Secure Boot: назначение и порядок включения¶
Secure Boot (защищённая загрузка) — механизм безопасности UEFI-прошивки, обеспечивающий проверку цифровых подписей загрузочных компонентов операционной системы и предотвращающий запуск неавторизованного кода на этапе начальной загрузки компьютера. Технология является частью спецификации UEFI и была введена совместно с выходом операционных систем Windows 8 в 2012 году. В России и странах СНГ технология получила развитие в рамках платформы «Российская платформа защищённой загрузки» (РПЗЗ), основанной на российском криптографическом стандарте ГОСТ Р 34.10-2012.
¶Назначение и принцип работы
Secure Boot решает задачу защиты от так называемых «загрузочных вредоносов» (bootkits), которые внедряются в загрузочный сектор диска или EFI-раздел и выполняются до запуска операционной системы, что позволяет им обходить средства защиты ОС.
Принцип работы основан на цепочке доверия:
- Прошивка UEFI содержит встроенную базу ключей (db, dbx, KEK, PK).
- При включении компьютера UEFI проверяет цифровую подпись каждого загружаемого компонента — загрузчика ОС, драйверов, UEFI-приложений.
- Подписанный доверенным ключом компонент загружается; компонент без корректной подписи блокируется.
- База dbx (revocation list) содержит отозванные ключи и хеши — загрузка компонентов, в неё попавших, запрещается даже при наличии валидной подписи.
По умолчанию в базу доверенных ключей входят сертификаты Microsoft, что позволяет загружать стандартные дистрибутивы Windows и большинство Linux-дистрибутивов, подписанные Microsoft (например, Ubuntu, Fedora, Debian). Для загрузки самоподписанных загрузчиков, например, настроенных вручную систем с шифрованием диска или пользовательскими ядрами, требуется добавление собственных ключей в базу UEFI.
¶Как включить Secure Boot
Порядок включения зависит от производителя материнской платы или ноутбука, но общий алгоритм следующий:
¶Подготовка
Перед включением Secure Boot необходимо убедиться, что:
- установлен режим загрузки UEFI, а не Legacy BIOS (CSM — Compatibility Support Module должен быть отключён);
- операционная система установлена в разделе с разметкой GPT (для Windows — с конвертацией MBR→GPT при необходимости);
- диск, с которого будет загружаться ОС, имеет EFI-раздел (ESP) с корректным загрузчиком.
¶Вход в настройки UEFI
При включении компьютера нужно нажать клавишу входа в UEFI/BIOS. Типичные варианты:
| Производитель | Клавиша входа |
|---|---|
| ASUS | Del или F2 |
| Gigabyte | Del |
| MSI | Del |
| ASRock | Del или F2 |
| Lenovo | F2 или Fn+F2 |
| HP | F10 или Esc |
| Dell | F2 |
| Acer | F2 или Del |
На ноутбуках с Windows 10/11 альтернативный путь: «Параметры» → «Обновление и безопасность» → «Восстановление» → «Особые варианты загрузки» → «Перезагрузить сейчас» → «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры встроенного ПО UEFI» → «Перезагрузить».
¶Включение в интерфейсе UEFI
В настройках UEFI Secure Boot обычно расположен во вкладке «Boot» или «Security». Порядок действий:
- Перейти в раздел «Boot» → «Secure Boot».
- Убедиться, что «OS Type» установлен в значение «Windows UEFI mode» (на платах ASUS) или аналогичное.
- Переключить «Secure Boot» в состояние «Enabled».
- При необходимости выбрать опцию «Key Management» и выполнить «Install Default Secure Boot Keys» — это загрузит стандартные ключи Microsoft.
- Сохранить изменения (F10) и перезагрузить компьютер.
На некоторых платах Secure Boot заблокирован, пока не выполнена сброска ключей в заводское состояние — опция называется «Restore Factory Keys» или «Install Default Keys».
¶Проверка состояния
В Windows состояние проверяется через утилиту msinfo32 (Сведения о системе): строка «Состояние безопасной загрузки» должна показывать «Включено». В Linux проверить состояние можно командой:
`` mokutil --sb-state ``
¶Secure Boot в Linux
Большинство современных Linux-дистрибутивов (Ubuntu 12.04+, Fedora 18+, Debian 10+, openSUSE) подписываются ключом Microsoft и загружаются с включённым Secure Boot без дополнительных действий. Для пользовательских сборок, установки модулей ядра с неподписанной подписью или загрузки через собственные загрузчики (например, rEFInd, systemd-boot с кастомными настройками) требуется либо отключить Secure Boot, либо добавить собственные ключи через утилиту mokutil и утилиту keyctl, либо отключить проверку подписи модулей ядра параметром загрузки module.sig_enforce=0.
¶Российская платформа защищённой загрузки
В России с 2013 года разрабатывается собственный стандарт защищённой загрузки — РПЗЗ, основанный на алгоритмах ГОСТ Р 34.10-2012. Платформа была создана при участии компании «Лаборатория Касперского» и поддерживается рядом российских производителей компьютерной техники («Ростех», «Баиком», «Ай-Тего» и другие). Цель проекта — обеспечить независимость от зарубежных криптостандартов и возможность загрузки российских ОС (Astra Linux, РЕД ОС, «Альт») с проверкой подписи по ГОСТ. РПЗЗ реализуется на уровне прошивки и поддерживается на некоторых моделях серверов и рабочих станций российского производства.
¶Ограничения и особенности
- Secure Boot не защищает от атак на работающую систему, только от загрузки неавторизованного кода.
- Отключение Secure Boot снижает уровень защиты, но иногда необходимо для установки альтернативных ОС или загрузчиков.
- На некоторых устройствах (например, Surface от Microsoft) отключение Secure Boot не предусмотрено.
- Обновление ключевой базы UEFI может сделать установленную ОС незагружаемой, если её загрузчик не подписан новым ключом.
Источники:
- Спецификация UEFI 2.10 (UEFI Forum)
- Документация Microsoft: Secure Boot Overview
- Документация проекта shim (github.com/rhboot/shim)
- РПЗЗ: Техническая спецификация «Российская платформа защищённой загрузки»
- Документация Ubuntu: SecureBoot (help.ubuntu.com)
- mokutil — man page (Linux)