未使用Secure Boot是什么、为什么、在哪里、有多少影响、如何管理？

在现代计算机世界中，启动过程的安全性变得越来越重要。Secure Boot作为UEFI固件的一项关键特性，旨在确保只有受信任的软件才能在启动时加载。然而，出于各种原因，许多系统可能处于【未使用Secure Boot】的状态。本文将深入探讨这一状态的具体含义、其背后的考量、如何识别和管理，以及它对系统产生的实际影响。

【未使用Secure Boot】是什么？

当一台支持UEFI（统一可扩展固件接口）的计算机被描述为【未使用Secure Boot】时，这表示其UEFI固件中的Secure Boot功能当前处于禁用状态。这并非指系统完全缺乏UEFI功能，而是指其中一个核心安全特性未被激活。

系统状态的具体含义

• 启动过程未经验证： 默认情况下，Secure Boot通过验证启动加载器、操作系统内核以及部分驱动程序的数字签名，来确保其真实性和完整性。当它被禁用时，这一验证过程便被跳过。
• 签名要求被绕过： 通常需要由微软、硬件制造商或其他可信机构签名的启动组件，在Secure Boot未激活时，即使没有有效签名也能被系统加载和执行。
• 处于UEFI模式下： 重要的是要区分“未使用Secure Boot”与“Legacy BIOS模式”。即使Secure Boot被禁用，系统通常仍然以UEFI模式运行，只是失去了启动路径上的额外安全层。

对启动流程的直接影响

在Secure Boot被禁用的情况下，系统在启动时会更宽松地对待加载的代码。这意味着：

“任何可被系统识别并加载的引导加载器（无论是否签名）都有机会控制启动过程。这为高度自定义和兼容性提供了空间，但也带来了潜在的安全风险。”

例如，如果一个恶意软件成功地将未经签名的引导加载器注入到启动路径中，系统将不会阻止其运行，从而可能在操作系统启动之前就感染系统。

【未使用Secure Boot】的常见原因与考虑

用户或系统管理员选择不启用Secure Boot并非偶然，通常是基于特定的需求和权衡考量。理解这些原因有助于更好地管理系统安全与功能性。

为什么选择不使用？（优点）

禁用Secure Boot的主要动机通常源于对系统兼容性和灵活性的需求：

1. 安装非官方操作系统或旧版系统：
   • 自定义或特定Linux发行版： 许多Linux发行版，特别是那些高度定制或较旧的版本，其引导加载器可能没有经过微软的Secure Boot认证（即没有DB签名），或用户希望使用自己的引导加载器。
   • 双引导系统： 在同一台机器上安装Windows和其他操作系统时，禁用Secure Boot可以简化引导加载器的管理，避免兼容性问题。
   • 旧版Windows： Windows 7及更早版本不支持Secure Boot。
2. 使用未签名或自签名的硬件驱动程序：
   • 专业硬件设备： 某些专用的硬件（如科学仪器、工业控制器、特定的老旧打印机或声卡）可能只有未经微软签名的驱动程序。
   • 开发与测试： 开发者在测试自己的硬件或驱动程序时，常常需要禁用Secure Boot以加载未经签名的代码。
3. 故障排除、恢复与调试：
   • 第三方启动盘/工具： 使用非官方的启动U盘、系统恢复盘或诊断工具时，如果这些工具的引导加载器未经签名，就需要禁用Secure Boot。
   • 深度系统调试： 在进行操作系统级别或固件级别的深度调试时，可能需要加载自定义的启动组件。
4. 操作系统或固件开发：
   • 自定义内核或引导加载器： 对于操作系统开发者而言，在测试新的内核或引导加载器时，Secure Boot通常会被禁用。

不使用Secure Boot的潜在风险？（缺点）

尽管禁用Secure Boot提供了更大的灵活性，但它也带来了显著的安全隐患：

• 增加遭受Rootkit和Bootkit攻击的风险： 这是最主要的安全风险。这些恶意软件能够在操作系统加载之前就感染系统，难以被常规杀毒软件检测和清除，从而获得对系统的完全控制权。
• 系统完整性受到威胁： 无法确保启动路径上所有组件的完整性和可信度。这意味着从固件到操作系统内核的任何环节都可能被篡改而不会被阻止。
• 合规性问题： 部分企业、政府机构或特定行业（如金融、医疗）可能强制要求所有终端设备必须启用Secure Boot，以满足安全合规性标准。不遵守可能导致罚款、数据泄露或失去认证。
• 失去针对恶意启动代码的保护： 一旦Secure Boot禁用，系统就失去了抵御那些尝试在启动早期阶段篡改或注入恶意代码的防御机制。

如何检查与定位【未使用Secure Boot】状态？

了解当前系统Secure Boot的状态以及如何在需要时更改它，是管理计算机安全性的重要一环。以下是在不同环境下检查和定位其状态的方法。

在操作系统内检查

Windows操作系统

在Windows中检查Secure Boot状态非常直接：

1. 使用系统信息工具 (msinfo32.exe)：
   • 按下 Win + R 键，输入 msinfo32，然后按回车。
   • 在弹出的“系统信息”窗口中，查找左侧面板的“系统摘要”。
   • 在右侧面板中，找到“BIOS 模式”和“安全启动状态”两项。
   • 如果“BIOS 模式”显示为“UEFI”而“安全启动状态”显示为“关闭”或“不支持”，则表示Secure Boot未被使用。如果显示“支持”或“开”，则表示已启用。
2. 使用PowerShell命令：
   • 以管理员身份打开PowerShell。
   • 输入命令：Get-SecureBootUEFI
   • 如果返回 False，则表示Secure Boot已禁用。如果返回 True，则表示已启用。

Linux操作系统

在许多Linux发行版中，也可以通过命令行检查Secure Boot状态：

1. 使用mokutil命令 (需要安装shim-signed或efibootmgr包)：
   • 打开终端。
   • 输入命令：mokutil --sb-state
   • 输出会直接显示Secure Boot是“Enabled”还是“Disabled”。
2. 检查EFI变量：
   • 打开终端。
   • 输入命令：efivar -l | grep SecureBoot 或 cat /sys/firmware/efi/efivars/SecureBoot-*
   • 通过解析输出，可以判断Secure Boot的实际状态。通常如果文件内容以 `01` 开头，表示已启用，`00` 表示已禁用。

在UEFI固件设置中定位

更改Secure Boot的状态，必须进入计算机的UEFI（BIOS）设置界面。进入UEFI设置的方法因电脑品牌而异：

1. 进入UEFI设置：
   • Dell： F2 或 F12 (启动菜单，然后选择Setup)
   • HP： F10 或 Esc (然后选择F10 for BIOS Setup)
   • Lenovo： F1、F2、Fn+F2 或通过Novo Button
   • Acer： F2 或 Del
   • ASUS： Del 或 F2
   • Microsoft Surface： 按住音量增大按钮，然后按下电源按钮。
   • 其他品牌： 通常是 Del、F2、F10、F12 或 Esc。在开机时屏幕上通常会短暂提示。
2. 导航到Secure Boot选项：
   • 一旦进入UEFI设置，通常需要寻找以下菜单或选项：
     • “Boot Options” (启动选项)
     • “Security” (安全)
     • “Authentication” (认证)
     • “UEFI Firmware Settings” (UEFI固件设置)
   • 在这些菜单下，您应该能找到一个名为“Secure Boot”、“安全启动”、“CSM/Legacy Boot”或类似名称的选项。

请注意，有些系统可能需要先禁用“CSM”（兼容性支持模块）或将“UEFI/Legacy Boot”设置为“UEFI Only”，才能看到或更改Secure Boot的选项。

【未使用Secure Boot】对系统产生的影响程度

【未使用Secure Boot】这一状态并非对所有用户都构成同等程度的风险或益处。其影响程度取决于用户的具体使用场景、安全意识和技术需求。

安全性影响

• 风险级别：
  • 对于普通家用用户： 如果用户主要安装官方Windows或主流Linux发行版，且使用可靠的防病毒软件，恶意启动代码的风险相对较低，但并非为零。
  • 对于高级用户/开发者： 如果用户频繁测试自定义内核、驱动或使用非官方工具，了解并接受这些风险是其工作的一部分。
  • 对于企业/关键基础设施： 未使用的Secure Boot可能构成严重的安全漏洞，因为它为专业攻击者提供了植入持久性恶意软件的途径。在这些环境中，通常要求启用Secure Boot。
• 攻击向量：
  • 主要的攻击向量是植入Bootkit或Rootkit，这些恶意软件在操作系统启动前加载，可以绕过操作系统的安全机制。
  • 它也可能使物理访问攻击更容易成功，因为攻击者可以用自定义的引导介质启动系统，而无需担心签名验证。

总而言之，禁用Secure Boot会显著降低系统在启动阶段的安全性，使系统更容易受到高级持久性威胁（APT）和有针对性攻击的影响。

兼容性影响

• 正面影响：
  • 极大的灵活性： 兼容性是禁用Secure Boot最大的优势。它允许用户自由选择和安装各种操作系统，包括旧版Windows、不同Linux发行版、BSD系统，甚至开发中的定制操作系统。
  • 广泛的硬件支持： 能够使用那些仅提供未签名驱动程序的专用或旧式硬件。
  • 故障排除工具： 使用各种第三方启动盘和诊断工具而不会遇到限制。
• 负面影响：
  • 从兼容性角度看，禁用Secure Boot几乎没有负面影响。实际上，它是为了解决兼容性问题而采取的措施。
  • 在极少数情况下，某些安全性要求极高的应用软件或游戏可能错误地将未启用Secure Boot的系统视为不安全，从而拒绝运行或限制功能。

性能与稳定性影响

• 性能：
  • 无直接性能影响： Secure Boot的验证过程发生在系统启动的极早期阶段，对操作系统运行时的性能没有可察觉的影响。启用或禁用它不会改变应用程序的执行速度或系统响应时间。
• 稳定性：
  • 无直接稳定性影响： Secure Boot本身不会影响系统的稳定性。
  • 间接稳定性风险： 如果因禁用Secure Boot而安装了有缺陷或恶意的未签名驱动程序、引导加载器或操作系统组件，这些不稳定的组件可能会导致系统崩溃、蓝屏死机或其他不稳定性问题。然而，这并非Secure Boot本身造成的，而是用户选择安装了不稳定的软件所致。

如何启用或保持【未使用Secure Boot】状态？

根据您的需求，您可能需要启用Secure Boot以增强安全性，或确保它保持禁用状态以维持兼容性和灵活性。以下是具体的操作步骤和注意事项。

启用Secure Boot的步骤

如果您决定启用Secure Boot以提高系统的安全性，请遵循以下一般步骤：

1. 备份重要数据： 在进行任何UEFI设置更改之前，始终建议备份所有重要数据，以防万一。
2. 进入UEFI固件设置： 根据您计算机的品牌和型号，在开机时按下相应的按键（如F2、Del、F10、Esc等）进入UEFI设置界面。
3. 导航到Secure Boot选项： 在UEFI菜单中，寻找“Boot Options”、“Security”、“Authentication”或类似名称的选项卡或菜单。
4. 查找并启用Secure Boot：
   • 找到“Secure Boot”或“安全启动”选项。
   • 将其状态从“Disabled”（禁用/关闭）更改为“Enabled”（启用/开启）。
   • 在某些系统中，您可能还需要设置“UEFI Mode Only”或禁用“CSM Support”（兼容性支持模块）才能完全启用Secure Boot。
5. 管理Secure Boot密钥（可选但可能必要）：
   • 在某些情况下，尤其是在从禁用状态启用Secure Boot时，系统可能提示您“Enroll all Factory Default Keys”（注册所有出厂默认密钥）或“Load Default PK/KEK/DB/DBX Keys”（加载默认平台密钥/密钥交换密钥/数据库密钥）。
   • 执行此操作以加载操作系统所需的信任根密钥。
   • **警告：** 某些系统可能有“Clear All Secure Boot Keys”或“Reset to Setup Mode”选项。**除非您非常清楚自己在做什么，否则请勿选择这些选项，因为它可能导致您的操作系统无法启动。**
6. 保存并退出： 找到“Save and Exit”（保存并退出）选项，确认您的更改。系统将重启。

重要提示： 启用Secure Boot后，如果您的当前操作系统（特别是Linux发行版或某些自定义安装的Windows）的引导加载器没有正确签名，它可能无法启动。您可能需要重新安装操作系统或重新配置引导加载器以兼容Secure Boot。

确保其保持【未使用Secure Boot】状态的步骤

如果您出于兼容性或特定需求，需要确保Secure Boot始终处于禁用状态，可以按照以下步骤操作：

1. 进入UEFI固件设置： 同样，在开机时按下相应按键进入UEFI设置。
2. 导航到Secure Boot选项： 找到“Secure Boot”或“安全启动”选项。
3. 禁用Secure Boot：
   • 将其状态设置为“Disabled”（禁用/关闭）。
   • 在某些系统上，您可能需要先将“UEFI Mode”更改为“UEFI with CSM”或“Legacy Support”才能看到禁用Secure Boot的选项。
   • 如果存在“CSM Support”或“Legacy Boot”选项，您可以考虑将其设置为“Enabled”，这通常会与禁用Secure Boot并行。
4. 保存并退出： 保存更改并退出UEFI设置。系统将重启。

管理Secure Boot状态的注意事项

• 了解系统兼容性： 在更改Secure Boot状态之前，请务必了解您的操作系统、已安装的驱动程序和应用程序是否与新状态兼容。
• 固件更新： 有时，UEFI固件更新可能会重置Secure Boot的状态，或引入新的选项。在更新固件后，请重新检查Secure Boot的状态。
• 硬件支持： 并非所有UEFI系统都支持Secure Boot，特别是较旧的系统。如果您的系统信息显示“安全启动状态：不支持”，则表示您的硬件不支持此功能。
• 谨慎操作： 任何对UEFI设置的更改都应谨慎进行。如果操作不当，可能会导致系统无法启动。如果遇到问题，请查阅计算机制造商的官方手册或支持文档。

通过了解【未使用Secure Boot】的深层含义及其管理方式，用户可以在系统安全与功能灵活性之间做出明智的权衡，从而更好地掌控和定制自己的计算环境。