Secure Boot: назначение, включение и настройка¶
Secure Boot (секьюрити бут) — механизм защиты компьютера, встроенный в прошивку UEFI, который проверяет цифровые подписи загрузчиков и загружаемых компонентов операционной системы и предотвращает запуск недоверенного кода до старта ОС. Технология является частью спецификации UEFI и получила широкое распространение на компьютерах с Windows 8 и новее.
¶Назначение
Основная задача Secure Boot — защита от загрузочных вредоносных программ (bootkits), которые работают на уровне ниже операционной системы и могут оставаться невидимыми для антивируса. Механизм использует систему доверенных ключей: при загрузке прошивка UEFI проверяет цифровую подпись каждого загружаемого компонента (загрузчика EFI, драйверов, модулей прошивки). Если подпись отсутствует или не соответствует доверенным ключам, загрузка блокируется.
Secure Boot поддерживает два типа ключей:
- PK (Platform Key) — ключ платформы, определяет владельца устройства;
- KEK (Key Exchange Keys) — ключи обмена, управляющие базой доверенных сертификатов;
- db — база доверенных подписей и сертификатов загрузчиков;
- dbx — база отозванных (запрещённых) подписей.
В стандартной конфигурации Windows ключи Microsoft встроены в базу доверенности, что позволяет загружать только загрузчики, подписанные Microsoft.
¶Совместимость с операционными системами
Secure Boot изначально разрабатывался под Windows 8 и новее. Linux-дистрибутивы постепенно получили поддержку: Ubuntu, Fedora, Debian и другие крупные дистрибутивы используют подписанные загрузчики shim, которые включают в себя доверенный сертификат дистрибутива. Это позволяет загружать Linux при активном Secure Boot без отключения механизма.
Для старых операционных систем (Windows 7 и ранние версии), а также для самозагрузки неподписанных загрузчиков Secure Boot необходимо отключить.
¶Как включить Secure Boot
¶Подготовка
Перед переключением режима необходимо убедиться, что диск размечен в схеме GPT, а не MBR, так как Secure Boot работает только с UEFI-загрузкой. Если диск размечен в MBR, переключение в режим UEFI может сделать установленную ОС незагружаемой. Для преобразования MBR в GPT в Windows используется утилита mbr2gpt.exe:
`` mbr2gpt /convert /allowFullOS ``
Также в операционной системе должен быть установлен ключ Secure Boot (обычно ставится автоматически при установке Windows 8 и новее).
¶Вход в настройки UEFI
Для входа в прошивку UEFI необходимо перезагрузить компьютер и нажать клавишу входа в BIOS/UEFI. Типичные клавиши:
| Производитель | Клавиша |
|---|---|
| ASUS | Del или F2 |
| MSI | Del |
| Gigabyte | Del |
| Lenovo | F2 или Fn+F2 |
| HP | F10 или Esc |
| Dell | F2 |
В Windows 10 и 11 можно войти в UEFI через параметры: «Параметры» → «Обновление и безопасность» → «Восстановление» → «Особые варианты загрузки» → «Перезагрузить сейчас» → «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры встроенного ПО UEFI».
¶Переключение режима
В настройках UEFI нужно найти раздел Boot, Security или Settings (название зависит от производителя) и выполнить следующие действия:
- Убедиться, что режим загрузки установлен как UEFI, а не Legacy/CSM;
- Найти пункт Secure Boot и переключить его в состояние Enabled;
- При наличии пункта «OS Type» выбрать «Windows UEFI mode» (на некоторых платах ASUS);
- Сохранить изменения клавишей F10 и перезагрузить систему.
На некоторых материнских платах перед изменением Secure Boot требуется сначала установить пароль на прошивку (Administrator Password), иначе соответствующие пункты заблокированы.
¶Отключение Secure Boot
Процедура обратная: в настройках UEFI переключить Secure Boot в состояние Disabled. На некоторых системах с Windows 11 отключение Secure Boot сопровождается предупреждением, так как данная технология входит в список аппаратных требований Windows 11.
¶Проверка состояния
В Windows состояние Secure Boot можно проверить средствами системы: нажать Win+R, ввести msinfo32 и найти строку «Состояние Secure Boot». Значение «Вкл» подтверждает активность механизма. В Linux команда:
`` mokutil --sb-state ``
¶Возможные проблемы
При включении Secure Boot на некоторых конфигурациях возможны ошибки загрузки. Типичные причины:
- Диск размечен в MBR — требуется преобразование в GPT;
- Установлена старая ОС без поддержки UEFI;
- Загрузчик не подписан доверенным ключом;
- В прошивке одновременно активны Legacy и UEFI (CSM) — требуется отключить CSM.
¶Secure Boot и Windows 11
Microsoft сделала Secure Boot одним из обязательных требований Windows 11 наряду с TPM 2.0. Это ускорило распространение технологии: практически все компьютеры, выпущенные после 2020 года, поставляются с активированным Secure Boot по умолчанию.
Источники:
- Спецификация UEFI (Unified Extensible Firmware Interface Forum)
- Документация Microsoft по Windows 11 requirements
- Документация Ubuntu по Secure Boot и shim
- Руководства по эксплуатации материнских плат ASUS, MSI, Gigabyte