Secure Boot
Önyükleyicinin imzasını çalıştırmadan önce doğrulayan UEFI özelliği. Önyükleme kitlerinin/rootkit’lerin açılış sürecini ele geçirmesini engeller. Windows 8’den (2012) beri OEM bilgisayarlar için Microsoft şartı.
PK (Platform Key) → KEK → izin verilen/yasaklı imzaların db/dbx veritabanları. Varsayılan olarak Microsoft’un UEFI CA’sını içerir → Linux dağıtımları önyükleyicilerini Microsoft’un imzaladığı “shim” aracılığıyla imzalatır. UEFI db kullanıcılar tarafından genişletilebilir (Machine Owner Key, MOK). 2024’te yaşanan güvenlik olayı: sızan MSI üretici yazılımı anahtarları yaklaşık 5 modelde secure boot’u etkisiz kıldı. “Ölçülü önyükleme” için TPM ile birlikte kullanılır.