UEFI z zablokowaną edycją boot entries

UEFI z zablokowaną edycją boot entries to zabezpieczenie uniemożliwiające modyfikację listy dostępnych opcji rozruchowych.

Jak działa lista boot entries w UEFI

UEFI przechowuje informacje o dostępnych opcjach rozruchowych w nieulotnej pamięci firmware, zwykle jako zmienne UEFI zapisane w pamięci NVRAM płyty głównej. Pojedynczy wpis rozruchowy określa między innymi identyfikator urządzenia lub partycji, ścieżkę do pliku programu EFI oraz opis widoczny w menu startowym. Kolejność uruchamiania jest określana przez zmienną BootOrder, natomiast BootNext może wskazać jednorazową opcję używaną przy najbliższym restarcie. Przykładowym wpisem może być uruchomienie pliku \EFI\Microsoft\Boot\bootmgfw.efi z partycji systemowej Windows albo pliku startowego dystrybucji Linuksa.

Zablokowana edycja boot entries oznacza, że użytkownik, system operacyjny albo narzędzie administracyjne nie może swobodnie tworzyć, usuwać ani przestawiać tych wpisów. Blokada może być ustawiona w konfiguracji firmware, wymuszona przez hasło administratora UEFI, ograniczenia producenta komputera albo dodatkową politykę bezpieczeństwa. Nie jest to to samo co Secure Boot. Secure Boot sprawdza podpisy komponentów uruchamianych w trybie UEFI, a blokada edycji boot entries ogranicza zmianę samej konfiguracji rozruchu. Oba mechanizmy mogą działać równocześnie, lecz rozwiązują różne problemy.

Skutki blokady przy uruchamianiu systemu

W normalnej konfiguracji kolejność BootOrder pozwala firmware wybrać preferowany program rozruchowy. Gdy pierwszy wpis wskazuje nieistniejący plik, odłączony dysk albo niewłaściwą partycję, komputer może przejść do kolejnej pozycji, wyświetlić komunikat o braku urządzenia startowego albo otworzyć wbudowane menu wyboru. Jeżeli edycja wpisów jest zablokowana, nie można naprawić kolejności przez zapisanie nowego BootOrder ani utworzenie zastępczego wpisu wskazującego prawidłowy plik EFI.

Problem może pojawić się po wymianie dysku, klonowaniu systemu, przywróceniu kopii partycji, zmianie trybu startu albo usunięciu partycji systemowej EFI. Sama obecność partycji EFI nie gwarantuje poprawnego rozruchu, ponieważ firmware musi jeszcze znać właściwą ścieżkę do programu startowego i mieć dostęp do odpowiedniego urządzenia. W niektórych komputerach system potrafi uruchomić się przez mechanizm awaryjnego wyszukiwania plików EFI, ale nie należy traktować tego jako reguły. Rezultat zależy od implementacji UEFI, ustawień płyty głównej i struktury nośnika.

Rozróżnienie ustawień firmware i konfiguracji systemu

Diagnoza wymaga oddzielenia wpisów zapisanych w UEFI od danych rozruchowych przechowywanych na partycji systemowej. W systemie Windows konfiguracja Windows Boot Manager jest zapisywana w bazie BCD, którą można sprawdzać narzędziem bcdedit. Wpis UEFI wskazuje zwykle program Windows Boot Manager, lecz nie zawiera całej konfiguracji systemu operacyjnego. W środowisku Linux narzędzie efibootmgr może odczytywać i modyfikować zmienne rozruchowe UEFI, jednak możliwość zapisu zależy od uprawnień systemu, trybu uruchomienia oraz polityki firmware. Polecenie odczytujące stan nie usuwa blokady ustawionej poza systemem.

Podczas sprawdzania należy ustalić, czy komputer został uruchomiony w trybie UEFI, czy partycja systemowa EFI jest dostępna, jaki plik wskazuje konkretny wpis i czy identyfikator urządzenia odpowiada aktualnemu nośnikowi. Warto również porównać BootOrder z wpisem BootNext oraz sprawdzić, czy firmware nie ukrywa pozycji w uproszczonym interfejsie. Próba wielokrotnego zapisywania konfiguracji z poziomu systemu może kończyć się błędem uprawnień albo brakiem trwałego efektu, gdy zapis zmiennych został zablokowany. Nie powinno się usuwać losowych zmiennych UEFI, ponieważ można w ten sposób skasować prawidłową konfigurację startową lub ustawienia potrzebne producentowi.

Postępowanie serwisowe przy zablokowanym rozruchu

Bezpieczne postępowanie zaczyna się od ustalenia objawu: brak wpisu na liście, nieprawidłowa kolejność, komunikat o nieznalezieniu urządzenia, żądanie hasła administratora czy odrzucenie zapisu zmian. Następnie sprawdza się stan nośnika, partycję systemową EFI, tryb UEFI oraz zgodność wskazywanych plików z faktyczną instalacją systemu. Jeżeli blokada wynika z hasła firmware, jej usuwanie wymaga procedury właściwej dla danego modelu płyty głównej lub laptopa. Nie istnieje jedna uniwersalna komenda, która legalnie i bezpiecznie odblokuje każdą implementację UEFI.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów związanych z konfiguracją rozruchu. W praktyce może obejmować ona rozpoznanie przyczyny braku startu, ocenę stanu dysku oraz sprawdzenie, czy problem dotyczy firmware, partycji EFI, programu startowego czy samego systemu. Zmiana ustawień powinna być wykonywana dopiero po potwierdzeniu modelu urządzenia i zapisaniu informacji o aktualnej konfiguracji, ponieważ nieprawidłowa ingerencja w NVRAM lub partycję EFI może utrudnić późniejsze przywrócenie działającego rozruchu.