Ключ владельца платформы Secure Boot
Определение
Ключ владельца платформы Secure Boot (PK) — зарегистрированный в прошивке открытый ключ, который связывает платформу с владельцем и разрешает сменить владельца и ключи KEK. Пока PK не зарегистрирован, платформа остаётся в Setup Mode, где политику Secure Boot меняют без обычной проверки подписи.
Также ищут: UEFI PK · Platform Key Secure Boot · ключ владельца платформы · PK firmware ownership
Зачем это знать
PK — не список загрузчиков. Потеря закрытого ключа владельца мешает менять политику, а удаление PK меняет режим безопасности и ослабляет правила проверки обновлений.
Карта понятия
Что подтверждено
PK связывает владельца платформы с прошивкой; соответствующий закрытый ключ используют для разрешённой смены владельца или регистрации Key Exchange Keys.
Граница применимости: Модель владения Secure Boot в UEFI 2.11.
При отсутствии зарегистрированного PK платформа находится в Setup Mode, где переменные политики Secure Boot могут изменяться без обычной проверки подписи.
Граница применимости: Поведение UEFI в режиме SetupMode.
Что проверить
- Определите владельца PK и закрытого ключа.
- Снимите режим Setup, User или Deployed.
- Сохраните одобренную процедуру восстановления.
Первоисточники
- UEFI 2.11 — Secure Boot and Driver Signing
Определяет PK, KEK, authorized db, forbidden dbx, authenticated variables и image validation order.