертификатами, но и с повреждением EFI-файлов.

Для восстановления используйте установочную флешку Windows:

1. Загрузитесь с USB-накопителя.
2. Выберите Восстановление системы.
3. Откройте Поиск и устранение неисправностей.
4. Перейдите в Дополнительные параметры.
5. Запустите Восстановление при загрузке.

Если автоматическое восстановление не помогло, можно использовать командную строку среды восстановления. Но сначала нужно определить букву раздела с Windows и EFI-раздела - в среде восстановления они могут отличаться от обычных C: и Z:.

Не запускайте команды bootrec или bcdboot без проверки букв дисков: неправильный раздел может привести к созданию загрузчика не там, где его ожидает UEFI.

Что делать, если Windows после исправления всё ещё не запускается

Проверьте параметры загрузки:

• выбран ли режим UEFI, а не Legacy/CSM;
• установлен ли Windows Boot Manager первым;
• включён ли Secure Boot после завершения восстановления;
• определяется ли системный SSD или HDD в BIOS;
• не изменился ли режим контроллера диска - AHCI/RAID;
• не отключён ли системный EFI-раздел.

Если BIOS не видит накопитель, проблема, вероятно, не связана с Secure Boot. Проверьте подключение диска, настройки хранения и состояние самого SSD/HDD.

Чего не стоит делать

Не начинайте с форматирования диска и переустановки Windows. В большинстве случаев ошибка связана с настройками UEFI или сертификатами загрузчика, а пользовательские файлы остаются на месте.

Также не следует:

• удалять все ключи Secure Boot без резервного плана;
• прошивать BIOS неподходящим файлом;
• заменять EFI-файлы командами, назначение которых неизвестно;
• отключать Secure Boot навсегда без необходимости;
• выполнять сброс BIOS, не записав текущие параметры;
• удалять EFI-раздел с системного диска.

Краткий алгоритм восстановления

Если появляется сообщение Windows Boot Manager has been blocked by the current security policy, действуйте так:

1. Временно отключите Secure Boot.
2. Загрузите Windows.
3. Проверьте наличие SecureBootRecovery.efi.
4. Подготовьте FAT32-флешку с путём EFI\BOOT\bootx64.efi.
5. Запустите восстановление сертификатов Microsoft UEFI 2023.
6. Если проблема сохраняется, проверьте издателя текущего загрузчика через PowerShell.
7. При использовании старого сертификата замените загрузчик на файл с подписью Windows UEFI CA 2023.
8. Включите Secure Boot.
9. Установите Windows Boot Manager первым в очереди загрузки.
10. Если запуск не восстановился, используйте среду восстановления Windows и проверьте EFI-раздел.

В большинстве случаев переустановка Windows не требуется: достаточно восстановить доверенные ключи UEFI или заменить загрузчик на совместимый с текущей политикой Secure Boot.