UEFI BIOS instellen en Secure Boot: vragen en antwoorden

Marco den Teuling
0

Moderne pc’s en notebooks met processors van AMD, Intel en Qualcomm hebben een UEFI-BIOS. In vergelijking met het traditionele BIOS is er onder de motorkap nogal wat veranderd. Op sommige plekken zijn er nog wat problemen, maar die zijn meestal nog wel op te lossen.

Uitgebreide (achtergrond)informatie over UEFI en alternatieven zoals Coreboot vind je in c't Magazine dec/2018

Hier volgen enkele van de meest gestelde vragen over UEFI en het hieraan gerelateerde Secure Boot en antwoorden om je op weg te helpen.

Wat is een UEFI-BIOS?
Wat is het verschil tussen een UEFI-BIOS en een ‘gewoon’ BIOS?

Moderne computers hebben een Basic Input/Output System (BIOS) dat voldoet aan de specificaties van de Unified Extensible Firmware Interface (UEFI). Daarin is een groot aantal functies gespecificeerd, bijvoorbeeld hoe de ingangen voor de bootvolgorde via software kunnen worden geschreven, verwijderd en gewijzigd. Daar maken de set-uproutines van besturings­systemen gebruik van om hun eigen boot­loader te registreren.

UEFI- of BIOS-opstartmodus?
Hoe weet ik of mijn besturingssysteem start in UEFI- of BIOS-modus?

Bij Windows start je Systeem­informatie (msinfo32.exe). Als daar de ‘Status beveiligd opstarten’ actief is, dus de UEFI Secure Boot, dan is onmiddellijk duidelijk dat er ook in de UEFI-modus is gestart. Anders geeft de waarde bij BIOS-modus de opstartmodus aan: UEFI of ‘Verouderd’.

UEFI BIOS instellen bootmodus controleren Systeeminformatie

Onder Windows verraadt Systeeminformatie de bootmodus en of UEFI Secure Boot actief is, dus de ‘Status beveiligd opstarten’.

UEFI Secure Boot
Wat is Secure Boot en wat is de rol daarvan bij een UEFI-BIOS?

Als de UEFI-functie Secure Boot actief is, dan start een UEFI-BIOS uitsluitend cryptografisch ondertekende bootloaders waarvan de certificaten in de BIOS-code zijn opgeslagen. De sleuteldatabase voor toegestane of expliciet verboden boot­loaders kan via een BIOS-update worden gewijzigd, maar ook via Windows Update. Daarmee kunnen bijvoorbeeld schadelijke bootloaders alsnog geblokkeerd worden.

Veel populaire Linux-distributies werken ook met Secure Boot. Dat geldt echter niet voor onder andere Debian GNU/Linux, Arch Linux en vele oudere distributies. Als je die wilt gebruiken, of misschien ook Windows 7, moet je Secure Boot uitschakelen. Dat is bij de meeste Windows-computers mogelijk, maar er zijn uitzonderingen, vooral bij Windows-tablets.

UEFI-BIOS start in de BIOS-modus
Kan een UEFI-BIOS een besturings­systeem op precies dezelfde manier starten als klassieke pc-BIOS-systemen dat jarenlang gedaan hebben?

Ja dat kan, als in de firmwarecode dan een zogenaamde Compatibility Sup­port Module (CSM) is opgenomen. Secure Boot werkt dan echter niet en een via CSM gestart besturingssysteem of installatieprogramma kan bijvoorbeeld geen UEFI-bootitems toevoegen.

De meeste desktop-pc’s en bijna alle los verkochte moederborden voor desktop-pc’s hebben een UEFI-BIOS met CSM. Windows-tablets met de energiespaar­modus Modern Standby hebben echter vaak geen CSM, net als Windows-notebooks met ARM-SoC’s. Vanaf 2020 wil Intel dat de pc-fabrikanten geen CSM meer installeren. Dan zullen besturingssystemen alleen nog kunnen starten als ze UEFI beheersen.

BIOS-startmodus activeren
Hoe schakel ik de BIOS-compatibele startmodus in?

Veel los verkrijgbare moederborden voor desktop-pc’s kiezen automatisch de BIOS-startmodus met CSM zodra ze een opslagmedium met Master Boot Record (MBR) en een klassieke bootloader herkennen. Dan hoef je niet handmatig om te schakelen.

Bij sommige UEFI-BIOS’en moet je eerst bij de instellingen Secure Boot uitschakelen, vervolgens opnieuw opstarten, opnieuw de BIOS-set-up oproepen en dan pas kun je de CSM uitschakelen. De optie heeft vaak een verrassende naam en bij veel moederborden gaat hij schuil achter een verwijzing naar het geïnstalleerde besturingssysteem. Boot-modus ‘Win 7’ is dan de BIOS-bootmodus, ‘Win 8’ of ‘Win 10’ de UEFI-modus met Secure Boot. Je laatste redmiddel is de handleiding of de helpdesk van de fabrikant.

UEFI BIOS instellen BIOS-modus MSI legacy

In deze BIOS-set-up van een moederbord van MSI kun je het booten in de BIOS-modus activeren via ‘Legacy+UEFI’.

Voordelen van het UEFI-BIOS
Wat zijn de voordelen van een UEFI-BIOS ten opzicht van het ‘oude’ BIOS?

De belangrijkste nieuwe functie is Secure Boot. Voor Windows komt daar nog bij dat de bootloader alleen op een schijf met meer dan 2 TB kan staan wanneer het systeem in de UEFI-modus start, al is dat een willekeurige eis van Microsoft.

UEFI vergemakkelijkt ook het parallel installeren van meerdere besturingssystemen op hetzelfde systeem en specificeert een standaardfunctie voor firmware-updates (Capsule Update) die BIOS-updatesoftware van fabrikanten kan vervangen, ook onder Linux. Tot dusver maken nog maar weinig fabrikanten daarvan gebruik.

Doorlezen is gratis, maar eerst even dit:

Dit artikel is met grote zorg samengesteld door de redactie van c’t magazine – het meest toonaangevende computertijdschrift van Nederland en België. Met zeer uitgebreide tests en praktische workshops biedt c’t de diepgang die je nergens online vindt.

Bekijk de abonnementen   Lees eerst verder

Andere voordelen blijven bij Windows-pc’s voor privégebruik meer theoretisch. UEFI biedt betere beheermogelijkheden voor parallel geïnstalleerde besturingssystemen, maar die zijn vaak eigenzinnig geïmplementeerd.

Sommige speciale functies van Intel-chipsets, zoals NVMe-RAID voor M.2- en PCIe-ssd’s, werken alleen bij het opstarten in de UEFI-modus. Ten slotte is de UEFI-startmodus toekomstbestendig als je het moederbord later eens moet vervangen, omdat vanaf 2020 steeds minder systemen op de markt zullen komen die in de BIOS-modus kunnen starten.

Bootgegevens wijzigen
In mijn BIOS-set-up komt de opstart­vermelding ‘Windows Boot Manager’ dubbel voor. Kan het ik het duplicaat dan gewoon verwijderen?

In principe kan dat zeker wel, en in het geval van Windows zelfs met de programma’s van Windows zelf. In dat geval kan dat namelijk met het opdracht­regelprogramma bcdedit (lees de FAQ voor die software). Dat werkt echter tamelijk ingewikkeld. Eenvoudiger gaat het met een programma als EasyUEFI.

UEFI BIOS instellen boot volgorde wijzigen aanpassen EasyUEFI

Onder Windows kun je UEFI-bootitems redelijk makkelijk wijzigen met EasyUEFI.

Secure Boot uitschakelen
Leuk dat Secure Boot, maar hoe kan ik dat weer uitschakelen?

Bij veel BIOS-instellingen bevindt de optie voor het in- en uitschakelen van Secure Boot zich in het submenu ‘Security’, maar ook vaak in ‘Boot’ of op een totaal verrassende andere plek. Bij een oud Acer-notebook verscheen de optie pas toen er een wachtwoord was ingesteld voor de BIOS-instellingen.

Windows heeft er tot nu toe geen problemen mee als je bij een UEFI-installatie Secure Boot dan pas achteraf in- of uitschakelt. Als de BIOS-bootmodus actief is, dan is Secure Boot in ieder geval per definitie uitgeschakeld.

UEFI Secure Boot inschakelen
Mijn pc start op in de UEFI-modus, maar dan zonder Secure Boot. Hoe activeer ik die in dat geval?

Bij de meeste UEFI-BIOS-instellingen is daar een optie voor, zie ook het vorige antwoord. Soms is die optie echter niet genoeg om Secure Boot in te schakelen of is hij aanvankelijk zelfs grijs of inactief. Bij oudere pc-moederborden en pc-barebones moet je eerst de digitale certificaten downloaden die vereist zijn voor Secure Boot. Daarvoor dienen opties met namen zoals ‘Load Default Keys’. Soms is dan ook nog een herstart nodig (Save Changes and Restart, toets F10 of F4) voordat je de BIOS-instellingen weer kunt oproepen en de Secure-Boot-modus kunt instellen op ‘Standard’. Pas daarna heb je de mogelijkheid Secure Boot ook weer te activeren.

Dergelijke BIOS-versies hebben vaak ook een ‘Custom’-modus voor Secure Boot, die met andere digitale certificaten dan die van Microsoft kan werken. Die certificaten zou je echter eerst moeten maken en via een USB-stick in het systeem moeten importeren, voordat je Secure Boot kunt inschakelen.

UEFI BIOS instellen Secure Boot Config Platform Key

Als je Secure Boot wilt inschakelen, moet je bij de BIOS-­instellingen van veel UEFI-BIOS-­set-ups eerst uitdrukkelijk de ‘Platform Key’ van de fabrikant laden.

Windows wil geen GPT ondanks de UEFI-modus
Ik wil Windows installeren in één grote partitie op mijn harde schijf van 3TB, die daarvoor een GPT moet hebben. Maar hoewel ik in de BIOS-set-up UEFI heb ingesteld, beweert het Windows-installatieprogramma de GPT-schijf niet te kunnen gebruiken.

In dit geval heeft het moederbord je misleid en is er opgestart in de CSM-modus, ondanks dat het is ingesteld op UEFI. Dat doen meer moederborden als ze het idee hebben dat er problemen kunnen ontstaan in de UEFI-modus, bijvoorbeeld door een grafische kaart waarvan het VGA-BIOS niet geschikt is voor UEFI. Dan rest je niets anders dan de CSM-modus helemaal uit te schakelen.

In welke modus het klagende installatieprogramma van Windows gestart is, kun je overigens zelf achterhalen. Open een opdrachtprompt met Shift+F10 en typ twee opdrachten in:

wpeutil updatebootinfo
regedit

Zoek in de register-editor naar de sleutel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control. Als de waarde van de ingang PEFirmwareType 1 is, was de start in CSM, maar bij 2 was het in de UEFI-modus.

De Windows 10-set-up werkt alleen maar met GPT
Ik heb Windows 7 op de harde schijf en wil Windows 10 ernaast installeren. Het installatieprogramma weigert dat echter, omdat dat alleen kan op een GPT-schijf, terwijl mijn schijf een gewone MBR heeft.

Je computer kan blijkbaar zowel in de UEFI- als in de BIOS-modus star­ten. Dat geldt ook voor een Windows 10-installatiemedium. Windows Set-up begint op je systeem in de UEFI-modus en zoekt daar naar een GPT-schijf. Als je op een MBR-schijf wilt installeren, moet de Windows-set-up in de BIOS-compatibele modus starten.

Dat kun je afdwingen met een simpele truc als je een usb-stick gebruikt als installatiemedium. Geef in de rootdirectory daarvan de map ‘efi’ en het bestand ‘bootmgr.efi’ een willekeurige andere naam. Dit legt de UEFI-bootloader lam, zodat vanaf dit medium alleen nog een start in de BIOS-modus mogelijk is.

Parallelle installatie van Windows 7 en 10
Op de eerste harde schijf van mijn pc is Windows 7 al geruime tijd zonder problemen actief. Nu heb ik een tweede schijf ingebouwd en daarop Windows 10 geïnstalleerd. Ook dat ging verder zonder problemen. Anders dan ik had verwacht, verschijnt bij het starten van de pc nu echter geen bootmenu, zodat ik alleen met Windows 10 kan booten, maar niet meer met Windows 7. Wat is er onderweg gebeurd?

De oorzaak daarvan zit misschien in het UEFI-BIOS. Niet elk moederbord houdt zich netjes aan de in de BIOS-set-up gespecificeerde instelling voor de UEFI- of BIOS-bootmodus.
In dit geval was dat aanvankelijk wel handig. Hoewel het moederbord op de UEFI-modus was ingesteld, herkende het bij het installeren en vervolgens bij elke start van Windows 7 dat het oude besturings­systeem alleen in de BIOS-­modus kon werken, waarop het moederbord verder stiekem in de BIOS-modus startte, hoewel er iets anders was ingesteld.

Nu heb je echter geboot van het Windows-10-installatiemedium, en dat kan ook in de UEFI-modus starten. Daarom bleef het moederbord bij de start in deze modus. En omdat tijdens het installeren van Windows 10 in de UEFI-modus ook een geldige UEFI-bootingang werd toegevoegd, vindt het BIOS bij elke start een UEFI-compatibele bootloader. Er is dus geen reden meer om stiekem over te schakelen naar de BIOS-modus. Dat had op zijn beurt weer invloed op de installatie van Windows 10. Omdat Windows 7 niet kan opstarten in de toen actieve UEFI-­modus, vond het installatieprogramma van Windows 10 geen ander opstartbare Windows-versie, en dus kon Windows 7 niet geïntegreerd worden.

Je kunt Windows 7 nog wel starten, maar niet via de Windows-bootloader. Via het BIOS-bootmenu (BIOS Boot Select, BBS) is het gewoonlijk nog steeds beschikbaar. Dat roep je meestal op door te drukken op Del, F1, F2 of F12 wanneer je de pc inschakelt.

Het zou mooi zijn als je bij je BIOS-instellingen de BIOS-startmodus steeds automatisch kunt afdwingen, maar dat is een kwestie van uitproberen. Maar ook dan blijft het ingewikkeld. Maak eerst een image van Windows 10. Stel vervolgens bij de BIOS-instellingen de BIOS-startmodus in en zet daarna de image terug (gebruik als imager bijvoorbeeld c’t-WIMage). Daarna zou de bootlader de keuze moeten geven uit beide Windows-installaties.

Meer achtergronden, workshops en reviews in c't magazine. Nieuwste uitgave: c't Magazine apr/2019

Deel dit artikel

Lees ook

Gegevens verwijderen van computers, op harde schijf en ssd

Gegevens verwijderen betekent niet altijd hetzelfde. We gaan in op de basis van datahygiëne en hoe je correct gegevens verwijderen kunt van harde schi...

Dropbox alternatieven

Bestanden delen kan tricky zijn: privacyminded vrienden willen niets via de cloud, Linux-gebruikers klagen over het wegvallen van support bij Dropbox ...

0 Praat mee

avatar
  Abonneer  
Laat het mij weten wanneer er