Secure Boot
Recurso do UEFI que verifica a assinatura do bootloader antes de executá-lo, impedindo que bootkits e rootkits sequestrem o processo de boot. Exigência da Microsoft para PCs de OEMs desde o Windows 8 (2012).
PK (Platform Key) → KEK → bancos db/dbx de assinaturas permitidas e proibidas. Por padrão contém a CA UEFI da Microsoft → as distribuições Linux têm seus bootloaders assinados via "shim", assinado pela Microsoft. O db do UEFI pode ser estendido pelo usuário (Machine Owner Key, MOK). Incidente de segurança em 2024: chaves de firmware da MSI vazadas quebraram o Secure Boot em cerca de 5 modelos. Combinado com o TPM, permite o "measured boot".