mirrors/VeraCrypt
1
0
Fork 0
mirror of https://github.com/veracrypt/VeraCrypt.git synced 2026-07-27 18:32:39 +00:00
Code Issues Packages Projects Releases Wiki Activity

Windows: make EFI trust checks dbx-aware

Browse Source 
Reject revoked loader CA sets and diagnose the chainloaded Windows manager. Add PCA 2011 migration warnings and update Secure Boot guidance.
This commit is contained in:
Mounir IDRASSI
2026-07-13 22:54:49 +09:00
parent fdd8d77e7c
commit 301496c7e2
55 changed files with 1033 additions and 245 deletions
Download Patch File Download Diff File Expand all files Collapse all files
doc/html/zh-cn/System Encryption.html
+1 -1
View File
@@ -61,7 +61,7 @@ VeraCrypt可以对系统分区或整个系统驱动器进行即时加密，即
由于BIOS要求，预启动密码需使用 <strong>美国键盘布局</strong> 输入。在系统加密过程中，VeraCrypt会自动透明地将键盘切换到美国布局，以确保输入的密码值与预启动模式下输入的密码值匹配。然而，从剪贴板粘贴密码可能会覆盖此保护措施。为防止因这种差异而产生的任何问题，VeraCrypt在系统加密向导中禁用了从剪贴板粘贴密码的选项。因此，在设置或输入密码时，务必手动使用与创建系统加密时相同的按键进行输入，以确保能够一致地访问您的加密系统。
</div>
<p>注意：默认情况下，Windows 7及更高版本从一个特殊的小分区启动。该分区包含启动系统所需的文件。Windows只允许具有管理员权限的应用程序在系统运行时写入该分区。在EFI启动模式（现代PC的默认模式）下，VeraCrypt无法加密此分区，因为它必须保持未加密状态，以便BIOS可以从中加载EFI引导加载程序。这反过来意味着在EFI启动模式下，VeraCrypt仅提供对安装Windows的系统分区进行加密（用户以后可以使用VeraCrypt手动加密其他数据分区）。在MBR传统启动模式下，只有当您选择加密整个系统驱动器（而不是仅选择加密安装Windows的分区）时，VeraCrypt才会对该分区进行加密。</p>
<p>在启用安全启动的EFI启动模式下，VeraCrypt会在安装、修复/重新安装、升级或Windows PostOOBE修复期间，选择受当前固件安全启动db信任且由Microsoft UEFI CA签名的引导加载程序套件。VeraCrypt 2023引导加载程序套件需要Microsoft UEFI CA 2023和Microsoft Option ROM UEFI CA 2023；2011引导加载程序套件需要Microsoft Corporation UEFI CA 2011。如果当前db不信任任何受支持的套件，VeraCrypt会中止操作，而不会安装会在下一次重启时被固件拒绝的加载程序。如果您手动更改固件安全启动db条目，请运行VeraCrypt修复/重新安装以刷新已安装的引导加载程序套件。有关详细信息，包括Microsoft 2023证书过渡和恢复步骤，请参阅 <a href="EFISecureBoot.html" style="text-align:left; color:#0080c0; text-decoration:none">EFI安全启动</a>。</p>
<p>在启用安全启动的EFI启动模式下，VeraCrypt会在安装、修复/重新安装、升级或Windows PostOOBE修复期间，选择由Microsoft UEFI CA签名且当前固件安全启动策略允许的引导加载程序套件：每个所需CA都必须存在于允许签名数据库（db）中，并且不在禁止签名数据库（dbx）中。VeraCrypt 2023引导加载程序套件需要Microsoft UEFI CA 2023和Microsoft Option ROM UEFI CA 2023；2011引导加载程序套件需要Microsoft Corporation UEFI CA 2011。如果当前db/dbx策略不允许任何受支持的套件，VeraCrypt会中止操作，而不会安装会在下一次重启时被固件拒绝的加载程序。如果您手动更改固件安全启动db或dbx条目，请运行VeraCrypt修复/重新安装以刷新已安装的引导加载程序套件。有关详细信息，包括Microsoft 2023证书过渡和恢复步骤，请参阅 <a href="EFISecureBoot.html" style="text-align:left; color:#0080c0; text-decoration:none">EFI安全启动</a>。</p>
<p>&nbsp;</p>
<p><a href="Hidden%20Operating%20System.html" style="text-align:left; color:#0080c0; text-decoration:none; font-weight:bold">下一部分 &gt;&gt;</a></p>
</div>