Secure Boot

Коротко: Secure Boot — це функція UEFI, яка під час запуску допускає лише програмне забезпечення, що має цифровий підпис і відоме як надійне. Це не дає шкідливому коду (буткітам) закріпитися до операційної системи.

Докладніше: Перед кожним кроком запуску прошивка перевіряє підпис наступної програми: завантажувача, ядра операційної системи, драйверів прошивки. Якщо підпису немає або файл змінено, запуск відхиляється.

Подробиці

Ланцюжок довіри:

Прошивка UEFI ──перевіряє──► завантажувач ──перевіряє──► ядро ОС ──перевіряє──► драйвери
 (ключі в прошивці: PK, KEK, db, dbx)

• Бази ключів: PK (ключ платформи, власник), KEK (ключі обміну ключами), db (дозволені підписи), dbx (відкликані підписи/геші).
• Хто підписує: Microsoft підписує Windows і shim-завантажувач, за допомогою якого запускаються багато дистрибутивів Linux (Ubuntu, Fedora). Можна зареєструвати власні ключі (MOK).
• Windows 11: вимагає Secure Boot (разом з UEFI і TPM 2.0).
• Користь: захищає від буткітів і підмінених завантажувачів, що намагаються обійти пароль чи шифрування диска.
• Обмеження: не захищає від шкідливого ПЗ, що запускається лише в працюючій системі, і від помилок у підписаних драйверах. Відкликані підписи потрібно додавати до dbx оновленнями (наприклад, після вразливості BlackLotus).
• Вимкнення: можливе в меню UEFI, потрібне, наприклад, для непідписаних драйверів чи деяких варіантів Linux. Захист втрачається.
• Перевірка стану (Windows): msinfo32 → «Стан безпечного завантаження».
• Secure Boot ≠ шифрування: він захищає цілісність запуску, а не дані. Для цього є BitLocker.

Див. також: UEFI, Завантажувач (bootloader), BitLocker, TPM і TPM 2.0