EFI Secure Boot

Наборы подписанных загрузчиков

• Набор 2011 года: подписан с помощью Microsoft Corporation UEFI CA 2011. Этот центр сертификации используется прошивками для сторонних загрузчиков с момента появления Secure Boot.
• Набор 2023 года: подписан с помощью обновлённых сторонних центров сертификации Microsoft. Основной загрузчик (DcsBoot.efi) подписан с помощью Microsoft UEFI CA 2023, а остальные компоненты (DcsInt.dcs, LegacySpeaker.dcs) подписаны с помощью Microsoft Option ROM UEFI CA 2023. Поэтому для набора 2023 года требуется, чтобы в базе данных подписей Secure Boot прошивки (db) присутствовали оба сертификата: Microsoft UEFI CA 2023 и Microsoft Option ROM UEFI CA 2023.

Диагностика

HKEY_LOCAL_MACHINE\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader
    EfiBootLoaderResourceSet          REG_DWORD  2011 (0x7db) или 2023 (0x7e7)
    EfiBootLoaderSelectionReason      REG_SZ     понятная человеку причина выбора
    EfiBootLoaderFirmwareDbLastError  REG_DWORD  последняя ошибка чтения/разбора db прошивки (0 = нет)
    EfiBootLoaderSelectionTimeUtc     REG_SZ     время последнего выбора

reg query HKLM\SOFTWARE\VeraCrypt\Diagnostics\EfiBootLoader /s

$t = [Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes)
'Microsoft Corporation UEFI CA 2011',
'Microsoft Windows Production PCA 2011',
'Windows UEFI CA 2023',
'Microsoft UEFI CA 2023',
'Microsoft Option ROM UEFI CA 2023' |
  ForEach-Object { "$_ : $($t -match [regex]::Escape($_))" }

Переход на сертификаты Microsoft 2023 года

• Истечение срока действия сертификатов не мешает загрузке уже установленных загрузчиков. UEFI-прошивка не проверяет сроки действия сертификатов во время проверки Secure Boot, поэтому загрузчики, подписанные с помощью CA 2011 года, продолжают загружаться после дат истечения срока действия практически на всех реализациях прошивки. Истечение срока действия означает, что новые двоичные файлы больше нельзя подписывать с помощью CA 2011 года, а системы, которые так и не получат сертификаты 2023 года, перестанут получать обновления безопасности цепочки загрузки.
• Будущий отзыв CA 2011 года не позволит загружать подписанные ими загрузчики. Microsoft объявила, что на более позднем этапе перехода (пока не запланированном) CA 2011 года могут быть отозваны через базу данных запрещённых подписей Secure Boot (dbx) на системах, завершивших переход. Поэтому рекомендуется заранее перейти на набор загрузчиков 2023 года.

Новые компьютеры, доверяющие только CA 2023 года

Обновление существующей системы до сертификатов 2023 года

reg add HKLM\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

rem при необходимости запустите задачу обслуживания сразу (иначе она выполняется каждые 12 часов):
schtasks /Run /TN "\Microsoft\Windows\PI\Secure-Boot-Update"

• Сначала обновите BIOS/UEFI-прошивку до последней версии, доступной у производителя компьютера. Сбои записи новых сертификатов в базу Secure Boot прошивки обычно вызваны ошибками прошивки, и Microsoft рекомендует проверить наличие обновлённой прошивки у производителя устройства перед применением обновлений сертификатов.
• Сначала создайте или обновите Диск восстановления VeraCrypt и убедитесь, что он загружается.
• Не отключайте службу VeraCrypt System Favorites или её функцию обновления загрузчика. Когда задача обслуживания Windows устанавливает Windows Boot Manager, подписанный сертификатом 2023 года, в стандартное расположение, именно эта служба сохраняет цепочку загрузки VeraCrypt: она сохраняет новый загрузчик как bootmgfw_ms.vc (копию, на которую VeraCrypt передаёт управление после предзагрузочной аутентификации) и восстанавливает загрузчик VeraCrypt.
• Пользователям скрытой операционной системы не следует запускать обновление из скрытой ОС. Автоматическое сохранение цепочки загрузки отключено, когда работает скрытая ОС.
• Избегайте принудительного отключения питания между моментом, когда Windows заменяет загрузчик, и следующей обычной перезагрузкой или выключением. На большинстве систем загрузочная запись VeraCrypt сохраняет возможность загрузки компьютера в этот промежуток, но прошивка, игнорирующая порядок загрузки, может загрузить обычный Windows Boot Manager, который не сможет запустить зашифрованную Windows (восстанавливается с помощью Диска восстановления).
• Ожидайте, что Windows будет продолжать сообщать о не полностью завершённом обслуживании сертификатов Secure Boot даже после того, как всё работает. Windows проверяет, является ли файл в стандартном расположении загрузчика Microsoft Boot Manager, подписанным сертификатом 2023 года; в системе VeraCrypt это расположение по замыслу занимает загрузчик VeraCrypt. Это состояние носит косметический характер и не влияет на безопасность или работу системы.

Восстановление после сбоя загрузки Secure Boot

• До запроса пароля (сообщение вроде "Secure Boot Violation" или немедленный возврат в прошивку): прошивка не доверяет CA, которым подписан установленный загрузчик VeraCrypt.
• После успешного ввода пароля (явное сообщение об ошибке Secure Boot от загрузчика VeraCrypt или, на старых версиях загрузчика, возврат к запросу пароля): прошивка не доверяет CA, которым подписана копия Windows Boot Manager (bootmgfw_ms.vc), на которую VeraCrypt передаёт управление.

1. Временно отключите Secure Boot в настройках прошивки и запустите Windows обычным образом (предзагрузочная аутентификация VeraCrypt работает и с отключённым Secure Boot) или загрузите Диск восстановления VeraCrypt и используйте "Restore VeraCrypt loader binaries to system disk".
2. В Windows настройте сертификаты Secure Boot в прошивке/Windows по необходимости (включите сторонние центры сертификации в настройках прошивки или примените обновления сертификатов Windows Secure Boot, как описано выше), затем запустите установщик VeraCrypt в режиме Восстановить/переустановить.
3. Снова включите Secure Boot.

Устаревшая процедура с пользовательскими ключами (не рекомендуется)