Купили ноутбук з рук: що перевірити в BIOS і Windows у перший вечір
Ноутбук із рук краще не починати з введення своїх паролів у готову Windows. Спершу варто за пів години перевірити чотири речі. Чи немає пароля адміністратора в BIOS. Чи не активний у прошивці модуль захисту від крадіжки. Чи не прив’язаний пристрій до чужої організації. І чи увімкнені безпечне завантаження та TPM. Після цього ставлять чисту систему з образу Microsoft.
Ми регулярно бачимо ноутбуки, які приходять від попередніх власників у різному стані. Найчастіше покупець радіє, що Windows уже налаштована і все працює з першого ввімкнення. Саме ця зручність і приховує те, що лишилося від попереднього власника, від автозапуску програм до налаштувань у прошивці.
Чому не варто входити в готову Windows
Готова система — це чужа квартира, у якої ви не знаєте, скільки ключів роздано. У ній можуть лишатися облікові записи попереднього власника, програми віддаленого доступу, розширення браузера й завдання в планувальнику. Перевірити все це вручну довго, і жодна перевірка не дає повної впевненості. Окремо на диску лишаються збережені сеанси браузера й кеш хмарних сервісів, якими користувався попередній власник.
Чиста інсталяція з образу Microsoft прибирає це питання цілком. Вона стирає системний розділ і ставить Windows з нуля, без програм і облікових записів попереднього власника. Проте робити її варто після перевірок нижче. Частина того, що лишає попередній власник, живе в прошивці чи в хмарі, і перевстановлення її не зачіпає.
Що перевірити в BIOS насамперед
Першим ділом варто переконатися, що в налаштування BIOS можна зайти без пароля. Клавіша входу залежить від виробника, найчастіше це F2, F1, F10, Del чи Esc одразу після ввімкнення. Якщо замість меню з’являється запит пароля, ноутбук ще не готовий до купівлі.
У BIOS бувають два різні паролі. Пароль на ввімкнення питають при кожному старті. Пароль адміністратора, або супервізора, захищає самі налаштування прошивки. Саме другий найнеприємніший. У документації одного з великих виробників бізнес-ноутбуків прямо сказано, що забутий пароль супервізора сервіс зняти не може, і допомагає лише заміна системної плати.
Тому домовлятися з продавцем треба до оплати. Він або знімає пароль при вас, або повідомляє його, після чого ви ставите свій чи вимикаєте захист. Звичний спосіб скинути налаштування батарейкою на сучасних ноутбуках такий пароль здебільшого не прибирає, бо його зберігає окрема пам’ять.
Деякі бізнес-ноутбуки дозволяють поставити пароль і на сам накопичувач NVMe. За документацією того ж виробника, такий пароль він не скидає й дані з диска не відновлює, тож накопичувач доводиться міняти. Запит пароля накопичувача при старті — така сама причина зупинити угоду.
Що таке модуль захисту від крадіжки в прошивці
У прошивку багатьох ноутбуків ще на заводі вбудовують модуль Absolute Persistence, раніше відомий як Computrace. За даними самої Absolute, його вбудовують близько 30 виробників комп’ютерів. Поки організація не купила відповідну послугу й не встановила агент, модуль спить і нічого не робить.
Після активації він поводиться інакше. За описом розробника, агент відновлюється після перевстановлення системи, заміни накопичувача й оновлення BIOS. Тобто чиста Windows не відв’язує такий ноутбук від компанії, яка ним керувала.
Перевірити стан можна в меню BIOS, зазвичай у розділі безпеки. Шукати варто пункт із назвою Absolute або Computrace і дивитися, чи він вимкнений. Якщо модуль активний, ноутбук досі перебуває під керуванням попередньої організації. Зняти цю прив’язку може лише вона сама.
Як дізнатися, чи не належить ноутбук чужій організації
Компанії часто роздають ноутбуки працівникам через службу Windows Autopilot. Пристрій реєструють у хмарі Microsoft за унікальним відбитком системної плати. Якщо організація не видалила запис перед продажем чи списанням, прив’язка лишається.
У довідці одного з виробників описано, як це виглядає. Під час першого налаштування Windows ноутбук перевіряє інтернет і, знайшовши запис, пробує приєднатися до організації. На екрані з’являється вхід із чужою назвою компанії. Видалити реєстрацію може організація, а в крайньому разі служба підтримки Microsoft за ідентифікаторами пристрою й доказом покупки.
Якщо Windows уже працює, стан видно за одну хвилину. У командному рядку виконують dsregcmd /status. За документацією Microsoft, значення YES у рядку AzureAdJoined означає приєднання до Microsoft Entra ID, а YES у DomainJoined — до корпоративного домену. Для домашнього ноутбука в обох рядках має стояти NO. Додатково варто відкрити в параметрах розділ облікових записів «Доступ до роботи або навчального закладу».
Найнадійніше перевірити прив’язку ще до оплати. Для цього продавець скидає Windows при вас і доходить до першого екрана налаштування з підключеним інтернетом. Якщо там просять увійти в обліковий запис компанії, ноутбук досі належить їй.
Як перевірити безпечне завантаження і TPM
Безпечне завантаження не дає запуститися завантажувачу без довіреного підпису ще до старту Windows. TPM — це окремий модуль, у якому зберігаються ключі шифрування та дані для перевірки цілісності системи. За вимогами Microsoft, для Windows 11 потрібні TPM версії 2.0 і прошивка UEFI з підтримкою безпечного завантаження.
Перевірка займає кілька хвилин. У вікні «Відомості про систему», яке відкриває команда msinfo32, є рядок «Стан безпечного завантаження». Версію TPM показує консоль tpm.msc. Якщо безпечне завантаження вимкнене, це ще не дефект, бо попередній власник міг ставити іншу систему. Його вмикають у BIOS, і саме тому доступ до BIOS без пароля такий важливий.
Якщо TPM у налаштуваннях вимкнений, його так само вмикають у BIOS. На ноутбуках з процесорами Intel пункт часто називається PTT, на AMD — fTPM. Без цих двох функцій чиста Windows 11 стане не на кожен ноутбук.
Чи варто очищати TPM перед чистою установкою
Microsoft описує очищення TPM як останній крок підготовки до чистої інсталяції. Так нова система зможе повністю використовувати функції модуля, зокрема перевірку цілісності. Водночас, за тією ж документацією, без очищення більшість функцій TPM теж працюватиме.
Очищення стирає всі ключі, створені в модулі, зокрема PIN-код входу. Для покупця це плюс, бо ключі належали попередньому власнику. Робити це радять засобами Windows, у застосунку «Безпека Windows», розділ «Безпека пристрою», пункт про усунення неполадок процесора безпеки. Очищати TPM прямо з меню прошивки Microsoft не рекомендує.
Як поставити чисту Windows
Найпростіший шлях закладено в саму систему. У параметрах відновлення є пункт повернення комп’ютера в початковий стан. Там обирають «Видалити все» й варіант «Завантаження з хмари». За описом Microsoft, у цьому режимі система завантажує свіжу копію Windows з серверів компанії з усіма оновленнями.
Варіант «Локальне перевстановлення» бере файли, які вже лежать на ноутбуці. Для ноутбука з рук це гірший вибір, бо ці файли залишив попередній власник. Альтернатива — завантажити образ із сайту Microsoft на флешку й поставити систему з неї, видаливши всі старі розділи.
Під час першого налаштування варто створити новий обліковий запис. Ліцензія Windows зазвичай прив’язана до обладнання й активується автоматично після перевстановлення. Ключ продукту від попереднього власника для цього не потрібен.
Після установки більшість драйверів Windows ставить сама через центр оновлень. Решту, як-от гарячі клавіші, керування живленням чи жести тачпада, беруть на сайті виробника за точною назвою моделі. Диски й флешки з програмами від продавця для цього не потрібні.
Що робити з шифруванням диска
У Windows 11 версії 24H2 шифрування диска на чистій інсталяції вмикається у фоні. На редакції Pro воно працює завжди, на Home — якщо виробник ноутбука задав відповідну позначку в прошивці. Повністю шифрування активується після входу з обліковим записом Microsoft, і ключ відновлення зберігається саме в ньому.
Звідси правило для покупця. Ключ має належати вам, а не попередньому власнику. Якщо ноутбук продали з увімкненим шифруванням на старій системі, після зміни налаштувань BIOS він може попросити ключ відновлення, якого у вас немає. Чиста інсталяція з новим обліковим записом цю проблему знімає.
Перед установкою варто глянути, який накопичувач стоїть у ноутбуці. За вимогами Microsoft, Windows 11 потребує щонайменше 64 ГБ. Якщо в ноутбуці старий жорсткий диск чи малий накопичувач, перевстановлення — найзручніший момент поставити SSD-диск, бо систему все одно ставлять з нуля.
Коли оновлювати BIOS
Оновлення прошивки виробники випускають і для виправлення вразливостей. Його беруть лише з сайту виробника за точною назвою моделі чи серійним номером із наклейки на дні. Сторонні збірки прошивок для цього не годяться. Поточну версію видно у вікні msinfo32, у рядку з версією й датою BIOS. Якщо на сайті виробника є новіша, її варто поставити, особливо коли в описі згадано виправлення безпеки.
Оновлювати варто після всіх перевірок і після чистої Windows. Ноутбук під час оновлення має бути підключений до зарядного, а сам процес не можна переривати. Якщо оновлення зупиниться на половині, ноутбук може перестати вмикатися, і тоді допоможе лише сервіс.
Що в ноутбуці з рук нормально, а що ні
Частина знахідок цілком звичайна. Вимкнене безпечне завантаження, вимкнений TPM, локальний обліковий запис чи стара версія BIOS виправляються за кілька хвилин. Це сліди того, як ноутбуком користувалися, а не ознаки проблеми.
Інша частина вимагає розмови з продавцем ще до оплати.
Запит пароля при вході в BIOS чи при ввімкненні.
Активний модуль Absolute або Computrace у розділі безпеки.
Екран входу з назвою компанії після скидання Windows.
Значення YES у рядках AzureAdJoined чи DomainJoined.
Є й деталь, яку рідко помічають. Інвентарна наклейка компанії на дні чи під клавіатурою підказує, що ноутбук жив у корпоративному парку. Сама собою вона нічого поганого не означає, але саме такі ноутбуки варто перевірити на прив’язку до організації найретельніше.
Підсумок
Порядок перевірок простий. Спершу BIOS без пароля й вимкнений модуль Absolute. Далі відсутність прив’язки до організації, потім безпечне завантаження й TPM. Після цього чиста Windows з хмари чи з образу Microsoft, новий обліковий запис, ваш власний ключ шифрування й лише наприкінці оновлення BIOS.
Якщо обираєте вживаний ноутбук у магазині, ці перевірки зручно зробити в межах гарантії. У Choicy кожен ноутбук проходить перевірку стану перед продажем, а в картці стоять реальні фото. Гарантія 40 днів дає час спокійно пройти весь список удома, перш ніж переносити на ноутбук свої дані й паролі.
Ця стаття Купили ноутбук з рук: що перевірити в BIOS і Windows у перший вечір раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
