Restore Factory Keys

Restore Factory Keys to procedura przywracająca fabryczne klucze kryptograficzne w ramach infrastruktury Secure Boot.

Restore Factory Keys w mechanizmie UEFI Secure Boot

Restore Factory Keys to funkcja dostępna w ustawieniach firmware UEFI, związana z przywróceniem domyślnego zestawu kluczy i certyfikatów używanych przez Secure Boot. Secure Boot sprawdza podpis cyfrowy elementów uruchamianych przed startem systemu operacyjnego, między innymi programu rozruchowego. Firmware porównuje certyfikaty i skróty zapisane w swoich bazach z podpisem badanego pliku. Jeżeli weryfikacja się nie powiedzie, uruchomienie może zostać zatrzymane.

Nazwa Restore Factory Keys nie oznacza przywracania plików systemu Windows ani odtwarzania danych użytkownika. Jest to operacja dotycząca magazynu kluczy w pamięci firmware. W zależności od producenta płyty głównej lub laptopa funkcja może występować jako Restore Factory Keys, Install Default Secure Boot Keys, Load Factory Default Keys albo pod podobną nazwą. Konkretne zachowanie zależy od implementacji UEFI, dlatego przed zatwierdzeniem operacji należy sprawdzić opis wyświetlany na ekranie konfiguracji.

PK, KEK, db i dbx: elementy przywracane przez firmware

Konfiguracja Secure Boot opiera się na kilku powiązanych bazach. Platform Key, oznaczany skrótem PK, ustanawia właściciela polityki Secure Boot i pozwala kontrolować zmiany w pozostałych bazach. Key Exchange Key, czyli KEK, służy do autoryzowania aktualizacji baz podpisów. Baza db zawiera dozwolone certyfikaty, klucze lub skróty, natomiast dbx przechowuje elementy zablokowane. Wpis w dbx może unieważniać zaufanie do pliku lub certyfikatu, nawet gdy powiązany mechanizm wcześniej był uznawany za prawidłowy.

Przywrócenie kluczy fabrycznych zwykle zapisuje w UEFI zestaw wartości dostarczony przez producenta platformy, obejmujący odpowiednie dane PK, KEK, db oraz dbx. Nie należy jednak zakładać, że każda implementacja przywraca wszystkie bazy w identyczny sposób. Niektóre interfejsy pozwalają osobno załadować klucze domyślne, a inne wykonują operację zbiorczą. Fabryczny zestaw może zawierać certyfikaty producenta sprzętu, dostawcy systemu operacyjnego oraz komponentów rozruchowych, które są uznawane za zaufane przez daną platformę.

Tryb Setup Mode, User Mode i skutki zmiany kluczy

Usunięcie PK powoduje przejście platformy do trybu Setup Mode. W tym stanie firmware pozwala na przygotowanie nowej polityki kluczy, ponieważ nie ma aktywnego właściciela kontrolującego autoryzowane zmiany. Po zapisaniu PK platforma zwykle przechodzi do User Mode, w którym modyfikacja baz wymaga odpowiedniego uwierzytelnienia. Restore Factory Keys jest często używane właśnie wtedy, gdy klucze zostały usunięte, uszkodzone, zastąpione niestandardowym zestawem albo gdy użytkownik chce wrócić do domyślnej konfiguracji producenta.

Operacja może zmienić możliwość uruchamiania systemu lub narzędzi, które korzystają z własnych certyfikatów. Dotyczy to na przykład niestandardowych programów rozruchowych, ręcznie wdrożonych kluczy organizacji i niektórych konfiguracji systemów innych niż pierwotnie przewidziany przez producenta. Przywrócenie fabrycznych baz nie naprawia uszkodzonego pliku EFI, nie aktualizuje automatycznie firmware i nie wyłącza ograniczeń wynikających z ustawień trybu uruchamiania. Jeżeli po zmianie system przestaje startować, trzeba sprawdzić kolejność rozruchu, aktywność Secure Boot, typ tablicy partycji oraz obecność prawidłowego programu rozruchowego.

Bezpieczna weryfikacja przed użyciem Restore Factory Keys

Przed uruchomieniem funkcji warto zapisać aktualny stan ustawień UEFI i ustalić, czy komputer korzysta z niestandardowych kluczy. Istotne jest również rozróżnienie między przywróceniem domyślnych kluczy a poleceniem usunięcia wszystkich kluczy. Te operacje nie są równoważne: usunięcie PK, KEK, db i dbx może przełączyć platformę w Setup Mode, natomiast załadowanie wartości fabrycznych ma odtworzyć zaufanie przewidziane przez producenta. Zmiany należy wykonywać przy zapewnionym zasilaniu, ponieważ przerwanie zapisu ustawień firmware może spowodować problemy z uruchomieniem komputera.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z ustawieniami UEFI oraz Secure Boot. W praktyce analiza obejmuje odczyt komunikatu wyświetlanego podczas startu, sprawdzenie trybu Secure Boot, ocenę baz kluczy i weryfikację, czy przywrócenie wartości fabrycznych nie koliduje z używanym systemem operacyjnym. Dopiero po ustaleniu zależności między firmware, partycją EFI i konfiguracją rozruchu można dobrać bezpieczną kolejność działań.