Secure Boot
Funzione UEFI che verifica le firme del bootloader prima dell'esecuzione. Impedisce a bootkit e rootkit di dirottare l'avvio. Requisito Microsoft per i PC OEM da Windows 8 (2012).
PK (Platform Key) → KEK → database db/dbx di firme consentite e vietate. Di default contiene la CA UEFI di Microsoft: le distribuzioni Linux fanno firmare i propri bootloader tramite «shim», firmato da Microsoft. Il db UEFI può essere esteso dall'utente (Machine Owner Key, MOK). Incidente di sicurezza del 2024: la fuga di chiavi del firmware MSI ha compromesso Secure Boot su circa 5 modelli. Combinato con il TPM per il «measured boot».