Secure Boot проверяет допустимость загрузочных компонентов по доверенным подписям или хешам и учитывает отозванные элементы. Это затрудняет запуск недоверенного кода до старта ОС, например подмененного загрузчика. Механизм не шифрует диск, не является антивирусом и не гарантирует отсутствие уязвимостей в разрешенном коде.
Какую проблему решает Secure Boot?
Как Secure Boot защищает раннюю загрузку от недоверенных компонентов и почему подпись, шифрование диска и измеренная загрузка решают разные задачи.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
До запуска основной ОС уже выполняется код загрузочной цепочки. Если эту часть подменить, обычные средства защиты внутри ОС могут стартовать слишком поздно. Secure Boot помогает контролировать, каким загрузочным компонентам разрешено выполняться.
UEFI проверяет загружаемые образы с учетом доверенных ключей, подписей или хешей и списка отозванных элементов. В инфраструктуре Windows используются базы разрешенных и отозванных подписей; основы описаны в документации Microsoft Secure Boot. Проверка доверия продолжается предусмотренными компонентами загрузочной цепочки.
Важно не расширять обещание механизма. Secure Boot не шифрует пользовательские файлы и не проверяет содержание всех документов. Разрешенный подписанный компонент тоже может содержать ошибку, поэтому нужны обновления и актуальные списки отзыва. Цифровая подпись подтверждает происхождение и целостность в заданной модели доверия, а не математическую безошибочность программы.
Не путайте три задачи: разрешить выполнение доверенного загрузочного кода, измерить фактически загруженные компоненты для последующей проверки и защитить данные на диске шифрованием. Они могут дополнять друг друга, но не подменяют одна другую.
На интервью хороший ответ связывает механизм с конкретной угрозой — подменой ранних компонентов запуска — и сразу называет границы. Вывод «Secure Boot включен, значит заражение невозможно» неверен. Диагностика проблем загрузки должна учитывать совместимость и состояние ключей, а не сводиться к отключению проверки.