Allow Third Party Software — опция прошивки¶
Allow Third Party Software — настройка (флаг) в UEFI/BIOS-прошивке компьютера, разрешающая операционной системе загружать и выполнять драйверы и загрузочные компоненты, подписанные не производителем платформы, а сторонними (третьими) разработчиками. Параметр напрямую связан с механизмом Secure Boot и политикой проверки цифровых подписей при загрузке.
¶Общие сведения
В современных системах с UEFI при загрузке операционной системы проверяется цифровая подпись каждого загружаемого модуля — загрузчика, драйверов ядра, компонентов шифрования диска. Производитель материнской платы или ноутбука заранее включает в базовую прошивку набор доверенных ключей (обычно это ключи Microsoft и, для Linux-систем, ключи shim-загрузчика). Если подписанный модуль не соответствует ни одному из доверенных ключей, UEFI блокирует его запуск.
Флаг Allow Third Party Software (в некоторых прошивках — «Third Party UEFI CA», «Enforce Secure Boot», «Install Default Secure Boot Keys» или аналогичные названия) управляет тем, загрузятся ли модули с подписью стороннего удостоверяющего центра, отличного от встроенного по умолчанию. Когда опция отключена, загрузка ограничена строго доверенным набором ключей; когда включена — допускаются дополнительные подписи.
¶Где встречается
Параметр наиболее распространён на серверном и корпоративном оборудовании:
- Lenovo (ThinkServer, ThinkCentre, ThinkStation) — пункт «Third Party UEFI CA» или «Allow Third Party Software» в меню Security/Startup;
- HP (ProLiant, EliteDesk) — аналогичная опция в BIOS Setup под разделом Security;
- Dell (PowerEdge, OptiPlex) — настройка «Secure Boot → Third Party UEFI CA»;
- Supermicro — флаг в Advanced → Trusted Computing.
На потребительских материнских платах (ASUS, Gigabyte, MSI) отдельного пункта с таким названием обычно нет: там используется общий переключатель Secure Boot, а доверенные ключи (Microsoft UEFI CA, Microsoft Windows Production PCA) добавляются или удаляются вручную через меню Key Management.
¶Связь с Secure Boot
Secure Boot — часть спецификации UEFI 2.3.1 (2012 год), обеспечивающая проверку подписей при загрузке. Механизм работает с тремя типами ключей:
| Тип ключа | Назначение |
|---|---|
| PK (Platform Key) | Ключ владельца платформы; подписывает изменения в других ключах |
| KEK (Key Exchange Key) | Ключи, управляющие базой доверенных подписей |
| db / dbx | База разрешённых подписей (db) и база отозванных (dbx) |
Флаг Allow Third Party Software фактически добавляет в базу db доверенную подпись стороннего удостоверяющего центра (например, «Third Party UEFI CA»). Это позволяет загружать загрузчики Linux-дистрибутивов, подписанные через shim-механизм, а также собственные драйверы и утилиты, не прошедшие сертификацию Microsoft.
¶Зачем включать
Основные сценарии, требующие включения опции:
- Загрузка Linux и BSD — большинство дистрибутивов используют загрузчик shim с подписью от Debian/Fedora, который доверен Microsoft, однако для некоторых кастомных сборок требуется сторонняя подпись.
- Собственные драйверы и модули ядра — в серверных сценариях применяются независимые драйверы RAID-контроллеров, сетевых адаптеров, систем мониторинга.
- Утилиты диагностики и восстановления — загрузочные инструменты, не подписанные Microsoft.
- Dual-boot конфигурации — одновременная установка Windows и Linux на одном компьютере.
- Виртуализация и хипервизоры — некоторые гипервизоры (Xen, кастомные сборки KVM) требуют сторонних модулей на этапе загрузки.
¶Риски безопасности
Отключение проверки подписей или расширение базы доверенных ключей снижает уровень защиты от атак на цепочку загрузки (bootkit, rootkit). В частности:
- вредоносное ПО, подписанное скомпрометированным сторонним ключом, может быть загружено до старта операционной системы;
- атакующий с физическим доступом к аппаратному обеспечению может подменить загрузочный раздел;
- корпоративные стандарты безопасности (PCI DSS, ГОСТ Р 57580) требуют включённого Secure Boot на критичных системах.
По умолчанию на большинстве серверов опция выключена, чтобы обеспечить максимальную защиту цепочки загрузки.
¶Как изменить настройку
- Перезагрузить компьютер и войти в UEFI/BIOS (обычно клавиша F1, F2, Del или Esc при старте).
- Перейти в раздел Security или Boot.
- Найти пункт Allow Third Party Software / Third Party UEFI CA.
- Переключить значение (Enabled/Disabled).
- Сохранить изменения (F10) и перезагрузить систему.
На некоторых серверах для изменения требуется доступ к BMC/IPMI или административный пароль прошивки.
¶См. также
- UEFI
- Secure Boot
- Цифровая подпись
- Загрузчик shim
¶Источники
- Спецификация UEFI 2.10 (Unified Extensible Firmware Interface Forum)
- Документация Microsoft по Secure Boot (learn.microsoft.com)
- Руководства по эксплуатации Lenovo, HP, Dell
- Red Hat Enterprise Linux System Administrator's Guide: Secure Boot