UEFI z obsługą Secure Boot

UEFI z obsługą Secure Boot to firmware wspierające ten mechanizm weryfikacji podpisów cyfrowych podczas rozruchu.

Jak UEFI weryfikuje rozruch z użyciem Secure Boot

UEFI z obsługą Secure Boot może sprawdzać, czy program uruchamiany przed startem systemu operacyjnego ma zaakceptowany podpis cyfrowy. Kontrola dotyczy przede wszystkim plików wykonywalnych w formacie PE/COFF, używanych jako aplikacje UEFI, sterowniki firmware oraz programy rozruchowe. Firmware odczytuje obraz z urządzenia startowego, analizuje jego podpis i porównuje certyfikat lub skrót obrazu z informacjami zapisanymi w bazach Secure Boot. Jeżeli weryfikacja się powiedzie, kontrola może zostać przekazana do programu rozruchowego.

Mechanizm nie szyfruje dysku i nie zastępuje programu antywirusowego. Jego zadaniem jest ograniczenie możliwości uruchomienia zmodyfikowanego albo nieautoryzowanego kodu na etapie poprzedzającym załadowanie systemu. Jest to istotne dlatego, że kod działający przed systemem operacyjnym może wpływać na późniejszy proces uruchamiania i pozostawać poza kontrolą typowych zabezpieczeń ładowanych dopiero razem z systemem.

Klucze, bazy podpisów i tryby pracy firmware

Konfiguracja Secure Boot wykorzystuje kilka rodzajów danych przechowywanych jako zmienne UEFI. Platform Key, oznaczany skrótem PK, ustanawia właściciela platformy i pozwala kontrolować przejście między trybem konfiguracji a trybem użytkownika. Key Exchange Keys, czyli KEK, służą do autoryzowania aktualizacji baz związanych z uruchamianiem. Baza db zawiera zaufane certyfikaty albo skróty dozwolonych obrazów, natomiast dbx zawiera certyfikaty i skróty unieważnione, których nie należy uruchamiać. W praktyce obraz znajdujący się na liście unieważnionych może zostać odrzucony nawet wtedy, gdy jego podpis odpowiada starszemu zaufanemu certyfikatowi.

UEFI może pracować w trybie konfiguracji, w którym możliwe jest ustanowienie lub zmiana kluczy, oraz w trybie użytkownika, w którym obowiązują zapisane reguły autoryzacji. W menu firmware można spotkać opcje takie jak Secure Boot, Key Management, Install Default Secure Boot Keys, Clear Secure Boot Keys albo przywracanie kluczy fabrycznych. Ich nazwy i dostępność zależą od producenta płyty głównej lub laptopa. Usunięcie kluczy nie jest zwykłym przełącznikiem funkcji, ponieważ zmienia zaufany łańcuch rozruchu i może spowodować odrzucanie wcześniej działających programów.

Łańcuch rozruchowy i typowe przyczyny odrzucenia

Secure Boot działa w ramach łańcucha zaufania. Firmware uruchamia zaakceptowany program rozruchowy, a ten może przekazać kontrolę kolejnemu elementowi, jeżeli jego własny model weryfikacji na to pozwala. W instalacji systemu Windows sprawdzany jest między innymi plik startowy EFI, a dalsze składniki są ładowane zgodnie z mechanizmami danego systemu. W środowiskach linuksowych może być używany podpisany pośredni program rozruchowy, taki jak shim, który przekazuje kontrolę kolejnym komponentom po wykonaniu własnych kontroli. Nie każdy plik `.efi` jest automatycznie zaufany tylko dlatego, że znajduje się na partycji systemowej EFI.

Komunikat o naruszeniu zasad Secure Boot może pojawić się po wymianie dysku, aktualizacji firmware, zmianie ustawień trybu startu albo uruchomieniu zewnętrznego nośnika. Przyczyną bywa niepodpisany program rozruchowy, brak odpowiedniego certyfikatu w db, obecność certyfikatu lub skrótu na dbx, uszkodzenie pliku na partycji EFI albo próba uruchomienia instalatora w trybie niezgodnym z konfiguracją. Znaczenie ma również ustawienie Legacy albo Compatibility Support Module, ponieważ klasyczny rozruch BIOS nie korzysta z UEFI Secure Boot w taki sam sposób jak natywny start UEFI. Samo wyłączenie Secure Boot może ominąć kontrolę, ale nie wyjaśnia przyczyny problemu i może zmniejszyć ochronę procesu uruchamiania.

Sprawdzenie ustawień i naprawa problemów z Secure Boot

Diagnostykę rozpoczyna się od odczytania stanu funkcji w ustawieniach UEFI oraz od sprawdzenia, czy system został uruchomiony w trybie UEFI, a nie w trybie Legacy. W systemie Windows można użyć narzędzia Informacje o systemie i odczytać pozycję „Stan bezpiecznego rozruchu”. W PowerShell dostępne jest polecenie Confirm-SecureBootUEFI, które zwraca informację o stanie Secure Boot, jeżeli system działa w środowisku UEFI. Przy analizie nośnika sprawdza się również obecność partycji systemowej EFI w schemacie GPT oraz poprawność plików rozruchowych, ale nie należy usuwać jej zawartości bez ustalenia, jakie systemy i programy z niej korzystają.

Naprawa zależy od wyniku kontroli. Może obejmować przywrócenie domyślnych kluczy firmware, aktualizację UEFI, odtworzenie podpisanego programu rozruchowego albo zmianę kolejności urządzeń startowych. Aktualizacja firmware powinna odpowiadać dokładnemu modelowi płyty głównej lub laptopa, ponieważ niewłaściwy obraz może unieruchomić urządzenie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z ustawieniami firmware oraz uruchamianiem systemu. Dawne klucze, ustawienia i dane rozruchowe warto zachować przed ich zmianą, aby można było odtworzyć stan urządzenia albo ustalić, na którym etapie łańcucha zaufania wystąpiło odrzucenie.