Secure Boot
Fonction UEFI qui vérifie la signature du chargeur d'amorçage avant de l'exécuter, pour empêcher bootkits et rootkits de détourner le démarrage. Exigé par Microsoft des PC d'OEM depuis Windows 8 (2012).
La chaîne de confiance : PK (Platform Key) → KEK → bases db/dbx de signatures autorisées et interdites. Par défaut, db contient l'autorité UEFI de Microsoft ; les distributions Linux font donc signer leur chargeur via « shim », lui-même signé par Microsoft. L'utilisateur peut enrichir db (Machine Owner Key, MOK). Épisode notable en 2024 : PKfail a montré que des centaines de modèles de PC étaient livrés avec une clé de plateforme de test publiquement connue, ce qui vidait le dispositif de son sens. Se combine avec le TPM pour le « démarrage mesuré ».