Secure Boot能防止什么？

Secure Boot能有效防止恶意代码在系统启动早期阶段植入并执行。它通过固件层的数字签名验证机制，严格校验引导加载程序、操作系统内核、驱动模块及固件组件的合法性，确保只有经厂商或组织授权签署的可信代码才能进入启动流程。这一机制直接阻断了bootkit、rootkit、未签名驱动、篡改的启动管理器等高隐蔽性威胁的落脚点，尤其防范攻击者利用启动环节绕过操作系统级安全防护、窃取凭证或建立持久化控制。在Windows生态中，Secure Boot与TPM、ELAM等技术协同构成纵深防御起点，为设备运行状况证明和基于虚拟化的安全性提供可信根基。

一、具体防御对象与对应原理

Secure Boot主要防范五类启动阶段威胁：第一是bootkit，这类恶意程序会直接感染主引导记录（MBR）或EFI系统分区中的启动文件，而Secure Boot通过验证bootmgr.efi、winload.efi等关键启动组件的UEFI签名，一旦检测到哈希值不匹配或签名无效，立即中止加载；第二是rootkit，尤其指运行在Ring 0级、早于Windows内核加载的内核模式rootkit，因其可劫持系统调用表并隐藏自身，Secure Boot通过阻止未经微软WHQL或OEM密钥签名的.sys驱动加载，从源头切断其注入路径；第三是未签名固件驱动，例如某些第三方硬件配套的EFI驱动，若未纳入平台密钥（PK）或密钥交换密钥（KEK）白名单，将被固件拒绝执行；第四是篡改的启动管理器，如被植入后门的GRUB2变种，Secure Boot要求所有启动管理器必须携带有效签名且证书链可追溯至平台信任根；第五是恶意UEFI应用，包括伪装成诊断工具的UEFI Shell脚本，其二进制文件在加载前须经SHA-256哈希比对与X.509证书链校验。

二、实际生效前提与启用条件

Secure Boot并非默认始终生效，需同时满足三项硬性条件：首先，设备固件必须为UEFI模式（Legacy BIOS不支持），且UEFI固件版本需支持UEFI 2.3.1及以上规范；其次，操作系统安装介质必须为GPT分区格式，且引导分区为FAT32格式的EFI系统分区（ESP），Windows 10/11安装镜像已内置适配；最后，用户需在UEFI设置界面中明确启用Secure Boot，并确保密钥数据库处于标准配置（Standard Mode），而非Setup Mode或Custom Mode下的自定义密钥环境——后者虽支持企业自主签名，但需IT管理员主动部署密钥策略。若系统曾被重装为Legacy模式或BIOS被降级，需先进入UEFI设置清除CMOS或重置为出厂密钥状态，再重新启用。

三、验证是否生效的可靠方法

用户可通过三种方式确认Secure Boot当前状态：其一，在Windows中以管理员身份运行PowerShell，输入命令“Confirm-SecureBootUEFI”，返回True即表示已激活；其二，打开“系统信息”（msinfo32），在“安全启动状态”字段查看“开启”字样；其三，进入“设置 → 更新与安全 → 恢复 → 高级启动 → UEFI固件设置”，重启后进入UEFI界面，通常在“Security”或“Boot”子菜单下可见“Secure Boot Control”选项及其当前开关状态。需注意，部分OEM厂商将该选项隐藏于二级菜单或标注为“Boot Mode”下的“UEFI Secure Boot”，此时应优先参考设备官方服务手册中的UEFI操作指引。

综上，Secure Boot不是万能盾牌，但它精准扼守了系统最脆弱的启动入口，将攻击面大幅收窄至可信签名体系之内。