Secure Boot

Коротко: Secure Boot — это функция UEFI, которая при запуске допускает только программное обеспечение, имеющее цифровую подпись и известное как надёжное. Это не даёт вредоносному коду (буткитам) закрепиться до операционной системы.

Подробнее: Перед каждым шагом запуска прошивка проверяет подпись следующей программы: загрузчика, ядра операционной системы, драйверов прошивки. Если подписи нет или файл изменён, запуск отклоняется.

Подробности

Цепочка доверия:

Прошивка UEFI ──проверяет──► загрузчик ──проверяет──► ядро ОС ──проверяет──► драйверы
 (ключи в прошивке: PK, KEK, db, dbx)

• Базы ключей: PK (ключ платформы, владелец), KEK (ключи обмена ключами), db (разрешённые подписи), dbx (отозванные подписи/хеши).
• Кто подписывает: Microsoft подписывает Windows и shim-загрузчик, с помощью которого запускаются многие дистрибутивы Linux (Ubuntu, Fedora). Можно зарегистрировать собственные ключи (MOK).
• Windows 11: требует Secure Boot (вместе с UEFI и TPM 2.0).
• Польза: защищает от буткитов и подменённых загрузчиков, пытающихся обойти пароль или шифрование диска.
• Ограничения: не защищает от вредоносного ПО, запускающегося только в работающей системе, и от ошибок в подписанных драйверах. Отозванные подписи нужно добавлять в dbx обновлениями (например, после уязвимости BlackLotus).
• Отключение: возможно в меню UEFI, нужно, например, для неподписанных драйверов или некоторых вариантов Linux. Защита теряется.
• Проверка состояния (Windows): msinfo32 → «Состояние безопасной загрузки».
• Secure Boot ≠ шифрование: он защищает целостность запуска, а не данные. Для этого есть BitLocker.

См. также: UEFI, Загрузчик (bootloader), BitLocker, TPM и TPM 2.0