База запрещённых подписей Secure Boot
Определение
База запрещённых подписей Secure Boot (dbx) — переменная прошивки UEFI со списком отозванных хешей, подписей и сертификатов, образы с которыми прошивка запускать не должна. Запрет в dbx сильнее разрешения в db, поэтому образы проверяют до обновления списка отзывов.
Также ищут: UEFI forbidden signature database · база отзывов Secure Boot · dbx Secure Boot · UEFI image revocation list
Зачем это знать
Устаревшая dbx оставляет известный уязвимый загрузчик допустимым; новая dbx может заблокировать старый загрузочный образ или образ восстановления. Нужна предварительная проверка точной цепочки.
Карта понятия
Что подтверждено
dbx перечисляет запрещённые образы UEFI и материалы подписи и блокирует проверку даже при наличии соответствующего доверия в разрешённой db.
Граница применимости: Правила проверки образов UEFI 2.11.
Обновление отзывов может сделать ранее загружаемые загрузчик или носитель восстановления недопустимыми; точные образы проверяют до развёртывания изменения dbx.
Граница применимости: Рабочее последствие расширения базы запретов UEFI.
Что проверить
- Снимите текущие версию и содержимое dbx.
- Проверьте рабочие загрузчики и средства восстановления.
- Обновляйте поэтапно с проверкой загрузки.
Первоисточники
- UEFI 2.11 — Secure Boot and Driver Signing
Определяет PK, KEK, authorized db, forbidden dbx, authenticated variables и image validation order.
- UEFI 2.11 — Firmware Update and Reporting
Определяет capsules, Firmware Management Protocol, ESRT, LowestSupportedFirmwareVersion и status последней попытки update.
Утверждения: 02