Secure Boot

Kısaca: Secure Boot, başlangıçta yalnızca dijital olarak imzalı ve güvenilir olarak bilinen yazılımlara izin veren bir UEFI özelliğidir. Bu, kötü amaçlı kodun (bootkit’lerin) işletim sisteminden önce yuva yapmasını engeller.

Biraz daha ayrıntılı: Aygıt yazılımı, her başlangıç adımından önce bir sonraki programın imzasını denetler: önyükleyici, işletim sistemi çekirdeği, aygıt yazılımı sürücüleri. İmza eksikse veya dosya değiştirilmişse başlangıç reddedilir.

Ayrıntılı

Güven zinciri:

UEFI aygıt yazılımı ──denetler──► önyükleyici ──denetler──► işletim sistemi çekirdeği ──denetler──► sürücüler
 (aygıt yazılımındaki anahtarlar: PK, KEK, db, dbx)

• Anahtar veritabanları: PK (platform anahtarı, sahip), KEK (anahtar değişim anahtarları), db (izin verilen imzalar), dbx (iptal edilmiş imzalar/özetler).
• Kim imzalar: Microsoft, Windows’u ve birçok Linux dağıtımının (Ubuntu, Fedora) başladığı bir shim yükleyicisini imzalar. Kendi anahtarlarınızı kaydedebilirsiniz (MOK).
• Windows 11: Secure Boot gerektirir (UEFI ve TPM 2.0 ile birlikte).
• Yararı: Bir parolayı veya disk şifrelemesini aşmaya çalışan bootkit’lere ve değiştirilmiş önyükleyicilere karşı korur.
• Sınırlar: Yalnızca çalışan sistemde başlayan kötü amaçlı yazılımlara ve imzalı sürücülerdeki hatalara karşı korumaz. İptal edilen imzalar güncellemelerle dbx’e eklenmelidir (örneğin BlackLotus açığından sonra).
• Kapatma: UEFI menüsünde mümkündür; örneğin imzasız sürücüler veya bazı Linux varyantları için gerekir. Korumayı kaybedersiniz.
• Durumu denetleme (Windows): msinfo32 → “Secure Boot Durumu”.
• Secure Boot ≠ şifreleme: Başlangıcın bütünlüğünü korur, verileri değil. Bunun için BitLocker vardır.

Ayrıca bak: UEFI, Önyükleyici (bootloader), BitLocker, TPM ve TPM 2.0