Безопасная загрузка UEFI
Определение
Безопасная загрузка UEFI (Secure Boot) — механизм прошивки, который перед запуском сверяет подпись или хеш загрузочного образа с базой разрешённых db и списком запрещённых dbx. Он решает, какой код получит управление при старте, но не шифрует данные и не подтверждает исправность уже запущенной ОС.
Также ищут: Secure Boot · проверка подписей boot image · UEFI image validation
Зачем это знать
Secure Boot защищает передачу управления загрузчику и коду Option ROM, но не шифрует данные и не доказывает исправность всей ОС. Ключи и базы db и dbx тоже имеют жизненный цикл.
Карта понятия
Что подтверждено
Образ UEFI проходит проверку, если доверие находится в разрешённой базе и ни его хеш, ни относящиеся к нему подпись или сертификат не запрещены в dbx.
Граница применимости: Правила проверки образов UEFI 2.11.
Secure Boot блокирует неподходящие образы; измеренная загрузка записывает измерения в TPM, а шифрование данных — это отдельная мера.
Граница применимости: Граница между принудительной проверкой UEFI, измерениями TCG и защитой данных.
Что проверить
- Проверьте режим и владение PK и KEK.
- Снимите версии и содержимое db и dbx.
- Проверьте точную цепочку загрузчика и код Option ROM.
Первоисточники
- UEFI 2.11 — Secure Boot and Driver Signing
Определяет PK, KEK, authorized db, forbidden dbx, authenticated variables и image validation order.
- TCG EFI Protocol Specification
Определяет interface для TPM presence, PCR banks, PCR extend, TCG boot log и event append на UEFI platform.
Утверждения: 02