База разрешённых подписей Secure Boot
Определение
База разрешённых подписей Secure Boot (db) — переменная прошивки UEFI, где хранятся доверенные сертификаты, подписи и хеши образов, которым разрешено запускаться до старта ОС. По ней прошивка проверяет загрузчики, приложения UEFI, драйверы и образы Option ROM.
Также ищут: UEFI authorized signature database · разрешённая база Secure Boot · db Secure Boot · allowlist UEFI images
Зачем это знать
Добавление доверия расширяет набор кода, который может запуститься до ОС. Но наличие записи в db не отменяет отзыв в dbx и не гарантирует качество образа.
Карта понятия
Что подтверждено
db хранит разрешённые подписи и хеши образов UEFI и участвует в проверке загрузчиков, приложений UEFI, драйверов и образов Option ROM.
Граница применимости: База подписей Secure Boot в UEFI 2.11.
Наличия совпадающего доверия в db недостаточно, если хеш образа или относящаяся к нему цепочка подписи запрещены в dbx.
Граница применимости: Приоритет правил проверки образов UEFI.
Что проверить
- Инвентаризируйте владельцев и сертификаты db.
- Проверьте точную цепочку загрузчика.
- Сверьте конфликты с dbx.
Первоисточники
- UEFI 2.11 — Secure Boot and Driver Signing
Определяет PK, KEK, authorized db, forbidden dbx, authenticated variables и image validation order.