UEFI wymusza Secure Boot

UEFI wymuszające Secure Boot to konfiguracja uniemożliwiająca wyłączenie tego mechanizmu weryfikacji podpisów cyfrowych.

Jak UEFI wymusza działanie Secure Boot

UEFI wymuszające Secure Boot oznacza konfigurację oprogramowania układowego, w której uruchomienie systemu operacyjnego oraz programów startowych jest uzależnione od poprawnej weryfikacji ich podpisów cyfrowych. Secure Boot sprawdza, czy plik wykonywany przed startem systemu został podpisany kluczem znajdującym się w zaufanym magazynie firmware’u i czy jego podpis odpowiada aktualnej zawartości pliku. Mechanizm działa przed załadowaniem Windows lub innego systemu operacyjnego, dlatego może zatrzymać niezatwierdzony program rozruchowy, zanim uzyska on możliwość wykonania kodu.

W typowej implementacji UEFI przechowuje między innymi klucz platformy PK, klucze wymiany kluczy KEK oraz bazy dozwolonych i unieważnionych podpisów, oznaczane jako db i dbx. Baza db zawiera certyfikaty lub skróty zaufanych programów, natomiast dbx służy do blokowania podpisów uznanych za niebezpieczne albo wycofanych. Samo ustawienie Secure Boot jako aktywnego nie musi jeszcze oznaczać, że użytkownik nie może go zmienić. O wymuszeniu decyduje dodatkowa polityka firmware’u, ograniczenia producenta, hasło administratora UEFI albo konfiguracja kluczy, która powoduje odrzucanie prób przejścia do innego trybu.

Tryby kluczy, polityka firmware’u i dostęp do ustawień

Secure Boot może działać w trybie standardowym, w którym firmware korzysta z kluczy dostarczonych przez producenta, albo w trybie niestandardowym, przeznaczonym do ręcznego zarządzania kluczami. W ustawieniach UEFI spotyka się również pojęcia User Mode i Setup Mode. Setup Mode występuje wtedy, gdy nie jest zainstalowany klucz platformy PK. Po zapisaniu PK firmware przechodzi do User Mode i zaczyna egzekwować zależności związane z zarządzaniem kluczami oraz zmianą polityki Secure Boot. Dokładne nazwy menu zależą od producenta płyty głównej lub laptopa.

Jeżeli opcja wyłączenia Secure Boot jest wyszarzona, ukryta albo po zapisaniu natychmiast wraca do poprzedniej wartości, przyczyną może być hasło administratora firmware’u, tryb zarządzania kluczami, polityka producenta lub ustawienie przeznaczone dla urządzeń zarządzanych. W niektórych komputerach zmiana wymaga wcześniejszego ustawienia hasła administratora, potwierdzenia fizycznego przyciskiem albo przejścia do trybu Custom Key Management. Nie należy usuwać kluczy PK, KEK, db ani dbx bez sprawdzenia skutków, ponieważ może to zmienić zaufany łańcuch rozruchu i uniemożliwić uruchomienie dotychczasowego systemu.

Co dzieje się podczas startu systemu

Po włączeniu komputera firmware UEFI odnajduje urządzenie rozruchowe i próbuje uruchomić zapisany program, na przykład menedżer rozruchu Windows. Przy aktywnym Secure Boot podpis programu jest sprawdzany względem zaufanych certyfikatów i wpisów w bazie db, a następnie porównywany z listą unieważnień dbx. Jeżeli podpis jest prawidłowy i nie został unieważniony, program może zostać uruchomiony. Jeżeli plik został zmodyfikowany, podpisu brakuje albo certyfikat znajduje się na liście blokad, firmware zatrzymuje ten etap i może wyświetlić komunikat o naruszeniu zasad bezpiecznego rozruchu.

Wymuszenie Secure Boot ma znaczenie także przy wymianie dysku, przywracaniu systemu z nośnika USB i uruchamianiu narzędzi serwisowych. Nośnik przygotowany w sposób niezgodny z oczekiwanym trybem UEFI może nie pojawić się na liście rozruchowej albo zostanie odrzucony po wybraniu. Podobny efekt występuje po skopiowaniu programu rozruchowego bez zachowania jego podpisu lub po użyciu starszego obrazu instalacyjnego. Trzeba odróżnić problem Secure Boot od uruchamiania w trybie Legacy lub Compatibility Support Module, ponieważ przełączenie między trybami może zmienić sposób wykrywania dysku i wpisów rozruchowych, ale samo nie naprawia uszkodzonego systemu.

Diagnostyka zablokowanej zmiany Secure Boot

Diagnostykę należy rozpocząć od zapisania dokładnego komunikatu wyświetlanego przez firmware oraz sprawdzenia, czy system uruchamia się w trybie UEFI. W systemie Windows można zweryfikować stan bezpiecznego rozruchu w informacjach o systemie, gdzie występuje pozycja Secure Boot State. Warto również sprawdzić, czy problem dotyczy wyłącznie jednego nośnika USB, czy każdego urządzenia rozruchowego. Jeżeli Windows uruchamia się poprawnie, a odrzucany jest tylko zewnętrzny instalator, bardziej prawdopodobna jest niezgodność podpisu lub sposobu przygotowania nośnika niż awaria płyty głównej.

Warszawskie Pogotowie Komputerowe wykonuje naprawę laptopów i komputerów PC, w tym diagnostykę ustawień UEFI, problemów z uruchamianiem systemu oraz podzespołów odpowiedzialnych za prawidłowy start komputera. Podczas sprawdzania nie powinno się pochopnie przywracać domyślnych kluczy ani kasować wpisów rozruchowych, ponieważ taka operacja może usunąć indywidualną konfigurację urządzenia. Najpierw ustala się, czy blokada wynika z polityki firmware’u, hasła administratora, uszkodzonego programu rozruchowego, nieprawidłowego nośnika czy faktycznej usterki sprzętowej.