Secure Boot
Función de UEFI que verifica la firma del bootloader antes de ejecutarlo. Impide que bootkits y rootkits secuestren el arranque. Microsoft lo exige en los PC OEM desde Windows 8 (2012).
PK (Platform Key) → KEK → bases de datos db/dbx de firmas permitidas y prohibidas. Por defecto incluye la CA de UEFI de Microsoft → las distros de Linux consiguen sus bootloaders firmados a través de "shim", que a su vez firma Microsoft. El usuario puede ampliar la base db (Machine Owner Key, MOK). En 2024 la filtración de las claves de firmware de MSI rompió Secure Boot en ~5 modelos. Se combina con el TPM para el "measured boot".