Glossar
Secure Boot
UEFI-Funktion, die die Firmware nur mit vertrauenswürdigen Schlüsseln signierte Startkomponenten laden lässt und den Windows-Startpfad vor Bootkits schützt.
Secure Boot (Sicherer Start) ist Teil der UEFI-Spezifikation. Die Firmware enthält Signaturdatenbanken: db listet die zur Ausführung zugelassenen Zertifikate und Hashes, dbx die widerrufenen, und Key Exchange Key (KEK) und Platform Key (PK) legen fest, wer diese Datenbanken aktualisieren darf. Beim Start prüft die Firmware jede Startkomponente, etwa den Windows-Start-Manager, gegen db und dbx und verweigert die Ausführung alles Unsignierten oder Widerrufenen. Windows setzt die Vertrauenskette anschließend mit eigenen Codeintegritätsprüfungen fort, und der kontrollierte Start (Measured Boot) protokolliert jeden Schritt im TPM, damit ein Integritätsnachweis ihn später überprüfen kann.
Secure Boot blockiert Bootkits, die sonst vor dem Betriebssystem und seinen Sicherheitswerkzeugen liefen. Es ist Voraussetzung für Credential Guard und eine Grundlage für HVCI, und BitLocker nutzt es zur Integritätsprüfung der Startkette. Der Schutz hängt davon ab, dass dbx aktuell ist: Das Bootkit BlackLotus (CVE-2023-24932) missbrauchte einen anfälligen, aber weiterhin vertrauenswürdigen Start-Manager, und die Behebung erforderte Widerrufsupdates. Prüfen Sie den Status mit Confirm-SecureBootUEFI und planen Sie den Ablauf der Zertifikate von 2011 und ihren Ersatz durch die Zertifikate von 2023 ein.
Siehe Secure Boot und UEFI härten.