UEFI Secure Boot aktywny

Aktywny UEFI Secure Boot to stan, w którym mechanizm weryfikacji podpisów cyfrowych jest włączony, chroniąc system przed nieautoryzowanym oprogramowaniem rozruchowym.

UEFI Secure Boot aktywny – co oznacza ten komunikat

Określenie „UEFI Secure Boot aktywny” informuje, że w komputerze włączono funkcję bezpiecznego rozruchu dostęp­ną w nowoczesnym interfejsie firmware UEFI. Jej zadaniem jest sprawdzenie, czy program uruchamiany przed startem systemu operacyjnego pochodzi z zaufanego źródła i posiada prawidłowy podpis cyfrowy. W praktyce kontrolowane mogą być między innymi składniki menedżera rozruchu, sterowniki startowe oraz inne elementy ładowane zanim pojawi się ekran logowania do systemu.

Mechanizm korzysta z zestawu kluczy i certyfikatów zapisanych w pamięci ustawień UEFI. Na ich podstawie firmware ocenia, czy kod rozruchowy został zatwierdzony przez producenta systemu lub urządzenia. Jeżeli podpis jest zgodny, uruchamianie przebiega normalnie. Jeżeli plik został zmodyfikowany, uszkodzony albo nie znajduje się na liście zaufanych elementów, rozruch może zostać zatrzymany lub może pojawić się ostrzeżenie o naruszeniu zasad bezpieczeństwa.

Sam status „aktywny” nie oznacza awarii. Najczęściej jest to prawidłowa konfiguracja zwiększająca ochronę przed złośliwym kodem, który próbowałby uruchomić się jeszcze przed systemem. Tego rodzaju zagrożenia są trudniejsze do wykrycia przez zwykłe programy ochronne, ponieważ działają na wcześniejszym etapie startu komputera.

Znaczenie Secure Boot w konfiguracji UEFI

UEFI zastąpiło starszy tryb BIOS i odpowiada za przygotowanie podzespołów do uruchomienia systemu. Secure Boot jest jednym z mechanizmów bezpieczeństwa działających na tym etapie. Nie szyfruje danych zapisanych na dysku i nie zastępuje programu antywirusowego, lecz ogranicza możliwość uruchomienia niezatwierdzonego kodu startowego. Ochrona dotyczy więc przede wszystkim łańcucha rozruchowego, a nie każdej aplikacji używanej po zalogowaniu.

Włączenie tej funkcji zwykle współpracuje z instalacją systemu w trybie UEFI oraz z odpowiednio przygotowaną strukturą dysku. Problemy mogą wystąpić po przełączeniu trybu uruchamiania, zmianie dysku, odtworzeniu obrazu systemu, aktualizacji firmware albo użyciu narzędzia, które modyfikuje partycję rozruchową. W takich sytuacjach komputer może przestać rozpoznawać dotychczasowy moduł startowy, mimo że dane użytkownika nadal znajdują się na nośniku.

Secure Boot może również wpływać na uruchamianie starszych systemów, specjalistycznych narzędzi diagnostycznych oraz instalatorów przygotowanych bez zgodnych podpisów. Wyłączenie tej opcji bywa wtedy technicznie możliwe, ale powinno być poprzedzone ustaleniem przyczyny i oceną ryzyka. Po zakończeniu czynności serwisowych warto przywrócić konfigurację zapewniającą właściwy poziom ochrony, o ile używany system i urządzenia pozwalają na bezproblemowe działanie z aktywnym zabezpieczeniem.

Typowe problemy związane z aktywnym Secure Boot

Najczęstszym objawem nieprawidłowej konfiguracji jest komunikat o braku zaufanego urządzenia rozruchowego, powrót do ustawień UEFI zamiast uruchomienia systemu albo zatrzymanie startu po aktualizacji. Przyczyną może być uszkodzony wpis rozruchowy, niezgodny podpis pliku, zmiana kolejności urządzeń, wyzerowanie kluczy bezpieczeństwa lub uruchomienie instalacji w innym trybie niż ten, w którym przygotowano system.

Zdarza się także, że po wymianie nośnika komputer działa poprawnie tylko po wyłączeniu Secure Boot. Nie musi to oznaczać uszkodzenia płyty głównej. Często problem dotyczy sposobu utworzenia nośnika instalacyjnego, niekompletnej partycji systemowej albo braku odpowiednich wpisów w pamięci UEFI. Podobne objawy mogą wystąpić po przywróceniu kopii systemu wykonanej na innym komputerze, ponieważ zawartość dysku i konfiguracja firmware nie zawsze są wtedy wzajemnie zgodne.

Nieprawidłowe działania obejmują przypadkowe kasowanie kluczy, zmianę trybu UEFI na tryb zgodności ze starszym oprogramowaniem oraz wielokrotne przełączanie ustawień bez wcześniejszego zapisania bieżącej konfiguracji. Może to doprowadzić do sytuacji, w której system przestanie się uruchamiać, chociaż pliki użytkownika nie zostały usunięte. Przy diagnozie należy sprawdzić między innymi stan wpisów startowych, tryb pracy firmware, strukturę partycji, integralność plików rozruchowych oraz zgodność używanego systemu z wymaganiami Secure Boot.

Warto odróżnić problem z bezpiecznym rozruchem od awarii samego dysku. Jeżeli nośnik jest niewidoczny w UEFI, pojawiają się błędy odczytu albo komputer samoczynnie traci urządzenie startowe, przyczyna może leżeć w połączeniu, elektronice lub stanie pamięci masowej. Samo wyłączenie Secure Boot nie rozwiąże wtedy źródła problemu i może jedynie zmienić sposób prezentowania komunikatu.

Kiedy trzeba przekazać urządzenie do naprawy - UEFI Secure Boot aktywny

Zgłoszenie do serwisu jest uzasadnione, gdy po zmianie ustawień UEFI system nie startuje, pojawia się blokada podpisu, komputer przechodzi bezpośrednio do ekranu konfiguracji albo konieczność wyłączenia Secure Boot powtarza się po każdej aktualizacji. Wskazana jest również konsultacja przed wymianą dysku, reinstalacją systemu lub przywróceniem kopii, jeżeli komputer ma pozostać zabezpieczony aktywnym mechanizmem bezpiecznego rozruchu.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji UEFI, wpisów rozruchowych i zgodności nośnika z wymaganiami systemu; diagnoza laptopa jest darmowa. W ramach analizy można ustalić, czy problem wynika z ustawień firmware, uszkodzenia plików startowych, niezgodnego instalatora, awarii dysku czy innej usterki sprzętowej. Przed rozpoczęciem zmian powinno się zabezpieczyć ważne dane i odnotować bieżące ustawienia, zwłaszcza gdy na komputerze znajduje się szyfrowany nośnik lub kilka systemów operacyjnych.

Po naprawie warto sprawdzić, czy system uruchamia się bez ostrzeżeń, czy właściwy dysk znajduje się na liście startowej oraz czy Secure Boot działa zgodnie z zamierzonym poziomem ochrony. Jeżeli używane jest oprogramowanie wymagające niestandardowego modułu rozruchowego, należy wcześniej potwierdzić jego zgodność, ponieważ samo przełączenie funkcji na aktywną nie zastąpi prawidłowego przygotowania całej konfiguracji.