Apa yang terjadi jika saya menonaktifkan Secure Boot: risiko, penggunaan, dan cara melakukannya dengan benar

Jika Anda bertanya-tanya apa yang terjadi ketika Anda menonaktifkan Secure Boot, mungkin karena Anda menemui peringatan saat mencoba melakukan booting dari drive USB yang berisi distribusi Linux , Batocera, atau sistem lain yang tidak ditandatangani. Jangan khawatir: ini adalah pertanyaan yang sangat umum, dan ada penjelasannya. Di sini Anda akan menemukan penjelasan lengkap tentang fitur ini, kapan sebaiknya menonaktifkannya, bagaimana cara melakukannya langkah demi langkah, dan apa implikasi sebenarnya terhadap keamanan, kompatibilitas, dan proses booting.

Selain itu, Anda akan melihat contoh praktis seperti menginstal Linux, Batocera, atau versi Windows yang lebih lama , serta apa yang perlu Anda ketahui jika Anda memiliki Windows 11: UEFI, Secure Boot, dan TPM 2.0 saling berkaitan. Kami juga meninjau situasi umum di BIOS/UEFI ASUS dan cara memperbaiki status "Secure Boot Not Active" dengan mengembalikan kunci pabrik.

Apa itu Secure Boot dan mengapa itu ada?

Secure Boot adalah fitur firmware UEFI yang memungkinkan komputer hanya menjalankan perangkat lunak yang ditandatangani dan tepercaya selama proses startup , biasanya menggunakan kunci yang didukung oleh produsen dan, pada PC Windows, oleh Microsoft. Tujuannya adalah untuk mencegah bootkit, rootkit, atau bootloader yang dimodifikasi dimuat sebelum sistem operasi.

Dengan hadirnya UEFI di era Windows 8, Secure Boot menjadi landasan rantai boot . Kontrol pra-sistem operasi ini sangat berguna untuk melawan malware persisten yang menempel pada proses startup, tetapi hal ini membawa konsekuensi: jika sesuatu tidak ditandatangani dengan kunci yang diterima oleh firmware, maka ia tidak akan dapat di-boot.

Bagaimana hal ini memengaruhi Linux dan sistem lainnya? Selama bertahun-tahun, ini menjadi masalah besar , karena banyak distribusi tidak memiliki bootloader yang ditandatangani oleh Microsoft. Saat ini, beberapa distribusi, seperti Ubuntu 64-bit, menyertakan shim/GRUB yang ditandatangani dan kompatibel; meskipun demikian, tidak semuanya kompatibel, dan pada beberapa mesin, kerusakan masih terjadi jika kunci atau mode firmware tidak cocok.

Ada satu poin penting lainnya: dengan Windows 10, Microsoft berhenti mewajibkan produsen untuk menjadikan Secure Boot sebagai fitur yang dapat dinonaktifkan . Ini berarti bahwa, tergantung pada komputer Anda, Anda mungkin dapat mematikannya… atau mungkin tidak. Itu tergantung pada motherboard atau laptop Anda, dan apa yang telah diputuskan oleh OEM dalam pengaturan UEFI-nya.

Apa yang terjadi jika Anda menonaktifkan Secure Boot?

Pertama-tama: menonaktifkan Secure Boot tidak akan merusak perangkat keras Anda atau "merusak" sistem Anda . Ini adalah pengaturan firmware. Menghapus Secure Boot mengurangi perlindungan boot, tetapi tidak membuat perubahan fisik atau menurunkan kualitas komponen. Dampaknya adalah pada keamanan: Anda kehilangan penghalang yang mencegah perangkat lunak yang tidak terverifikasi untuk melakukan booting.

Namun, menonaktifkannya bisa jadi perlu dan sah dalam beberapa skenario. Misalnya, untuk menjalankan sistem yang tidak ditandatangani (Batocera, beberapa distribusi Linux, alat diagnostik) atau saat mencoba menggunakan versi Windows lama yang tidak kompatibel dengan Secure Boot.

Hal ini sering terjadi di dunia nyata: Anda mencoba memboot Batocera dari drive USB dan Anda mendapatkan pesan Secure Boot yang mengganggu. Mematikan Secure Boot biasanya membuka kunci drive USB dan memungkinkan Anda untuk mencoba menginstal tanpa batasan sebelumnya. Namun, ada baiknya untuk mengaktifkannya kembali setelah selesai jika Anda akan menggunakan Windows sebagai sistem operasi utama Anda.

Penting untuk diingat bahwa Secure Boot tidak menggantikan perangkat lunak antivirus atau praktik keamanan yang baik . Ini adalah pemeriksaan integritas boot. Menonaktifkannya tidak secara otomatis membuat Anda berisiko, tetapi hal itu menciptakan celah yang dapat dieksploitasi oleh malware tingkat rendah jika komputer Anda disusupi.

Kapan waktu yang tepat untuk tetap mengaktifkannya?

Jika Anda menggunakan Windows 10 atau 11 sebagai sistem operasi utama dan tidak memerlukan alat atau sistem alternatif apa pun, sebaiknya biarkan Secure Boot tetap aktif . Fitur ini memberikan lapisan perlindungan ekstra terhadap ancaman yang memanipulasi proses booting, membantu menstabilkan rantai booting, dan seharusnya tidak mengganggu penggunaan sehari-hari Anda.

Sebaiknya fitur ini juga tetap diaktifkan pada peralatan yang dikelola atau sensitif (kantor, tempat kerja, ruang belajar) di mana prioritasnya adalah memastikan integritas proses booting dan kepatuhan terhadap persyaratan keamanan dari produsen atau organisasi.

Cara menonaktifkan Secure Boot (dua cara)

Pengaturan tersebut ada di UEFI/BIOS. Anda dapat mengaksesnya dari dalam Windows atau dengan menekan tombol saat startup . Jalur pastinya bervariasi tergantung pada pabrikan, tetapi ada pola umum.

Akses langsung ke UEFI/BIOS dengan tombol: Saat Anda menghidupkan PC, tekan tombol yang ditunjukkan pada layar startup. Biasanya F1, F2, F12, atau Esc, dan pada beberapa desktop lama, Delete. Jika proses booting cepat, coba beberapa kali atau aktifkan penundaan POST di pengaturan.

Dari Windows (Pengaturan Startup Lanjutan): Buka Pengaturan > Pembaruan & Keamanan > Pemulihan dan klik Mulai ulang sekarang di bawah Pengaturan Startup Lanjutan. Setelah memulai ulang, pilih Pemecahan Masalah > Opsi lanjutan > Pengaturan Firmware UEFI . Konfirmasikan memulai ulang, dan Anda akan masuk ke UEFI.

Setelah masuk ke pengaturan UEFI, cari Secure Boot. Biasanya ditemukan di tab seperti Security, Boot, atau Authentication . Pilih Secure Boot dan ubah nilainya dari Enabled menjadi Disabled. Simpan dan keluar (biasanya dengan F10) untuk menerapkan perubahan dan memulai ulang.

Catatan penting: Jika Anda menggunakan BitLocker atau Enkripsi Perangkat, mengubah opsi boot mungkin mengharuskan drive untuk meminta kunci pemulihan pada boot berikutnya. Siapkan kunci tersebut sebelum melakukan perubahan apa pun pada pengaturan ini dan konsultasikan diagnostik masalah boot kami untuk menghindari masalah.

Catatan khusus untuk motherboard dan laptop ASUS

Pada banyak komputer ASUS, Anda masuk ke UEFI dengan menekan F2 saat startup. Kemudian, tekan F7 untuk Mode Lanjutan. Cari Keamanan > Boot Aman dan masuk ke Kontrol Boot Aman. Di sana Anda dapat mengaturnya ke Diaktifkan atau Dinonaktifkan. Simpan dengan F10 dan restart agar perubahan berlaku.

Pada beberapa desktop ASUS, opsi tersebut muncul sebagai Tipe OS : Mode Windows UEFI (mengaktifkan Secure Boot) atau OS Lain (menonaktifkannya). Jika Anda beralih di antara mode ini, status Secure Boot akan berubah sesuai, jadi disarankan untuk menyimpan dan keluar agar perubahan berlaku.

Jika Anda melihat "Secure Boot Tidak Aktif," aktifkan Secure Boot dan pulihkan kunci pabrik . Pada laptop dan PC all-in-one, Anda dapat membuka Manajemen Kunci, pilih Atur Ulang ke Mode Pengaturan, lalu Pulihkan Kunci Pabrik. Pada komputer desktop, terkadang Anda perlu mengatur Mode Secure Boot ke Kustom, menghapus kunci, dan menginstal kunci default.

Di antarmuka MyASUS di bawah UEFI, langkah-langkahnya sangat mirip : aktifkan Secure Boot Control, masuk ke Key Management, tekan Reset to Setup Mode, lalu Restore Factory Keys. Simpan perubahan dengan F10 untuk mengaktifkannya setelah reboot.

Cara mengaktifkan kembali Secure Boot

Jika Anda menonaktifkannya untuk menginstal kartu grafis, sistem operasi, atau alat, Anda dapat mengaktifkannya kembali dengan mengikuti jalur yang sama ke pengaturan Secure Boot. Ubah ke Enabled dan simpan dengan F10.

Pada beberapa perangkat, untuk mengaktifkannya kembali, Anda perlu memilih mode Kustom dan memuat kunci bawaan pabrikan. Jika Anda tidak dapat mengaktifkannya, coba setel ulang UEFI ke pengaturan pabrik dan ulangi proses aktivasi.

Jika komputer gagal melakukan booting setelah mengaktifkan Secure Boot, kembali ke UEFI dan nonaktifkan sementara . Ini biasanya menunjukkan bahwa sistem yang Anda coba boot tidak ditandatangani atau kunci tepercaya hilang dari basis data UEFI. Jika masalah berlanjut, lihat cara memperbaiki proses booting menggunakan Bootrec.

Linux, dual booting, dan kasus Batocera

Dengan Linux, situasinya telah membaik: beberapa distribusi modern mendukung Secure Boot dan dapat melakukan booting tanpa modifikasi apa pun (misalnya, Ubuntu 64-bit dengan shim yang ditandatangani). Namun, distribusi lain atau alat yang tidak ditandatangani tetap terkunci, dan di situlah menonaktifkan Secure Boot membuat segalanya jauh lebih mudah.

Batocera, yang berfokus pada game retro, biasanya melakukan booting dari USB . Jika Anda melihat pesan Secure Boot dan layar kesalahan saat mencoba menjalankannya, menonaktifkan fitur ini akan memungkinkan Anda untuk mencoba menginstalnya. Ini bukan hal yang aneh atau buruk: ini hanya berarti bootloader tidak ditandatangani dengan kunci yang dikenali oleh UEFI Anda.

Konsekuensi jangka panjang? Tidak ada efek permanen pada perangkat keras atau perangkat lunak . Ini adalah perubahan kebijakan boot. Namun, ingat untuk mengaktifkannya kembali jika Anda kembali ke instalasi Windows biasa dan ingin mengembalikan lapisan perlindungan pra-boot tersebut.

Pada perangkat yang pabrikannya tidak mengizinkan penonaktifan fitur ini, pertimbangkan untuk menggunakan distribusi yang kompatibel dengan Secure Boot atau periksa apakah OEM menawarkan pembaruan firmware dengan kunci yang diperbarui yang menambahkan dukungan untuk lebih banyak bootloader.

Windows 7: nostalgia ya, tapi dengan nuansa

Banyak orang mencoba menginstal Windows 7 karena nostalgia dan mengalami layar biru atau restart. Jika Anda perlu melakukan booting ke Safe Mode , panduan ini dapat membantu, tetapi menonaktifkan Secure Boot hampir penting untuk mencobanya, karena Windows 7 dirancang untuk BIOS/Legacy dan bukan untuk Secure Boot modern. Namun, menonaktifkan boot lock tidak menjamin Anda akan terhindar dari layar biru.

Mengapa? Driver dan dukungan . Windows 7 telah mencapai akhir masa dukungannya pada Januari 2020. Perangkat keras modern tidak memiliki driver bawaan (USB 3.0, NVMe, chipset terbaru), yang dapat menyebabkan kesalahan instalasi atau ketidakstabilan. Selain itu, keamanannya lebih rendah dan tidak lagi menerima pembaruan.

Jika Anda tetap mencoba, Anda mungkin perlu mengaktifkan kompatibilitas CSM/legacy , menyiapkan drive USB dengan driver yang sudah terpasang, atau bahkan memformat disk ke MBR . Tidak satu pun dari hal ini direkomendasikan pada komputer utama: hal ini mempersulit proses booting dan membahayakan fitur keamanan modern.

Oleh karena itu, rekomendasi yang masuk akal adalah menggunakan Windows 10 atau 11. Jika tujuan Anda hanya untuk menjalankan perangkat lunak klasik, pertimbangkan mesin virtual atau mode kompatibilitas pada sistem yang didukung.

Windows 11: UEFI, Boot Aman, dan TPM 2.0

Windows 11 membutuhkan dukungan UEFI, TPM 2.0, dan Secure Boot. Setelah memperbarui atau mengatur ulang BIOS Anda, UEFI, Secure Boot, atau fTPM/AMD PSP TPM mungkin dinonaktifkan , sehingga perlu diaktifkan kembali secara manual. Tidak jarang fitur-fitur ini dinonaktifkan secara default, bahkan pada versi BIOS yang mendukung Windows 11.

Apakah Windows 11 akan booting jika fitur-fitur ini dinonaktifkan? Mungkin akan booting jika sudah terinstal , tetapi Anda akan kehilangan fitur keamanan yang diperlukan dan mungkin mengalami masalah dengan beberapa pembaruan atau validasi. Idealnya, Anda harus mengaktifkan kembali UEFI (booting tanpa CSM), Secure Boot, dan TPM 2.0 di pengaturan UEFI.

Jika Anda beralih ke UEFI murni dan komputer berhenti menemukan Windows, Disk Anda mungkin masih dalam format MBR.Anda dapat mengonversinya ke GPT tanpa memformat menggunakan alat Microsoft mbr2gpt. Pertama, verifikasi sebagai berikut: mbr2gpt /validate /disk:0 /allowfullOSJika validasi berhasil, lakukan konversi menggunakan perintah yang sesuai dan boot ulang ke mode UEFI. Untuk petunjuk konversi dan perbaikan boot, lihat caranya. menganalisis dan memperbaiki startup.

Perlu diingat bahwa mengaktifkan CSM sering kali menonaktifkan Secure Boot dan mungkin memerlukan MBR serta instalasi ulang. Hindari mencampur CSM dengan Windows 11: andalkan UEFI, GPT, dan TPM untuk menjaga kompatibilitas dan keamanan.

BitLocker dan peringatan lainnya saat menyentuh UEFI

Jika disk Anda dienkripsi, memodifikasi opsi boot dapat memicu layar pemulihan BitLocker atau Enkripsi Perangkat . Pastikan Anda memiliki kunci Anda di akun Microsoft Anda atau di portal perusahaan sebelum melakukan perubahan apa pun.

Beberapa produsen memperbarui basis kunci tepercaya dengan versi firmware baru. Perbarui UEFI Anda secara berkala untuk memperluas kompatibilitas dan mengurangi peringatan Secure Boot dengan perangkat lunak yang sah dan bertanda tangan digital.

Solusi: Boot Aman muncul sebagai Tidak Aktif

Jika Anda melihat status "Tidak aktif" meskipun sudah diaktifkan, pulihkan kunci Secure Boot dari UEFI. Prosedur umumnya adalah dengan masuk ke Keamanan > Secure Boot > Manajemen Kunci dan menggunakan "Reset ke Mode Pengaturan" diikuti dengan "Pulihkan Kunci Pabrik". Simpan dan mulai ulang.

Pada desktop dengan opsi lanjutan, gunakan mode Kustom untuk menghapus dan menginstal kunci default : Hapus Kunci Secure Boot lalu Instal Kunci Secure Boot Default. Setelah itu, kembali ke mode Standar jika tersedia, aktifkan Secure Boot, dan simpan perubahannya.

Bagaimana jika saya tidak dapat menemukan opsi tersebut atau tidak memungkinkan saya menonaktifkannya?

Seperti yang telah kami sebutkan, beberapa perangkat tidak menampilkan tombol untuk menonaktifkan Secure Boot atau menyembunyikannya tergantung pada mode firmware. Coba beralih antara mode Sederhana/Lanjutan (F7 pada banyak perangkat ASUS) dan periksa Keamanan/Boot/Autentikasi.

Jika sama sekali tidak muncul, kemungkinan pabrikan telah memblokirnya . Dalam hal ini, Anda hanya dapat menggunakan sistem yang kompatibel yang ditandatangani dengan kunci yang ada; hubungi dukungan OEM untuk memastikan apakah ada firmware alternatif yang mengizinkannya.

Kompatibilitas dengan kartu grafis dan perangkat lainnya

Ada beberapa skenario di mana pemasangan GPU atau perangkat keras tertentu dapat menonaktifkan Secure Boot untuk sementara waktu . Jika komputer Anda tidak dapat melakukan booting dengan Secure Boot diaktifkan setelah perubahan tersebut, coba nonaktifkan Secure Boot, pasang perangkat, lalu aktifkan kembali untuk melihat apakah semuanya berfungsi.

Perlu diingat bahwa beberapa utilitas diagnostik atau instalasi pihak ketiga juga tidak ditandatangani dan akan diblokir oleh Secure Boot. Booting dari USB dengan alat-alat ini biasanya memerlukan penonaktifan Secure Boot untuk sementara waktu.

Praktik baik untuk menghindari kebingungan

Sebelum melakukan perubahan apa pun, perhatikan status UEFI/CSM, Secure Boot, dan TPM saat ini . Ambil foto konfigurasi dengan ponsel Anda jika perlu; ini akan membantu Anda mengembalikan perubahan jika terjadi sesuatu yang tidak sesuai rencana.

Jika tujuan Anda adalah melakukan dual-boot dengan Linux, mulailah dengan distribusi yang mendukung Secure Boot dan nonaktifkan hanya jika benar-benar diperlukan. Ini mengurangi konflik dengan Windows 10/11 dan mencegah Anda kehilangan perlindungan pra-boot.

Jika status Secure Boot tidak sesuai dengan yang Anda lihat, memulihkan kunci biasanya menjadi solusinya . Dan ingat untuk menyimpan perubahan dengan F10 atau dari menu Simpan dan Keluar agar UEFI menerapkan kebijakan baru.

Isaac

Penulis yang bersemangat tentang dunia byte dan teknologi secara umum. Saya suka berbagi ilmu melalui tulisan, dan itulah yang akan saya lakukan di blog ini, menunjukkan kepada Anda semua hal paling menarik tentang gadget, perangkat lunak, perangkat keras, tren teknologi, dan banyak lagi. Tujuan saya adalah membantu Anda menavigasi dunia digital dengan cara yang sederhana dan menghibur.