UEFI z wyłączonym Secure Boot

UEFI z wyłączonym Secure Boot to konfiguracja, w której mechanizm weryfikacji podpisów cyfrowych jest zdezaktywowany.

Jak działa UEFI po wyłączeniu Secure Boot

UEFI z wyłączonym Secure Boot to tryb uruchamiania, w którym firmware nie wymaga poprawnego podpisu cyfrowego od programu startowego ładowanego z dysku, pamięci USB lub innego nośnika. Secure Boot jest elementem specyfikacji UEFI i wykorzystuje klucze oraz bazy podpisów zapisane w pamięci firmware. Najważniejsze bazy obejmują PK, czyli Platform Key, KEK, czyli Key-Exchange Keys, db z dozwolonymi certyfikatami lub skrótami oraz dbx z elementami zablokowanymi. Przy aktywnym mechanizmie firmware sprawdza łańcuch zaufania przed przekazaniem wykonania bootloaderowi.

Po wyłączeniu Secure Boot komputer nadal może pracować w trybie UEFI, ale firmware pomija kontrolę podpisu programu rozruchowego. Nie oznacza to automatycznej zmiany na tryb Legacy BIOS ani wyłączenia wszystkich zabezpieczeń płyty głównej. UEFI nadal może inicjalizować pamięć, procesor, kontrolery dysków i urządzenia PCIe, a ustawienia TPM, szyfrowania dysku lub haseł firmware mogą pozostać bez zmian. Wyłączony Secure Boot zmienia przede wszystkim sposób akceptowania kodu wykonywanego na etapie rozruchu.

Dlaczego taka konfiguracja bywa potrzebna

Wyłączenie Secure Boot może być wymagane podczas uruchamiania starszego systemu, niestandardowego środowiska instalacyjnego albo narzędzia diagnostycznego, którego bootloader nie ma podpisu akceptowanego przez firmware. Dotyczy to również niektórych obrazów systemów tworzonych samodzielnie oraz programów startowych używanych do klonowania, odzyskiwania lub testowania nośników. Sama obecność wpisu UEFI w ustawieniach nie gwarantuje, że każdy nośnik USB będzie uruchamialny, ponieważ znaczenie mają także tablica partycji, właściwy plik EFI, kolejność bootowania i zgodność obrazu z architekturą komputera.

W praktyce wyłączenie Secure Boot może usunąć komunikat informujący o nieprawidłowym podpisie bootloadera, ale nie naprawia uszkodzonego systemu plików, wadliwego dysku ani błędnej konfiguracji BCD. Jeżeli system korzysta z szyfrowania powiązanego ze stanem platformy, zmiana ustawień rozruchowych może spowodować żądanie klucza odzyskiwania. Z tego powodu przed zmianą konfiguracji należy ustalić, czy problem dotyczy weryfikacji podpisu, czy innego elementu procesu startowego.

Skutki dla łańcucha uruchamiania systemu

Aktywny Secure Boot ogranicza możliwość uruchomienia zmodyfikowanego lub nieautoryzowanego bootloadera, który mógłby przejąć wykonanie przed startem systemu operacyjnego. Po wyłączeniu tej kontroli firmware może przekazać wykonanie plikowi EFI bez potwierdzenia jego pochodzenia kryptograficznego. Zwiększa to elastyczność przy instalacji i diagnostyce, lecz jednocześnie osłabia ochronę przed kodem uruchamianym przed systemem. Zagrożenie dotyczy zwłaszcza sytuacji, w której osoba nieuprawniona ma fizyczny dostęp do komputera i może zmienić nośnik startowy lub uruchomić własne środowisko.

Wyłączenie Secure Boot nie jest równoznaczne z infekcją i nie dowodzi, że komputer został przejęty. Jest jednak istotnym stanem konfiguracyjnym, który warto odnotować podczas diagnostyki. Po zakończeniu instalacji lub pracy z narzędziem serwisowym można przywrócić poprzednią wartość, o ile używany system i bootloader obsługują weryfikację. Należy również sprawdzić kolejność uruchamiania, wpis menedżera systemu w pamięci UEFI oraz tryb pracy kontrolera dysku, ponieważ przypadkowa zmiana kilku ustawień może doprowadzić do komunikatu o braku urządzenia startowego.

Sprawdzenie ustawień i bezpieczny powrót do poprzedniego stanu

Stan Secure Boot można sprawdzić w menu UEFI, zwykle w sekcji dotyczącej bezpieczeństwa, rozruchu albo uwierzytelniania. W systemie Windows informację o obsłudze i stanie funkcji można znaleźć w aplikacji Informacje o systemie, w polu „Stan bezpiecznego rozruchu”. W systemach Linux przydatne jest narzędzie mokutil, jeżeli jest zainstalowane i obsługiwane przez daną dystrybucję; polecenie mokutil --sb-state odczytuje stan Secure Boot, ale nie zastępuje analizy ustawień firmware. Wynik trzeba interpretować razem z informacją, czy system został uruchomiony w trybie UEFI.

Przed zmianą ustawienia warto zanotować bieżącą kolejność bootowania, sprawdzić dostęp do klucza odzyskiwania szyfrowania oraz przygotować nośnik instalacyjny zgodny z trybem UEFI. Po zmianie należy zweryfikować, czy system uruchamia się z właściwego dysku i czy nie pojawiły się błędy dotyczące podpisu, partycji EFI albo menedżera rozruchu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów związanych z konfiguracją UEFI oraz uruchamianiem systemu.