UEFI Supervisor Password

UEFI Supervisor Password to hasło administratora chroniące dostęp do ustawień firmware przed nieautoryzowaną zmianą.

Rola hasła Supervisor w środowisku UEFI

UEFI Supervisor Password jest hasłem administracyjnym zapisanym w ustawieniach firmware komputera. Jego zadaniem jest ograniczenie dostępu do konfiguracji UEFI, czyli oprogramowania uruchamianego przed systemem operacyjnym. Po włączeniu komputera firmware inicjuje podstawowe podzespoły, wykonuje procedury POST i wybiera urządzenie rozruchowe. Hasło nadzorcy nie jest hasłem do konta Windows ani Linux i nie jest przechowywane w systemie plików systemu operacyjnego.

Po ustawieniu tego zabezpieczenia firmware może wymagać uwierzytelnienia przed zmianą parametrów takich jak kolejność uruchamiania, aktywność urządzeń wbudowanych, tryb rozruchu UEFI lub CSM, obsługa zewnętrznych nośników startowych oraz niektóre ustawienia bezpieczeństwa. Dokładny zakres ochrony zależy od producenta i modelu komputera. W części urządzeń hasło pozwala wejść do pełnego trybu konfiguracji, a inne urządzenia rozdzielają uprawnienia na hasło administratora i hasło użytkownika.

Co faktycznie chroni blokada konfiguracji firmware

Supervisor Password utrudnia osobie mającej fizyczny dostęp do komputera zmianę ustawień poprzedzających start systemu. Bez takiej ochrony można byłoby na przykład ustawić uruchamianie z pamięci USB, wyłączyć wybrane mechanizmy bezpieczeństwa albo zmienić kolejność urządzeń rozruchowych. Sama obecność hasła nie zastępuje jednak szyfrowania dysku, silnego hasła konta ani zabezpieczenia fizycznego. Nie gwarantuje także identycznego poziomu ochrony w każdym modelu, ponieważ producenci różnie implementują procedury resetowania i zakres blokady.

Hasło UEFI może współpracować z innymi funkcjami firmware, między innymi z Secure Boot, TPM oraz ochroną ustawień rozruchowych. Secure Boot weryfikuje podpisy składników uruchamianych podczas startu, TPM może przechowywać lub udostępniać materiał kryptograficzny dla funkcji bezpieczeństwa, natomiast hasło nadzorcy kontroluje możliwość modyfikowania konfiguracji. Są to odrębne mechanizmy. Zmiana hasła Supervisor nie oznacza automatycznie włączenia szyfrowania, a włączenie Secure Boot nie zastępuje kontroli dostępu do ustawień UEFI.

Objawy zapomnianego lub nieakceptowanego hasła

Problem z hasłem może pojawić się po zmianie konfiguracji, zakupie używanego laptopa albo próbie wejścia do ustawień klawiszem funkcyjnym wskazanym przez producenta. Typowym objawem jest żądanie hasła przed otwarciem pełnego menu UEFI, komunikat o nieprawidłowym haśle lub dostęp wyłącznie do ograniczonego widoku. W niektórych laptopach błędne próby mogą powodować opóźnienie, czasową blokadę albo wyświetlenie kodu serwisowego. Znaczenie takiego kodu jest zależne od producenta i konkretnej serii urządzenia, dlatego nie należy stosować przypadkowych generatorów ani procedur opisanych dla innego modelu.

Bezpieczna diagnostyka zaczyna się od ustalenia dokładnego modelu komputera, wersji firmware i rodzaju komunikatu. Należy też rozróżnić hasło Supervisor od hasła dysku, kodu blokady systemu operacyjnego oraz klucza odzyskiwania szyfrowania. W zależności od konstrukcji rozwiązaniem może być użycie oficjalnej procedury producenta, potwierdzenie własności urządzenia lub wymiana elementu odpowiedzialnego za przechowywanie konfiguracji. Odłączenie baterii głównej albo przywrócenie ustawień domyślnych nie musi usuwać hasła, ponieważ dane zabezpieczające mogą być zapisane w oddzielnym obszarze pamięci.

Serwisowa ocena blokady UEFI w laptopie

Podczas oględzin serwisowych sprawdza się, czy komputer uruchamia system, czy reaguje na klawisze wejścia do UEFI oraz na którym etapie pojawia się żądanie hasła. Analizuje się również możliwość uruchomienia z wewnętrznego dysku, stan Secure Boot i dostępne komunikaty diagnostyczne. Nie powinno się wielokrotnie zgadywać hasła ani wykonywać nieudokumentowanych zwarć na płycie głównej, ponieważ takie działania mogą doprowadzić do trwałej blokady, uszkodzenia firmware lub utraty konfiguracji urządzenia.

Warszawskie Pogotowie Komputerowe wykonuje naprawy laptopów i komputerów PC, w których problem z hasłem UEFI wymaga rozpoznania modelu, oceny płyty głównej oraz sprawdzenia oficjalnej drogi przywrócenia dostępu. Zakres możliwych czynności zależy od konstrukcji urządzenia, dokumentacji producenta i potwierdzenia prawa do serwisowania sprzętu. Po zakończeniu prac należy ustawić nowe hasło w sposób możliwy do bezpiecznego odtworzenia, zapisać je poza komputerem oraz sprawdzić, czy konfiguracja rozruchu i wymagane funkcje bezpieczeństwa działają prawidłowo.