Secure Boot es un estándar de seguridad desarrollado por miembros ligados a la industria del PC con el propósito de garantizar que el software ejecutado en una computadora es confiable para el fabricante.

Secure Boot

Cuando el equipo es encendido, el firmware de la placa base comprueba la firma de cada pieza de software que se ejecuta en el equipo, incluyendo los drivers de firmware de UEFI, las aplicaciones de EFI y el sistema operativo. En caso de que la comprobación de las firmas se haga correctamente, el equipo terminará el proceso de arranque y el firmware dará control al sistema operativo.

Es importante tener en cuenta que Secure Boot no cifra el almacenamiento de los datos y es independiente de TPM, aunque sí es capaz de trabajar junto al módulo requerido por Windows 11. Básicamente, lo único que hace Secure Boot es asegurarse de que el software tiene la firma requerida para que su ejecución sea autorizada en el equipo.

A pesar de que las formas en que ha llegado UEFI son cuestionables, no todo lo aportado por la interfaz de firmware ha sido malo, ya que, entre otras cosas, ha servido para estandarizar la tabla de particiones GPT frente a la vetusta MBR, ha permitido mejorar la integración entre el sistema operativo y las placas base (o su firmware) y en Linux ha abierto la puerta a fwupd, un daemon que permite actualizar el firmware empleado por el hardware, desde ordenadores hasta periféricos, pero a pesar de que el soporte que ofrece va mejorando, son pocos los fabricantes que ofrecen soporte a través de él.

Resumiendo mucho, UEFI (Unified Extensible Firmware Interface) es un conjunto de especificaciones escritas por UEFI Forum que define la arquitectura del firmware de la plataforma utilizada el arranque y su interfaz para interactuar con el sistema operativo. Fue creado con el objetivo de reemplazar las viejas BIOS, aunque manteniendo la compatibilidad al menos de forma temporal. La especificación original de EFI (Extensible Firmware Interface), que básicamente es el nombre anterior, fue desarrollada por Intel.

Cómo funciona Secure Boot

El funcionamiento de Secure Boot es más fácil de explicar con un diagrama que con palabras. Una de las partes más importantes de la característica de seguridad son las bases de datos Allow DB (DB) y Disallow DB (DBX), que pueden ser traducidas como base de datos para permitir y base de datos para no permitir.

DB almacena los valores hash y las claves para los cargadores que son de confianza y las aplicaciones EFI que el firmware de la máquina permite cargar. Por su parte, DBX almacena las claves y los hashes revocados, comprometidos y no confiables. En caso de querer cargar un código firmado con una de las claves presentes en DBX o que el hash coincida con una entrada de DBX, la plataforma se encargará de provocar la detención del proceso de arranque.

El siguiente diagrama muestra el proceso que pasa Red Hat Enterprise Linux para cumplir con los distintos pasos y requerimientos de Secure Boot. Este esquema debería ser similar en cualquier otra distribución, sobre todo en aquellas que usan systemd.

En primer lugar se comprueba si el certificado público está presente en Allow DB, cosa que en caso de ser respondida de forma afirmativa permite pasar a la comprobación del cargador de arranque: GRUB 2. Si la firma del cargador de arranque es válida, se pasará a hacer lo mismo con el kernel (Linux), que en caso de arrojar otro resultado afirmativo deriva en el cumplimiento de la secuencia de Secure Boot y en el arranque del sistema. La lógica con Windows es esencialmente la misma, pero este diagrama de Red Hat muestra un ejemplo empleando componentes concretos en lugar de ofrecer una vista general y genérica.
 

Obviamente, nada de este proceso de comprobaciones se realiza en caso de que el usuario haya inhabilitado Secure Boot desde la configuración de su placa base, y esa es la mejor opción si uno quiere probar distribuciones Linux u otros sistemas operativos sobre UEFI sin más limitaciones que la necesidad de soportar dicha interfaz de firmware.

Habilitar Secure Boot en tu placa base

La configuración de Secure Boot, por lo general, es posible encontrarla en el apartado Seguridad/Security o Arranque/Boot. Dependiendo de la placa base, el usuario se puede encontrar configuraciones más genéricas u otras más orientadas a Windows, que es a fin de cuentas el sistema operativo para el que está fabricado más del 90% de los ordenadores del mundo.

Los equipos de sobremesa permiten la inhabilitación de Secure Boot de manera relativamente fácil y sin poner más obstáculos a los usuarios, pero cuando se trata de portátiles, o al menos así me ha pasado a mí con mi actual portátil Acer, la desactivación de la característica de seguridad requiere del establecimiento de una contraseña para acceder a la BIOS.

 Fuentes:

https://www.muycomputer.com/2023/05/19/secure-boot-uefi/