Glosario
Arranque seguro (Secure Boot)
Función de UEFI que solo deja al firmware cargar componentes de arranque firmados con claves de confianza, lo que protege el arranque de Windows de los bootkits.
El arranque seguro forma parte de la especificación UEFI. El firmware contiene bases de datos de firmas: db enumera los certificados y hashes cuya ejecución está permitida, dbx enumera los revocados, y la clave de intercambio de claves (KEK) y la clave de plataforma (PK) controlan quién puede actualizar esas bases de datos. Durante el inicio, el firmware verifica cada componente de arranque, como el Administrador de arranque de Windows, frente a db y dbx, y se niega a ejecutar cualquier elemento sin firmar o revocado. Después, Windows prolonga la cadena de confianza con sus propias comprobaciones de integridad de código, y el arranque medido registra cada paso en el TPM para que la atestación de estado pueda verificarlo más adelante.
El arranque seguro bloquea los bootkits que, de otro modo, se ejecutarían antes que el sistema operativo y sus herramientas de seguridad. Es un requisito previo de Credential Guard y una base de HVCI, y BitLocker lo usa para validar la integridad de la cadena de arranque. Su protección depende de que dbx esté actualizada: el bootkit BlackLotus (CVE-2023-24932) abusaba de un administrador de arranque vulnerable pero todavía de confianza, y corregirlo exigió actualizaciones de revocación. Compruébelo con Confirm-SecureBootUEFI y planifique la expiración de los certificados de 2011 y su sustitución por los certificados de 2023.
Consulte Protección del arranque seguro y UEFI.