Отключение Secure Boot в BIOS/UEFI¶
Отключение Secure Boot — это процедура изменения настройки прошивки материнской платы компьютера, в результате которой прекращается проверка цифровых подписей загрузочных компонентов операционной системы и загрузчика. Secure Boot («безопасная загрузка») — механизм стандарта UEFI, обеспечивающий проверку подлинности программного обеспечения на этапе старта компьютера до передачи управления операционной системе. Отключение данной функции выполняется через интерфейс UEFI Setup (ранее — BIOS Setup) и требуется, например, для установки альтернативных операционных систем, некоторых дистрибутивов Linux, старых загрузчиков или загрузки неподписанного программного обеспечения.
¶Назначение Secure Boot
Secure Boot был введён как обязательный элемент спецификации UEFI 2.3.1 (2012 год) и изначально активно применялся в компьютерах под управлением Windows 8 и более новых версий. Механизм работает следующим образом: при включении компьютера прошивка UEFI сверяет цифровые подписи всех загружаемых компонентов — EFI-загрузчика, драйверов, микропрограмм — с базой доверенных ключей, хранящейся в энергонезависимой памяти материнской платы. Если подпись не соответствует, загрузка блокируется.
Secure Boot защищает от ряда угроз:
- загрузочных вирусов (bootkits), внедряющихся в MBR или EFI-раздел до запуска ОС;
- загрузки неавторизованных загрузчиков, используемых для обхода блокировок;
- некоторых схем шифрования дисков и руткита-атак.
В стандартной конфигурации UEFI-прошивки доверенными считаются подписи Microsoft (ключ «Microsoft UEFI CA»), поэтому Windows и большинство современных дистрибутивов Linux (Ubuntu, Fedora, Debian с 2012 года) загружаются без проблем. Однако ряд систем и инструментов несовместим с Secure Boot.
¶Когда требуется отключение
Основные ситуации, в которых требуется отключить Secure Boot:
- Установка дистрибутивов Linux без EFI-подписи. Некоторые сборки (Arch Linux, Gentoo, старые версии дистрибутивов) не имеют подписи Microsoft и не загружаются при активном Secure Boot.
- Использование Legacy/CSM-режима. Загрузка в режиме Legacy BIOS несовместима с Secure Boot и требует его отключения.
- Установка старых операционных систем. Windows 7 и более ранние версии не поддерживают UEFI Secure Boot.
- Разработка и отладка загрузчиков. Для тестирования собственных EFI-приложений и загрузчиков.
- Разгон и модификация оборудования. Некоторые инструменты работы с прошивкой требуют отключённой защиты.
- Установка неподписанных драйверов и утилит. В частности, некоторые утилиты разгона и диагностики.
¶Способ отключения
¶Общая последовательность действий
- Сохранить работу и перезагрузить компьютер.
- В момент старта нажать клавишу входа в UEFI Setup. На разных производителях это клавиши Del, F2, F10, F12 или Esc; точная клавиша отображается на экране POST или указана в руководстве к материнской плате/ноутбуку.
- Перейти в раздел, отвечающий за безопасность. Обозначения различаются:
- Boot → Secure Boot;
- Security → Secure Boot;
- Authentication → Secure Boot;
- Settings → Advanced → Secure Boot (ASUS);
- BIOS Setup → Secure Boot (Dell).
- Установить параметр Secure Boot в состояние Disabled (или Выкл. в русифицированных версиях прошивки).
- При наличии отдельного пункта OS Type (ASUS) рекомендуется выбрать Other OS — это дополнительно отключает ограничения Secure Boot.
- Сохранить изменения клавишей F10 (обычно — «Save & Exit») и перезагрузить компьютер.
¶Особенности отдельных производителей
| Производитель | Расположение параметра | Примечания |
|---|---|---|
| ASUS | Boot → Secure Boot → Key Management | Может потребоваться «Clear Secure Boot keys» |
| MSI | Settings → Security → Secure Boot | Параметр Secure Boot Support |
| Gigabyte | BIOS → Boot → Secure Boot | Иногда скрыт при включённом CSM |
| Dell | Settings → Secure Boot → Secure Boot Enable | Доступно в UEFI, не в Legacy |
| HP | Security → Secure Boot Configuration | Пункт Configure Legacy Support |
| Lenovo | Security → Secure Boot | Доступно на вкладке Restart |
¶Важные нюансы
- Предупреждение Windows: отключение Secure Boot может вызвать предупреждение BitLocker о повторной активации шифрования диска. Перед отключением рекомендуется приостановить защиту BitLocker.
- Пароль прошивки: если установлен administrator-пароль UEFI, его потребуется ввести для изменения настроек.
- CSM и Secure Boot: на некоторых материнских платах пункт Secure Boot недоступен при включённом режиме совместимости CSM. Сначала отключают CSM, после чего становится доступна настройка Secure Boot.
- Windows 11: операционная система требует активного Secure Boot (а также TPM 2.0) для официальной установки. После отключения Secure Boot обновления Windows 11 могут продолжать работать, но система перестаёт соответствовать официальным системным требованиям.
- Возврат настроек: при необходимости Secure Boot можно включить обратно, установив параметр в состояние Enabled. На некоторых платах после длительного отключения потребуется перенастроить ключи (пункт «Restore Factory Keys» или «Install Default Secure Boot Keys»).
¶Альтернативные способы
На серверных системах и в корпоративной среде отключение Secure Boot может выполняться централизованно через настройки UEFI Shell или утилиты вроде mokutil в Linux (команда mokutil --disable-validation). В Windows для управления состоянием Secure Boot используется утилита msinfo32 (раздел «Сведения о безопасности») и PowerShell-команда Confirm-SecureBootUEFI.
¶Источники
- Спецификация UEFI (Unified Extensible Firmware Interface) — uefi.org
- Документация Microsoft по Secure Boot для Windows
- Руководства пользователей материнских плат ASUS, MSI, Gigabyte
- Документация mokutil (Linux man pages)