Короче:
1) Install the updated certificate definitions to the DB.

Проверка наличия сертификата Windows UEFI CA 2023 в db Secure Boot, в PS от админа.

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Если True, переходим, в пункт 2. Если False:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f
после этого:

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" , открываем потом журнал система и смотрим

TPM событие - должен обновить .db, в течении 10-15 секунд примерно, на русском всё напишет. Событие асинхронное, так что учитывайте это при проверке записей.

В случае успеха, можно подписать загрузчик в пункте 2, если он уже не подписан.

Пункт 2: Смотрим подписан ли загрузчик:
Монтируем EFI: mountvol s: /s

копируем его в корень,
copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

и проверяем в свойствах, подпись Uefi 2023 СA , файл потом можно удалить.

Если подписан, переходим в пункт 3.

В ином случае:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Запуск задания обновления, Чек в журнале самостоятельно, в "Система".

В случае успешных 1-2 пункта и прописывания в журнале, апдейта в UEFI SecureBoot, можно Windows Production CA 2011” сертификат закинуть в DBX, иначе далее не стоит двигаться, т.к. машина не загрузит загрузчик Windows подписанный c 2011, и с отозванным сертификатом 2011, в пункте 3.

Пункт 3:
Проверяем наличие ключа Microsoft Windows Production PCA 2011 в "отозванных" SB (dbx)

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

При False и успешных 1-2 пунктах , прописываем его в запрещенные:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

После чек журнала, пробуем рестарт, если всё хорошо, завершаем работу в пункте 4-ом, загрузчик защищается механизмом self-revocation, при запуске он сравнивает версию своей подписью с Uefi SB , если в Boot Manager SVN< firmware, отказ, нужно это для защиты, от подмены, при буткитах и руткитах:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"