Secure Boot w Windows: Gdzie są klucze UEFI (DB, KEK, PK)?

No dobra, słuchaj, pewnie słyszałeś o Bezpiecznym Rozruchu (Secure Boot) i zastanawiałeś się, gdzie Windows trzyma te wszystkie klucze i podpisy, co nie? Bo przecież system jakoś musi wiedzieć, że to, co próbuje się uruchomić, jest „legalne”. Ale tu od razu ci powiem coś super ważnego: to nie są takie zwykłe pliki, które znajdziesz sobie w Eksploratorze plików na dysku C:. Te bazy danych podpisów UEFI — czyli DB (Database), DBX (Database X — eXtension, a tak naprawdę „zabronione”), KEK (Key Exchange Key) i PK (Platform Key) — są przechowywane bezpośrednio w oprogramowaniu układowym (firmware) płyty głównej, a konkretnie w jej nieulotnej pamięci (NVRAM). Tak, dobrze słyszysz, to nie jest żaden folder Windowsa, tylko serce twojej płyty głównej! Windows jedynie *zarządza* tymi ustawieniami i *odpytuje* firmware, czy wszystko gra podczas startu.

Co to za pliki/dane i do czego służą?

Rozłożymy to na czynniki pierwsze, bo to kluczowe, żeby zrozumieć, jak działa Secure Boot. Wyobraź sobie, że Secure Boot to taki bramkarz na imprezie, który sprawdza identyfikatory.

• DB (Authorized Signatures Database): To jest lista „gości”, którzy mają wstęp. Zawiera certyfikaty kryptograficzne wydawców, których oprogramowanie może być uruchomione podczas procesu rozruchu. Czyli jeśli Windows chce się załadować, jego bootloader musi być podpisany certyfikatem, który jest w tej bazie DB.
• DBX (Forbidden Signatures Database): A to jest lista „niepożądanych gości”. Zawiera certyfikaty dla znanych, złośliwych bootloaderów lub luk w zabezpieczeniach, których uruchomienie Secure Boot ma zablokować. Superważne dla bezpieczeństwa, bo eliminuje całą masę syfu już na starcie.
• KEK (Key Exchange Key): To taki klucz mistrza, który może aktualizować listy DB i DBX. Jeśli producent płyty głównej albo Microsoft chce dodać nowy certyfikat do DB (bo na przykład pojawiła się nowa wersja Windowsa) albo dodać coś do DBX (bo wykryto nowe zagrożenie), to musi to podpisać kluczem KEK.
• PK (Platform Key): To jest w ogóle najważniejszy klucz, szef wszystkich szefów. Podpisuje on KEK i określa, kto ma prawo zarządzać całą polityką Secure Boot na danym komputerze. Zazwyczaj to producent sprzętu (OEM) trzyma ten klucz, ale wiesz, można go czasem zmienić na własny, jeśli ktoś lubi grzebać.

Cały ten zestaw służy jednemu: zapewnić, że podczas startu komputera uruchomi się tylko zaufane oprogramowanie – system operacyjny, sterowniki, bootloadery – i ani grama czegoś, co mogłoby być złośliwe. Czy to nie genialne w swojej prostocie?

Czy to wirus, czy można usunąć i co się stanie?

Absolutnie nie jest to wirus. Wręcz przeciwnie, to podstawa bezpieczeństwa! Te „pliki” (czyli dane w firmware) to fundament Bezpiecznego Rozruchu. Nie możesz ich „usunąć” w tradycyjny sposób, tak jak kasujesz zdjęcie z pulpitu. Możesz je zresetować lub wyczyścić za pomocą specjalnych opcji w ustawieniach UEFI (BIOS) twojej płyty głównej. Zazwyczaj znajdziesz je w sekcji „Security” lub „Boot”.

Co się stanie, jeśli je zresetujesz?

Jeśli zresetujesz wszystkie klucze Secure Boot (np. do fabrycznych ustawień, co często nazywa się „Load Default Secure Boot Keys” lub „Clear Secure Boot Keys”), system operacyjny, który był zainstalowany z włączonym Secure Boot, prawdopodobnie nie będzie chciał się uruchomić. Dlaczego? Bo jego bootloader będzie podpisany certyfikatem, który znajdował się w starej bazie DB, a nowa (domyślna) baza może go już nie zawierać. Trzeba wtedy albo ponownie włączyć Secure Boot z domyślnymi kluczami (jeśli Windows je rozpozna), albo go wyłączyć. W ogóle, grzebanie w tych ustawieniach bez pojęcia to proszenie się o kłopoty i komunikat „No Boot Device Found”. Nie polecam, chyba że wiesz, co robisz i chcesz na przykład zainstalować niestandardowy system operacyjny, który wymaga wyłączenia Secure Boot.

Typowe problemy i błędy związane z tymi danymi

Z Secure Bootem, a co za tym idzie, z tymi bazami, najczęściej spotyka się dwa typy problemów:

• Brak możliwości uruchomienia systemu po zmianie kluczy: To klasyk. Zmienisz coś w ustawieniach Secure Boot (np. wyłączysz, a potem włączysz z innymi kluczami), a system nagle mówi „do widzenia”. Wtedy często trzeba wrócić do ustawień fabrycznych w UEFI albo wyłączyć Secure Boot.
• Problemy z instalacją niektórych systemów operacyjnych lub starszych sterowników: Niektóre dystrybucje Linuksa lub starsze systemy Windows mogą nie mieć podpisanych bootloaderów certyfikatami z bazy DB. Wtedy Secure Boot traktuje je jako niezaufane i blokuje uruchomienie. Rozwiązaniem jest zazwyczaj wyłączenie Secure Boot w UEFI. Podobnie ze sterownikami – te niepodpisane cyfrowo po prostu nie ruszą z włączonym Secure Boot.

A wiesz co jest ciekawe? Czasem po aktualizacji firmware’u płyty głównej, klucze Secure Boot mogą zostać zresetowane, co też może prowadzić do problemów z rozruchem. Zawsze po takiej operacji warto sprawdzić, czy Secure Boot jest aktywny i czy klucze są ustawione prawidłowo, zwłaszcza te domyślne od producenta.

Dlaczego te dane są read-only lub systemowe?

Te bazy danych są w zasadzie read-only dla systemu operacyjnego i użytkownika, a wszelkie zmiany mogą być wprowadzane tylko przez bardzo specyficzne mechanizmy, jak aktualizacje firmware’u lub poprzez interfejs UEFI. Dlaczego tak? To jest podstawa bezpieczeństwa!

Wyobraź sobie, że każdy wirus czy złośliwe oprogramowanie mogłoby sobie ot tak, z poziomu Windowsa, zmienić te klucze albo dodać swój certyfikat do bazy DB. No to cała idea Secure Boot poszłaby w diabły, prawda? Chroniąc te bazy w pamięci NVRAM i ograniczając dostęp tylko do firmware, uniemożliwiamy atakom z poziomu systemu operacyjnego na manipulowanie procesem rozruchu. To gwarantuje, że zanim Windows w ogóle zacznie działać, masz pewność, że to, co startuje, jest tym, czym ma być. Czyli, krótko mówiąc, to taka ekstra warstwa ochrony, żeby nikt nie mógł ci podmienić strażnika przy bramie, zanim impreza na dobre się zacznie.

Zatem, czy wiesz już, dlaczego nie znajdziesz ich w `C:\Windows\System32`?

Najczęstsze pytania

Czy Secure Boot spowalnia komputer?

Nie, Secure Boot to bardzo wczesny etap procesu rozruchu, który sprawdza podpisy. Nie ma zauważalnego wpływu na prędkość działania komputera po załadowaniu systemu operacyjnego.

Czy muszę mieć włączony Secure Boot?

Nie jest to obowiązkowe, ale jest to zalecane dla zwiększenia bezpieczeństwa, zwłaszcza jeśli używasz Windows 10/11. Jest też wymagany do uruchomienia niektórych funkcji, np. Windows 11.

Jak sprawdzić status Secure Boot w Windows?

Możesz to zrobić, wpisując `msinfo32` w menu Start i szukając pozycji „Tryb systemu BIOS” (powinno być „UEFI”) oraz „Stan bezpiecznego rozruchu” (powinno być „Włączone”).