Secure Boot: A Tecnologia de Segurança para Computadores
Secure Boot é uma tecnologia de segurança desenvolvida para garantir que um computador seja inicializado apenas com software confiável do fabricante original (OEM). Essa tecnologia impede, por exemplo, que um software malicioso ou não autorizado seja carregado durante o processo de inicialização, verificando a assinatura digital de cada componente do software de boot.
A verificação desta “inicialização de segurança” inclui drivers de firmware UEFI, aplicativos EFI e o sistema operacional. Caso as assinaturas sejam válidas, o sistema é iniciado normalmente, garantindo a integridade e a segurança do processo de inicialização.
Como funciona a sequência de inicialização?
A sequência de inicialização com Secure Boot segue um processo rigoroso para garantir que apenas software confiável seja executado:
- Verificação de Assinatura: ao ligar o PC, o firmware UEFI verifica a assinatura de cada componente de inicialização.
- Inicialização do Firmware UEFI: se todas as assinaturas forem válidas, o firmware UEFI continua a inicialização.
- Carregamento do Gerenciador de Inicialização: o firmware passa o controle ao Gerenciador de Inicialização do Windows.
- Verificação de Drivers e Kernel: o Gerenciador de Inicialização verifica os drivers e o kernel do Windows antes de carregá-los.
- Carregamento do Windows: com todos os componentes verificados, o Windows é carregado junto com o software antimalware e outros drivers necessários.
Caso algum componente falhe na verificação, o firmware UEFI inicia uma recuperação específica do OEM ou tenta usar uma cópia de backup.
Requisitos da Inicialização Segura
Requisito de Hardware: Detalhes
UEFI Versão 2.3.1 Errata C
Variáveis UEFI devem ser definidas como SecureBoot=1 e SetupMode=0 com um banco de dados de assinatura (EFI_IMAGE_SECURITY_DATABASE) indispensável para inicialização segura, incluindo uma PK no banco de dados KEK.
UEFI v2.3.1 Seção 27A plataforma deve expor uma interface conforme UEFI v2.3.1 Seção 27.
Banco de Dados de Assinatura UEFI: deve ser provisionado com as chaves corretas no banco de dados de assinatura UEFI (db) e proporcionar suporte a atualizações autenticadas seguras.
Assinatura de Firmware: todos os componentes de firmware devem ser assinados com pelo menos RSA-2048 com SHA-256.
Gerenciador de Inicialização: deve usar criptografia de chave pública para verificar as assinaturas de todas as imagens na sequência de inicialização.
Proteção Contra Reversão: o sistema deve proteger contra reversão de firmware para versões mais antigas.
EFI_HASH_PROTOCOL: a plataforma deve fornecer o EFI_HASH_PROTOCOL para descarregar operações de hash criptográfico e o EFI_RNG_PROTOCOL para acessar a entropia da plataforma.
Como verificar se o Secure Boot está ativo?
Verificar se o Secure Boot está ativo no seu PC é simples e pode ser feito sem acessar o BIOS:
- Abra o menu Iniciar e digite msinfo32 (ou Informações do Sistema).
- Verifique se o campo “Estado do Secure Boot” está definido como “Ativado”. Se estiver “Desativado”, siga os passos para ativá-lo.
Como ativar o Secure Boot no Windows 11
Agora, para ativá-lo não tem como fugir da BIOS. Os passos para ativar o Secure Boot podem variar ligeiramente dependendo do fabricante do seu PC, mas geralmente seguem um processo semelhante:
- Abra o Menu Iniciar.
- Enquente segura a tecla Shift, clique no botão de energia e selecione “Reiniciar”.
- Apos a reinicialização, clique em “Solução de Problemas”.
- Selecione “Opções Avançadas”.
- Clique em “Configurações de Firmware UEFI” e después em “Reiniciar”.
- No menu de BIOS, procure por uma opção de Boot ou Segurança.
- Selecione “Secure Boot” e defina como “Ativado” ou “Ligado”.
Conclusão
Desenvolvido pelo consórcio UEFI, que reúne algumas das maiores empresas de tecnologia do globo, o Secure Boot impede que códigos não verificados e não confiáveis sejam executados durante o processo de inicialização do sistema.
Assim, apenas software autenticado e de fontes confiáveis pode ser carregado, protegendo o PC contra ataques que possam injetar códigos maliciosos no processo de boot.
Embora desativar o Secure Boot possa ser útil para quem deseja utilizar o dual-boot com algumas distribuições Linux, as mais populares já oferecem suporte a essa funcionalidade. Portanto, manter o Secure Boot ativado é, em geral, a melhor prática para garantir a proteção do seu dispositivo.
Fonte: Adrenaline
