Kiểm tra và bật Secure Boot trên Windows 10, 11

Secure Boot (khởi động an toàn) là tính năng của chuẩn UEFI: khi bật máy, firmware chỉ cho chạy trình khởi động có chữ ký số hợp lệ, nhờ đó chặn được loại mã độc cài vào trước cả Windows. Windows 11 yêu cầu máy hỗ trợ UEFI và Secure Boot, cùng với TPM 2.0. Một số game trực tuyến dùng hệ thống chống gian lận cũng đòi bật Secure Boot. Bài này hướng dẫn kiểm tra trạng thái và bật Secure Boot trên Windows 10, 11.

Kiểm tra Secure Boot đang bật hay tắt

Bằng System Information

1. Bấm Win + R, gõ msinfo32, Enter.
2. Ở mục System Summary (Tóm tắt hệ thống), tìm hai dòng:
   • BIOS Mode: «UEFI» hoặc «Legacy».
   • Secure Boot State: «On» (đã bật), «Off» (hỗ trợ nhưng đang tắt), «Unsupported» (máy hoặc chế độ hiện tại không hỗ trợ).

Bằng PowerShell

Mở PowerShell bằng quyền quản trị, gõ Confirm-SecureBootUEFI. Kết quả True là đang bật, False là đang tắt. Nếu lệnh báo lỗi không hỗ trợ, máy đang chạy chế độ Legacy.

Trước khi bật: ba điều phải kiểm tra

1. BIOS Mode phải là UEFI. Nếu đang là Legacy, ổ đĩa hệ thống thường ở kiểu MBR. Chuyển thẳng sang UEFI sẽ làm Windows không khởi động. Microsoft có công cụ MBR2GPT để đổi ổ sang GPT mà không mất dữ liệu, nhưng vẫn nên sao lưu trước. Đọc thêm chuẩn Legacy và UEFI.
2. Chuẩn bị khoá khôi phục BitLocker. Thay đổi Secure Boot có thể khiến máy hỏi khoá khôi phục BitLocker ở lần khởi động sau. Xem cách tìm khoá trong bài quên mật khẩu BitLocker.
3. Kiểm tra TPM nếu mục tiêu là lên Windows 11: kiểm tra máy có chip TPM không.

Bật Secure Boot trong UEFI

1. Vào UEFI: Cài đặt › Hệ thống › Khôi phục › Khởi động nâng cao › Khởi động lại ngay, rồi chọn Khắc phục sự cố › Tuỳ chọn nâng cao › Cài đặt chương trình cơ sở UEFI. Hoặc bấm phím của hãng (F2, Del, F1…) lúc bật máy.
2. Tìm mục Secure Boot, thường nằm ở thẻ Boot, Security hoặc Authentication.
3. Nếu Secure Boot bị xám, có thể cần tắt CSM (Compatibility Support Module, chế độ tương thích Legacy) trước, hoặc chọn chế độ Secure Boot «Standard» / khôi phục khoá mặc định (Restore Factory Keys, Install Default Keys tuỳ hãng).
4. Đặt Secure Boot thành Enabled, lưu và thoát (Save & Exit).
5. Vào Windows, chạy lại msinfo32 để xác nhận «Secure Boot State: On».

Tên mục khác nhau giữa các hãng và đời bo mạch; nếu không thấy, xem sách hướng dẫn của máy. Một số máy có đặt mật khẩu quản trị BIOS (thường gặp ở máy công ty) thì phải nhập mật khẩu đó mới đổi được.

Bật xong máy không khởi động?

• Máy báo không tìm thấy ổ khởi động: thường do ổ vẫn là MBR hoặc thứ tự khởi động bị đổi. Vào lại UEFI, tắt Secure Boot và bật lại CSM để quay về trạng thái cũ.
• Máy hỏi khoá khôi phục BitLocker: nhập khoá 48 chữ số từ tài khoản Microsoft hoặc nơi bạn đã lưu.
• Máy cài Linux hoặc công cụ cứu hộ cũ có thể không khởi động khi bật Secure Boot vì trình khởi động không có chữ ký.

Secure Boot trên máy Mac (chip T2 hoặc chip Apple) là cơ chế riêng của Apple, không chỉnh bằng các bước trên. Nếu máy không vào được UEFI hay Windows sau khi chỉnh, liên hệ VNT39 để được hướng dẫn gửi máy hoặc hẹn lịch kiểm tra.