Secure Boot是什么功能？

Secure Boot（安全启动）是一项由PC行业联合制定、内置于UEFI固件中的底层安全机制，核心作用是确保设备仅加载经原始设备制造商（OEM）数字签名认证的启动软件。它在加电自检后即刻介入，逐级验证UEFI驱动程序、引导加载程序及操作系统的签名有效性，未通过验证的代码将被拦截，从而阻断Bootkit等预操作系统级恶意软件的执行路径。该功能自Windows 8起成为微软操作系统强制要求，现已是Windows 10与11的标准安全基线，并深度集成于Azure云平台、工业边缘设备及新一代AI PC硬件中；其运行依赖三类关键密钥组件——密钥交换密钥（KEK）、签名数据库（db）与吊销列表（dbx），共同构成以硬件可信根为基础的启动信任链。

一、安全启动的验证流程与关键环节

当用户按下电源键，系统完成基础硬件自检后，UEFI固件立即启动Secure Boot验证流程。首先读取存储于NVRAM中的KEK（密钥交换密钥），用以验证签名数据库db和吊销列表dbx的完整性与来源可信性；随后加载db中预置的公钥，逐一对引导加载程序（如Windows Boot Manager）、内核映像（winload.efi）及第三方UEFI驱动程序进行数字签名比对；若任一组件签名缺失、无效或其哈希值已被录入dbx吊销列表，则固件拒绝执行并中断启动，屏幕通常显示“Secure Boot Violation”错误提示。该过程全程在CPU保护模式下运行，不依赖操作系统干预，确保从固件层即建立可信起点。

二、启用、禁用与配置的实操路径

进入BIOS/UEFI设置界面需在开机时反复按F2、Del或Esc（具体按键因品牌而异，惠普多为F10，戴尔为F2，联想为F1或Fn+F2）；进入后依次选择“Security” → “Secure Boot” → “Secure Boot Enable”，设为Enabled；若需自定义签名，还需开启“Setup Mode”（此时SetupMode=1），导入OEM提供的PK（平台密钥）并切换回User Mode（SetupMode=0）。Windows 10/11用户可通过“系统信息”查看当前状态：运行msinfo32，观察“安全启动状态”字段是否显示“开启”。需注意，禁用Secure Boot将导致部分反作弊游戏（如《使命召唤》RICOCHET）拒绝运行，且Windows 11升级校验失败。

三、凭证更新与漏洞应对机制

2026年6月，当前广泛使用的三张核心安全凭证（KEK CA 2011、UEFI CA 2011、Windows Production PCA 2011）将集中到期。Windows 11用户无需手动操作，系统会通过常规累积更新自动部署新凭证；Windows 10用户则需确保已安装2026年3月起发布的KB505XXXX系列补丁。针对CVE-2025-3052等新型漏洞，微软已将问题组件哈希值写入dbx吊销列表，固件厂商同步推送UEFI微码更新，用户应定期检查主板官网发布的最新BIOS版本并完成刷新。

四、实际应用中的典型场景与限制

安全启动并非万能防护：它仅保障启动链前端可信，无法防御已成功加载的操作系统内恶意软件；Linux发行版若使用自签名内核或未适配shim引导程序，可能触发启动失败；双系统用户启用Secure Boot后，需确保GRUB2及Linux内核均经Microsoft第三方签名认证。此外，在企业环境中，IT管理员可通过UEFI策略组策略（GPO）统一管控Secure Boot状态，但须配合Windows Autopilot或Intune部署密钥管理基础设施。

综上，Secure Boot是现代计算设备启动安全不可替代的第一道防线，其价值不仅在于拦截恶意固件，更在于构建可验证、可审计、可更新的信任根体系。