EFI_SIGNATURE_VERIFICATION_FAILED

EFI_SIGNATURE_VERIFICATION_FAILED wskazuje na niepowodzenie weryfikacji podpisu komponentu rozruchowego przez firmware UEFI — sygnalizuje potencjalne naruszenie integralności łańcucha rozruchowego.

EFI_SIGNATURE_VERIFICATION_FAILED — czym jest ten błąd

EFI_SIGNATURE_VERIFICATION_FAILED oznacza, że oprogramowanie układowe UEFI nie zaakceptowało podpisu cyfrowego przypisanego do elementu uruchamiania systemu. Podpis służy do potwierdzenia, że dany plik rozruchowy pochodzi z zaufanego źródła i nie został zmodyfikowany po utworzeniu. Błąd pojawia się więc na bardzo wczesnym etapie startu urządzenia, jeszcze przed pełnym załadowaniem systemu operacyjnego.

W praktyce może to dotyczyć programu startowego systemu, modułu używanego przez mechanizm bezpiecznego rozruchu, wpisu w pamięci NVRAM albo innego komponentu, który bierze udział w przekazaniu kontroli z firmware do systemu. Sam komunikat nie przesądza jeszcze o ataku ani o trwałym uszkodzeniu sprzętu. Informuje przede wszystkim o tym, że kontrola autentyczności lub integralności nie zakończyła się pomyślnie.

Do wyświetlenia EFI_SIGNATURE_VERIFICATION_FAILED może dojść po aktualizacji systemu, zmianie ustawień UEFI, przywróceniu obrazu dysku, wymianie nośnika albo skopiowaniu środowiska rozruchowego na inne urządzenie. Przyczyną bywa również uszkodzenie plików startowych, błędny wpis rozruchowy lub niezgodność między ustawieniami zabezpieczeń firmware a sposobem przygotowania systemu.

Rola podpisów cyfrowych i porównanie z innymi problemami startowymi

UEFI może działać z włączoną funkcją Secure Boot, której zadaniem jest dopuszczanie do uruchomienia wyłącznie takich komponentów, których podpis znajduje się w zaufanym łańcuchu certyfikatów. Weryfikacja obejmuje nie tylko sam system, ale również wcześniejszy etap przekazywania sterowania. Jeżeli jeden element nie przejdzie sprawdzenia, firmware może zatrzymać proces, aby nie uruchomić kodu o nieznanym pochodzeniu.

To odróżnia EFI_SIGNATURE_VERIFICATION_FAILED od komunikatów dotyczących braku urządzenia startowego. Przy błędzie typu „no bootable device” firmware może nie znaleźć poprawnego dysku lub wpisu startowego, natomiast przy błędzie podpisu dysk i jego zawartość mogą być widoczne, lecz wybrany komponent zostaje odrzucony. Inny charakter ma także awaria systemu plików, uszkodzenie partycji lub błąd ładowania jądra, ponieważ w tych przypadkach problem pojawia się na dalszym etapie.

Znaczenie ma również tryb uruchamiania. Instalacja przygotowana dla UEFI może zachowywać się inaczej po przełączeniu na tryb zgodności ze starszym BIOS-em, a system zainstalowany w trybie klasycznym może nie wystartować po zmianie konfiguracji na czyste UEFI. Nie powinno się więc przypadkowo przełączać wielu opcji naraz. Najpierw warto zapisać aktualne ustawienia i ustalić, po jakiej zmianie pojawił się komunikat.

Weryfikacja podpisu nie jest tym samym co kontrola stanu fizycznego dysku. Nośnik może być sprawny mechanicznie, a mimo to zawierać uszkodzone lub zmienione pliki rozruchowe. Z drugiej strony błędy odczytu mogą doprowadzić do niepełnego wczytania komponentu i wtórnie wywołać problem z jego autentycznością. Dlatego ocena powinna obejmować zarówno konfigurację firmware, jak i stan danych.

Typowe przyczyny i błędy podczas diagnozowania - EFI_SIGNATURE_VERIFICATION_FAILED

Jedną z częstszych przyczyn jest uszkodzenie albo niespójność plików znajdujących się na partycji systemowej EFI. Taka sytuacja może powstać po przerwanym procesie aktualizacji, nieudanym klonowaniu dysku, nagłym wyłączeniu zasilania lub ręcznym usuwaniu wpisów rozruchowych. Wtedy sam system może nadal znajdować się na dysku, lecz ścieżka prowadząca do jego uruchomienia nie spełnia wymagań UEFI.

Problem może być związany także z wygaśnięciem, zmianą lub usunięciem certyfikatu zaufanego przez firmware. Znaczenie mają ustawienia kluczy Secure Boot, tryb standardowy lub niestandardowy oraz przywrócenie domyślnej bazy zaufanych podpisów. W niektórych przypadkach aktualizacja firmware zmienia sposób interpretowania starszych certyfikatów albo zaostrza kontrolę komponentów używanych podczas startu.

Do niepowodzenia mogą doprowadzić również modyfikacje programów rozruchowych, pozostałości po innym systemie, narzędzia szyfrujące oraz oprogramowanie zabezpieczające ingerujące w ścieżkę uruchamiania. Nie należy zakładać, że każda niestandardowa zmiana jest złośliwa. Podpis może zostać odrzucony także wtedy, gdy plik został legalnie zastąpiony, ale nowa wersja nie pasuje do zestawu certyfikatów zapisanego w UEFI.

Ryzykownym błędem diagnostycznym jest wyłączanie Secure Boot bez zanotowania pierwotnej konfiguracji. Taki krok może czasem pomóc potwierdzić, że przyczyną jest sama weryfikacja podpisu, ale nie usuwa uszkodzenia ani nie wyjaśnia, dlaczego komponent został odrzucony. Podobnie pochopne kasowanie kluczy, czyszczenie wpisów NVRAM lub ponowna instalacja systemu może utrudnić odzyskanie danych i zniszczyć przydatne informacje o źródle awarii.

Bezpieczniejsze postępowanie obejmuje sprawdzenie kolejności startowej, identyfikacji dysku, trybu UEFI, stanu partycji EFI oraz komunikatów pojawiających się po ostatniej zmianie. Jeżeli dane są ważne, przed naprawą powinno się rozważyć wykonanie kopii sektorowej lub kopii plików, o ile nośnik pozwala na odczyt. Dopiero później można odbudować środowisko rozruchowe, odtworzyć właściwe wpisy i zweryfikować zgodność konfiguracji z mechanizmem bezpiecznego startu.

Kiedy najlepiej przekazać urządzenie do naprawy - EFI_SIGNATURE_VERIFICATION_FAILED

Zgłoszenie do serwisu jest wskazane, gdy komunikat pojawia się przy każdym uruchomieniu, system nie reaguje na prawidłowy dysk startowy albo po zmianie ustawień UEFI nie można przywrócić wcześniejszej konfiguracji. Pomoc jest szczególnie potrzebna wtedy, gdy na nośniku znajdują się ważne dokumenty, występują dodatkowe symptomy w rodzaju znikających partycji lub błędów odczytu, a także gdy nie wiadomo, czy problem powstał po aktualizacji, klonowaniu czy ingerencji w ustawienia zabezpieczeń.

W ramach sprawdzania EFI_SIGNATURE_VERIFICATION_FAILED można rozdzielić kilka obszarów: stan dysku, zawartość partycji EFI, wpisy rozruchowe, ustawienia UEFI, bazę zaufanych certyfikatów oraz zgodność używanego systemu z trybem startu. Takie uporządkowanie ogranicza ryzyko wykonania przypadkowych zmian i pozwala ustalić, czy potrzebna jest odbudowa plików rozruchowych, korekta konfiguracji, aktualizacja firmware czy wcześniejsze zabezpieczenie danych.

W Warszawie można przekazać laptop do Warszawskiego Pogotowia Komputerowego 24/7, gdzie dostępna jest darmowa diagnoza LAPTOPA przed podjęciem dalszych czynności. Przed rozpoczęciem prac warto poinformować o ostatniej aktualizacji, wymianie dysku, klonowaniu, zmianie ustawień Secure Boot oraz o tym, czy na urządzeniu znajdują się dane wymagające zachowania. Dzięki temu diagnostyka może zostać przeprowadzona z uwzględnieniem zarówno uruchomienia systemu, jak i bezpieczeństwa zapisanych plików.