UEFI obsługuje tylko podpisane systemy

UEFI obsługujące tylko podpisane systemy to konfiguracja mechanizmu Secure Boot, ograniczająca rozruch wyłącznie do zweryfikowanych kryptograficznie systemów.

UEFI obsługuje tylko podpisane systemy — co naprawdę oznacza to stwierdzenie

Hasło „UEFI obsługuje tylko podpisane systemy” odnosi się najczęściej do włączonego mechanizmu Secure Boot, a nie do całego standardu UEFI. Samo UEFI jest nowocześniejszym oprogramowaniem startowym płyty głównej, które inicjalizuje podstawowe podzespoły, odnajduje nośnik rozruchowy i przekazuje uruchamianie odpowiedniemu programowi startowemu. Secure Boot stanowi dodatkową warstwę kontroli. Przed wykonaniem kodu rozruchowego sprawdzany jest jego podpis cyfrowy oraz zgodność z kluczami zapisanymi w pamięci firmware’u.

W praktyce komputer może odrzucić system, instalator albo narzędzie serwisowe, jeżeli ich bootloader nie ma rozpoznawalnego podpisu, podpis został uszkodzony lub certyfikat nie znajduje się w zaufanej bazie UEFI. Nie oznacza to jednak, że każdy element systemu operacyjnego musi być podpisany w identyczny sposób. Kontrola dotyczy przede wszystkim początkowego etapu uruchamiania, a dalsze składniki są ładowane zgodnie z zasadami danego systemu. Problem może pojawić się także po aktualizacji firmware’u, wymianie dysku, zmianie trybu uruchamiania albo przy użyciu starszego nośnika instalacyjnego.

Secure Boot, tryb UEFI i starszy BIOS — porównanie mechanizmów

W starszych komputerach korzystano z BIOS-u oraz klasycznego schematu uruchamiania związanego zwykle z tablicą partycji MBR. UEFI wprowadziło między innymi partycję systemową EFI, obsługę nowocześniejszego sposobu startu oraz możliwość weryfikowania podpisów. Te pojęcia nie są jednak synonimami. Komputer może działać w trybie UEFI z wyłączonym Secure Boot, a także może mieć aktywną funkcję Secure Boot, która blokuje tylko niezatwierdzony kod rozruchowy.

W ustawieniach płyty głównej można spotkać opcje opisane jako UEFI, Legacy, CSM, Secure Boot, Platform Key, Key Exchange Key lub lista dozwolonych podpisów. CSM służy do zapewnienia zgodności ze starszym sposobem uruchamiania, natomiast Secure Boot odnosi się do zaufania wobec kodu startowego. Włączenie jednego ustawienia nie zawsze automatycznie zmienia pozostałe, choć niektóre firmware’y wymuszają określone zależności. Z tego powodu przed zmianą konfiguracji warto sprawdzić sposób instalacji systemu, typ tablicy partycji oraz obecność partycji EFI.

Podpis cyfrowy nie jest tym samym co licencja systemu ani gwarancja bezbłędnego działania. Mechanizm potwierdza pochodzenie pliku względem zaufanego certyfikatu i pozwala wykryć jego nieautoryzowaną modyfikację. Nie zastępuje aktualnego programu ochronnego, kopii zapasowej ani kontroli sterowników. W określonych przypadkach można użyć własnych kluczy, trybu testowego lub wyłączyć Secure Boot, lecz takie działanie powinno być dopasowane do celu i wykonane ze świadomością skutków.

Typowe problemy wynikające z weryfikacji podpisu rozruchowego

Najczęściej zgłaszany jest komunikat o braku urządzenia rozruchowego, nieprawidłowym podpisie, naruszeniu zasad bezpiecznego startu albo niemożności uruchomienia systemu po aktualizacji. Przyczyną może być uszkodzony bootloader, zmiana kolejności startowej, wyczyszczenie kluczy UEFI, przywrócenie ustawień fabrycznych firmware’u lub uruchamianie systemu w innym trybie niż ten, w którym został zainstalowany. Podobny efekt może wystąpić po sklonowaniu dysku bez prawidłowego przeniesienia partycji EFI.

Odmowy startu dotyczą również niektórych starszych dystrybucji, niestandardowych narzędzi diagnostycznych, zmodyfikowanych obrazów instalacyjnych oraz nośników przygotowanych bez obsługi bezpiecznego rozruchu. Jeżeli komputer uruchamia system po wyłączeniu Secure Boot, nie należy od razu uznawać, że sam system jest uszkodzony. Taki test wskazuje jedynie, że problem leży w relacji między firmware’em, kluczem zaufania i plikiem startowym.

Diagnostyka powinna obejmować odczyt ustawień UEFI, ustalenie trybu instalacji, sprawdzenie widoczności dysku, identyfikację partycji EFI oraz próbę naprawy środowiska rozruchowego z odpowiedniego nośnika. W razie potrzeby analizuje się także logi naprawy automatycznej, stan systemu plików i poprawność wpisów w menedżerze rozruchu. Pochopne usunięcie wszystkich kluczy lub przełączenie trybu Legacy może utrudnić późniejsze uruchomienie istniejącej instalacji, dlatego przed taką zmianą należy zabezpieczyć dane i zanotować dotychczasową konfigurację.

Kiedy trzeba zlecić diagnozę specjalistom - UEFI obsługuje tylko podpisane systemy

Zgłoszenie do serwisu jest uzasadnione, gdy po włączeniu zabezpieczonego rozruchu komputer przestaje startować, instalator nie jest widoczny, system działa wyłącznie po wyłączeniu Secure Boot albo po aktualizacji firmware’u pojawia się komunikat o nieprawidłowym podpisie. Pomoc może być potrzebna również przy wymianie dysku, migracji systemu na inny nośnik, odtwarzaniu partycji EFI i przygotowywaniu legalnego nośnika instalacyjnego zgodnego z ustawieniami UEFI.

W Warszawie takie przypadki można przekazać do „Warszawskiego Pogotowia Komputerowego 24/7”, gdzie przed rozpoczęciem naprawy ustala się przyczynę blokady i rozdziela problem konfiguracji firmware’u od ewentualnego uszkodzenia systemu lub dysku. Dla laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ocenić stan uruchamiania, kluczy Secure Boot oraz danych użytkownika, a dopiero potem dobrać bezpieczny sposób naprawy.

Przed oddaniem urządzenia warto zanotować dokładną treść komunikatu, moment wystąpienia problemu oraz ostatnie wykonane czynności, takie jak aktualizacja systemu, reset ustawień UEFI czy podłączenie nowego nośnika. Nie powinno się formatować dysku ani usuwać partycji tylko dlatego, że firmware zgłasza brak podpisu. W wielu przypadkach możliwe jest odtworzenie prawidłowego wpisu rozruchowego lub przywrócenie właściwego łańcucha zaufania bez kasowania plików użytkownika.