Laptop báo lỗi Invalid signature Secure Boot, sửa thế nào?

Lỗi Invalid signature Secure Boot nghĩa là firmware của máy đang chặn phần mềm khởi động vì không xác thực được chữ ký số hợp lệ. Để xử lý triệt để, bạn hãy lần lượt khôi phục khóa Secure Boot về mặc định, tiến hành cập nhật BIOS từ trang chủ của hãng, hoặc sử dụng công cụ khôi phục do Microsoft cung cấp. Trước khi tiến hành bất kỳ thao tác thay đổi nào trong BIOS, hãy lưu ý chuẩn bị sẵn mã khôi phục BitLocker để tránh bị gián đoạn truy cập vào dữ liệu hệ thống.

Lỗi Invalid signature detected trên laptop là gì?

Đây là thông báo Secure Boot chặn quá trình khởi động, vì một thành phần khởi động không khớp với chữ ký mà firmware tin cậy.

Khi máy tính gặp phải tình trạng này, hệ thống sẽ dừng ngay từ màn hình POST đen và hiển thị thông điệp đầy đủ: "Invalid signature detected. Check Secure Boot Policy in Setup", khiến thiết bị hoàn toàn không thể tiếp tục tải hệ điều hành Windows.

Về mặt kỹ thuật, Secure Boot là một tính năng an ninh cốt lõi tích hợp sẵn trên các dòng máy tính hiện đại. Tính năng này đóng vai trò như một lớp rào chắn, chỉ cho phép các trình khởi động, nhân hệ điều hành và trình điều khiển (driver) có chữ ký số hợp lệ từ nhà sản xuất hoặc Microsoft chạy khi mở máy, qua đó ngăn chặn các loại mã độc nguy hiểm can thiệp vào tiến trình khởi động hệ thống.

Vì sao laptop bị lỗi Secure Boot này?

Nguyên nhân thường gặp là firmware bị thiếu chứng chỉ Windows UEFI CA 2023, trong khi trình khởi động Windows đã được ký bằng chứng chỉ này.

Firmware có thể mất hoặc chưa tích hợp chứng chỉ theo 3 trường hợp chính:

• Tính năng Secure Boot bị vô tình reset về thiết lập mặc định của nhà sản xuất sau khi hệ thống đã được cập nhật các chứng chỉ mới.
• Firmware BIOS gặp sự cố kỹ thuật dẫn đến việc ghi đè lên cơ sở dữ liệu chứng chỉ thay vì thêm chứng chỉ mới vào danh sách tin cậy.
• BIOS được cập nhật, đặt lại hoặc do pin CMOS trên bo mạch bị hết/hỏng làm thất thoát dữ liệu lưu trữ (hiện tượng này đã được ghi nhận trên một số dòng máy như Razer Blade).

Theo xác nhận chính thức từ Microsoft, các thiết bị chưa được cập nhật chứng chỉ 2023 về lý thuyết vẫn có thể khởi động bình thường, chúng chỉ bị từ chối áp dụng thêm các bản vá bảo mật mới cho khâu khởi động. Do đó, việc hết hạn chứng chỉ không đồng nghĩa với việc làm phần cứng laptop của bạn bị hư hỏng.

Cần chuẩn bị gì trước khi sửa?

Hãy lấy sẵn mã khôi phục BitLocker, vì máy có thể hỏi mã này sau khi cài đặt Secure Boot thay đổi. Để quá trình xử lý diễn ra thuận lợi, bạn cần chuẩn bị đầy đủ các công cụ và thông tin sau:

• Mã khôi phục BitLocker: Sử dụng một thiết bị khác (điện thoại hoặc máy tính) truy cập vào địa chỉ aka.ms/myrecoverykey đăng nhập tài khoản Microsoft để tra cứu mã.
• Ổ cứng USB: Chuẩn bị 1 USB trống có dung lượng tối thiểu 4GB và được định dạng theo chuẩn FAT32.
• Thông tin thiết bị: Xác định chính xác tên model laptop và phiên bản BIOS hiện tại.
• Nguồn điện: Luôn cắm sạc cho laptop trong suốt quá trình thao tác để tránh nguy cơ sập nguồn giữa chừng.

3 cách sửa lỗi Secure Boot trên laptop

Hãy thử theo thứ tự từ đơn giản đến phức tạp: khôi phục khóa Secure Boot, cập nhật BIOS, rồi dùng công cụ của Microsoft.

Cách 1: Khôi phục khóa Secure Boot trong BIOS

Phương pháp này giúp hệ thống tải lại toàn bộ danh sách chứng chỉ mặc định của nhà sản xuất.

1. Tắt hoàn toàn laptop, sau đó khởi động lại và nhấn liên tục phím tắt vào BIOS theo đúng hãng máy (ví dụ dòng máy HP thường là phím F10, ASUS là F2 hoặc Del).
2. Truy cập vào mục Security hoặc Boot, tìm đến phần thiết lập Secure Boot.
3. Tìm và chọn tùy chọn khôi phục khóa về mặc định (trên giao diện máy HP thường ghi là Restore Factory Keys hoặc Reset to Setup Mode).
4. Nhấn phím F10 để lưu lại thiết lập và chọn Yes để khởi động lại máy tính.

Dự phòng: Microsoft lưu ý việc tạm thời tắt Secure Boot (Disabled) có thể giúp máy vượt qua lỗi để vào tạm hệ điều hành Windows. Tuy nhiên, bạn chỉ nên xem đây là giải pháp tạm thời, sau khi khắc phục xong nguyên nhân cần bắt buộc bật lại. Trong trường hợp mục Secure Boot bị ẩn mờ không cho thao tác chỉnh sửa, hãy chuyển sang áp dụng Cách 2.

Cách 2: Cập nhật BIOS từ trang hỗ trợ của hãng

Cập nhật bản BIOS mới nhất sẽ giúp nạp bổ sung các chứng chỉ mã hóa còn thiếu vào firmware của bo mạch chủ.

1. Sử dụng một máy tính khác đang hoạt động bình thường, truy cập vào trang hỗ trợ kỹ thuật chính thức của hãng laptop theo đúng tên model máy.
2. Tải về phiên bản BIOS mới nhất và đọc kỹ tài liệu ghi chú phát hành (Release Notes).
3. Sao chép tệp tin BIOS đã tải vào ổ USB chuẩn FAT32, cắm vào laptop bị lỗi, truy cập lại vào giao diện BIOS và khởi chạy công cụ cập nhật (như EZ Flash, Q-Flash hay HP EZ Flash).

Dấu hiệu bản chuẩn: Các bản cập nhật BIOS chứa bản vá cho lỗi này thường kèm theo mô tả trong Release Notes với nội dung như: "Add DB keys Windows UEFI CA 2023 & Microsoft UEFI CA 2023".

Cảnh báo an toàn: Cần kiểm tra tuyệt đối chính xác tên model thiết bị trước khi nạp BIOS. Việc nạp nhầm phiên bản tệp tin BIOS khác dòng máy có thể dẫn đến việc bo mạch bị lỗi hoàn toàn (brick). Ngoài ra, một số dòng máy đời cũ nếu chưa được nhà sản xuất phát hành bản vá BIOS mới sẽ cần đến sự hỗ trợ trực tiếp từ trung tâm bảo hành của hãng.

Cách 3: Dùng công cụ khôi phục của Microsoft

Nếu hai cách trên chưa giải quyết được, bạn có thể áp dụng quy trình công cụ khôi phục thủ công do Microsoft cung cấp.

1. Trên một máy tính chạy Windows 11/10 khác đã được cập nhật các bản vá từ tháng 7/2024 trở về sau, truy cập theo đường dẫn thư mục: C:\Windows\Boot\EFI\.
2. Tìm và chép tệp tin có tên SecureBootRecovery.efi ra ngoài.
3. Cắm USB FAT32 vào máy, tạo cấu trúc thư mục theo đúng đường dẫn \EFI\BOOT\ trên USB, sau đó dán tệp tin vừa chép vào đây và tiến hành đổi tên tệp thành bootx64.efi.
4. Cắm USB vào laptop gặp lỗi, bật máy và chọn khởi động (Boot Menu) trực tiếp từ USB này để công cụ tự động ghi bổ sung chứng chỉ Windows UEFI CA 2023 vào hệ thống.

Lưu ý bắt buộc: Công cụ này chỉ có chức năng ghi nạp lại đúng 1 chứng chỉ khởi động bị thiếu. Sau khi thiết bị đã truy cập thành công vào lại Windows, bạn cần lập tức chạy tính năng Windows Update để nạp đầy đủ các bản vá bổ sung, đồng thời kiểm tra và nâng cấp BIOS lên phiên bản mới nhất từ trang chủ. (Lưu ý riêng: Với các dòng laptop MSI, hãng có phát hành công cụ riêng mang tên Secure Boot Violation Tool trên trang hỗ trợ chính thức mà người dùng có thể tham khảo).

Những cách nào không nên làm?

Trong quá trình xử lý sự cố, bạn cần tránh thực hiện các thao tác sai lầm có thể gây ảnh hưởng đến tính an toàn của hệ thống:

• Không chuyển chuẩn khởi động sang Legacy/CSM: Việc chuyển đổi này chỉ mang tính chất tránh né thông báo lỗi chứ không xử lý tận gốc nguyên nhân, đồng thời làm mất đi hàng loạt tính năng bảo mật cao cấp của chuẩn UEFI.
• Không duy trì trạng thái tắt Secure Boot lâu dài: Thao tác này khiến thiết bị mất đi hoàn toàn lớp bảo vệ chống lại các loại mã độc độc hại tác động vào bootloader.
• Không chọn tùy chọn Clear Keys/Delete All Keys: Nếu giao diện BIOS cho phép, bạn hãy ưu tiên sử dụng tính năng "Reset" hoặc "Restore Default" thay vì xóa sạch toàn bộ khóa.
• Không tải các tệp tin vá lỗi từ nguồn lạ: Chỉ sử dụng các tệp tin trích xuất trực tiếp từ hệ điều hành Windows hoặc tải từ website chính thức của nhà sản xuất phần cứng để tránh nguy cơ đính kèm mã độc.

Sửa xong cần kiểm tra gì để lỗi không quay lại?

Hãy bật lại Secure Boot, rồi vào Windows Security > Device security > Secure Boot để xem trạng thái. Tại đây, hệ thống sẽ hiển thị các biểu tượng phản ánh mức độ an toàn hiện tại của thiết bị:

Việc nên làm tiếp theo: Hãy tiếp tục duy trì thói quen kiểm tra và cập nhật các bản vá Windows Update mới nhất, đồng thời theo dõi các bản cập nhật BIOS từ hãng. Hệ thống có thể sẽ yêu cầu bạn nhập lại mã BitLocker một lần duy nhất ở lần khởi động đầu tiên sau khi sửa Secure Boot, các lần khởi động tiếp theo sẽ trở lại bình thường.

Khi nào nên mang laptop đi kiểm tra?

Nên mang đi kiểm tra nếu thử cả 3 cách vẫn báo Invalid signature, hoặc bạn không chắc đúng bản BIOS của máy. Theo hướng dẫn từ Microsoft, đối với một số trường hợp lỗi firmware phức tạp hoặc thiết bị không thể nạp lại khóa mặc định, người dùng nên tìm kiếm sự hỗ trợ kỹ thuật chuyên sâu.

Quý khách hàng có thể liên hệ trực tiếp đến hotline hỗ trợ kỹ thuật miễn phí 1800 3355 của Minh Tuấn Mobile, hoặc mang máy đến cửa hàng gần nhất để được đội ngũ kỹ thuật viên kiểm tra và xử lý an toàn.