Безопасная загрузка это что

Немного про UEFI и Secure Boot

UEFI (Unified Extensible Firmware Interface) — замена устаревшему BIOS. Эта спецификация была придумана Intel для Itanium, тогда она еще называлась EFI (Extensible Firmware Interface), а потом была портирована на x86, x64 и ARM. Она разительно отличается от BIOS как самой процедурой загрузки, так и способами взаимодействия с ОС. Если вы купили компьютер в 2010 году и позже, то, вероятнее всего, у вас UEFI.

Основные отличия UEFI от BIOS:

Как происходит загрузка в UEFI?

С GPT-раздела с идентификатором EF00 и файловой системой FAT32, по умолчанию грузится и запускается файл \efi\boot\boot[название архитектуры].efi, например \efi\boot\bootx64.efi
Т.е. чтобы, например, создать загрузочную флешку с Windows, достаточно просто разметить флешку в GPT, создать на ней FAT32-раздел и просто-напросто скопировать все файлы с ISO-образа. Boot-секторов больше нет, забудьте про них.
Загрузка в UEFI происходит гораздо быстрее, например, загрузка моего лаптопа с ArchLinux с нажатия кнопки питания до полностью работоспособного состояния составляет всего 30 секунд. Насколько я знаю, у Windows 8 тоже очень хорошие оптимизации скорости загрузки в UEFI-режиме.

Secure Boot

«Я слышал, что Microsoft реализовывает Secure Boot в Windows 8. Эта технология не позволяет неавторизированному коду выполняться, например, бутлоадерам, чтобы защитить пользователя от malware. И есть кампания от Free Software Foundation против Secure Boot, и многие люди были против него. Если я куплю компьютер с Windows 8, смогу ли я установить Linux или другую ОС? Или эта технология позволяет запускать только Windows?»

Начнем с того, что эту технологию придумали не в Microsoft, а она входит в спецификацию UEFI 2.2. Включенный Secure Boot не означает, что вы не сможете запустить ОС, отличную от Windows. На самом деле, сертифицированные для запуска Windows 8 компьютеры и лаптопы обязаны иметь возможность отключения Secure Boot и возможность управления ключами, так что беспокоится тут не о чем. Неотключаемый Secure Boot есть только на планшетах на ARM с предустановленной Windows!

Что дает Secure Boot? Он защищает от выполнения неподписанного кода не только на этапе загрузки, но и на этапе выполнения ОС, например, как в Windows, так и в Linux проверяются подписи драйверов/модулей ядра, таким образом, вредоносный код в режиме ядра выполнить будет нельзя. Но это справедливо только, если нет физического доступа к компьютеру, т.к., в большинстве случаев, при физическом доступе ключи можно заменить на свои.

Для Linux есть 2 пре-загрузчика, которые поддерживают Secure Boot: Shim и PRELoader. Они похожи, но есть небольшие нюансы.
В Shim есть 3 типа ключей: Secure Boot keys (те, которые в UEFI), Shim keys (которые можно сгенерировать самому и указать при компиляции), и MOKи (Machine Owner Key, хранятся в NVRAM). Shim не использует механизм загрузки через UEFI, поэтому загрузчик, который не поддерживает Shim и ничего не знает про MOK, не сможет выполнить код (таким образом, загрузчик gummiboot не будет работать). PRELoader, напротив, встраивает свои механизмы аутентификации в UEFI, и никаких проблем нет.
Shim зависит от MOK, т.е. бинарники должны быть изменены (подписаны) перед тем, как их выполнять. PRELoader же «запоминает» правильные бинарники, вы ему сообщаете, доверяете вы им, или нет.
Оба пре-загрузчика есть в скомпилированном виде с валидной подписью от Microsoft, поэтому менять UEFI-ключи не обязательно.

Secure Boot призван защитить от буткитов, от атак типа Evil Maid, и, по моему мнению, делает это эффективно.
Спасибо за внимание!

Источник

Безопасная загрузка

Безопасная загрузка — это стандарт безопасности, разработанный участниками компьютерной индустрии, чтобы гарантировать загрузку устройства с использованием только программного обеспечения, которому доверяет изготовитель оборудования (OEM). Когда компьютер запускается, встроенное по проверяет подпись каждого программного обеспечения загрузки, включая драйверы встроенного по UEFI (также называемые опциональными ПЗУ), приложения EFI и операционную систему. Если подписи допустимы, компьютер загружается, а встроенное по обеспечивает управление операционной системой.

Изготовитель оборудования может использовать инструкции производителя встроенного по для создания защищенных загрузочных ключей и их хранения в встроенном по компьютера. При добавлении драйверов UEFI также необходимо убедиться, что они подписаны и включены в базу данных безопасной загрузки.

сведения о том, как процесс безопасной загрузки включает надежную загрузку и измеряемую загрузку, см. в разделе защита процесса загрузки Windows 10.

Требования безопасной загрузки

Чтобы обеспечить безопасную загрузку, необходимо предоставить следующее.

Базы данных сигнатур и ключи

Перед развертыванием ПК вы как поставщик вычислительной техники хранит базы данных безопасной загрузки на компьютере. Сюда входит база данных сигнатур (DB), база данных отозванных подписей (DBX) и база данных ключей регистрации ключей (KEK). Эти базы данных хранятся на встроенном в ПЗУ ОЗУ (NV-RAM) во время производства.

В базе данных сигнатур (DB) и базе данных отозванных сигнатур (DBX) перечисляются хэши или цифровые подписи приложений UEFI, загрузчики операционной системы (например, загрузчик операционной системы Майкрософт или диспетчер загрузки), а также драйверы UEFI, которые могут быть загружены на устройстве. Отозванный список содержит элементы, которые больше не являются доверенными и не могут быть загружены. Если хэш изображения находится в обеих базах данных, то база данных отозванных подписей (DBX) имеет приоритет.

База данных ключей регистрации ключей (KEK) — это отдельная база данных ключей подписывания, которую можно использовать для обновления базы данных сигнатур и отзыва базы данных сигнатур. Корпорация Майкрософт требует, чтобы указанный ключ включался в базу данных KEK, чтобы в будущем корпорация Майкрософт могла добавлять новые операционные системы в базу данных сигнатур или добавлять известные плохие образы в базу данных отозванных подписей.

После добавления этих баз данных и после окончательной проверки встроенного по и тестирования изготовитель оборудования блокирует редактирование встроенного по, за исключением тех обновлений, которые подписаны с помощью правильного ключа или обновлений физическим пользователем, использующим меню встроенного по, а затем создает ключ платформы (PK). Ключ PK можно использовать для подписывания обновлений KEK или для отключения безопасной загрузки.

Для получения средств и помощи в создании этих баз данных обратитесь к производителю встроенного по.

Источник

Дополнительные параметры загрузки (включая безопасный режим)

На экране Дополнительные варианты загрузки вы можете запустить Windows в расширенном режиме устранения неполадок. Вы можете открыть меню, включив компьютер и нажав клавишу F8 перед запуском Windows.

Некоторые параметры, такие как безопасный режим, запускают Windows в ограниченном состоянии, когда запускаются только основные компоненты. Если при запуске в безопасном режиме проблема не возникает, то из списка возможных причин неполадки можно исключить параметры, используемые по умолчанию, основные драйверы устройств и службы. Другие варианты позволяют запустить Windows с дополнительными функциями, предназначенными для системных администраторов и ИТ-специалистов. Дополнительные сведения можно найти на веб-сайте Майкрософт для специалистов по ИТ.

Восстановление системы

Отображает список средств восстановления системы, которые можно использовать для устранения проблем, возникающих при запуске Windows, а также для запуска средств диагностики или восстановления системы. Этот вариант доступен, только если эти средства установлены на жесткий диск компьютера. Если у вас есть установочный диск Windows, то средства восстановления системы находятся на нем.

Безопасный режим

Запуск Windows с минимальным набором драйверов и служб.

Чтобы запустить Windows в безопасном режиме, выполните указанные ниже действия.

Выполните одно из следующих действий:

Если на компьютере установлена одна операционная система, во время перезапуска компьютера нажмите и удерживайте клавишу F8. Необходимо нажать клавишу F8 до появления логотипа Windows. Если отобразился логотип Windows, необходимо повторить попытку; для этого дождитесь появления экрана входа в систему Windows, а затем завершите работу компьютера и перезапустите его.

Если на компьютере установлено несколько операционных систем, с помощью клавиш со стрелками выберите операционную систему, которую вы хотите запустить в безопасном режиме, а затем нажмите клавишу F8.

На экране Дополнительные варианты загрузки с помощью клавиш со стрелками выберите необходимый вариант безопасного режима, а затем нажмите клавишу ВВОД.

Войдите в систему, используя учетную запись пользователя с правами администратора.

Безопасный режим с загрузкой сетевых драйверов. Запуск Windows в безопасном режиме, а также загрузка сетевых драйверов и служб, необходимых для доступа к Интернету или другим компьютерам в локальной сети.

Безопасный режим с поддержкой командной строки. Запуск Windows в безопасном режиме с окном командной строки вместо обычного интерфейса Windows. Этот вариант предназначен для ИТ-специалистов и администраторов.

Вести журнал загрузки. Создает файл ntbtlog.txt, в который заносятся все драйверы, установленные во время запуска. Эта информация может оказаться полезной для расширенной диагностики.

Включение видеорежима с низким разрешением (640 × 480). Запуск Windows с использованием текущего видеодрайвера и низкими значениями разрешения и частоты обновления изображения. Этот режим можно использовать для сброса параметров дисплея. Дополнительные сведения см. в статье «Изменение разрешения экрана».

Последняя удачная конфигурация (дополнительно). Запуск Windows с использованием последней успешно работавшей конфигурации реестра и драйверов.

Режим восстановления служб каталогов. Запуск контроллера домена Windows, на котором выполняется Active Directory, для восстановления службы каталогов. Этот вариант предназначен для ИТ-специалистов и администраторов.

Режим отладки. Запуск Windows в режиме расширенной диагностики, предназначенном для ИТ-специалистов и системных администраторов.

Отключить автоматическую перезагрузку при отказе системы. Запрет автоматического перезапуска Windows в случае сбоя в работе системы. Этот вариант следует выбирать только в том случае, если Windows вошла в цикл, когда сбой в работе системы вызывает перезапуск, и система продолжает перезапускаться снова и снова.

Отключить обязательную проверку подписи драйверов. Позволяет устанавливать драйверы, содержащие неправильные подписи.

Обычная загрузка Windows. Запуск Windows в обычном режиме.

Источник

Как включить или отключить безопасную загрузку в Windows?

Windows — самая гибкая операционная система в мире.

Она также может запускать широкий спектр программных приложений от сторонних разработчиков, которые вы можете загрузить из любого источника.

Есть некоторое программное обеспечение, полное вредоносных программ и рекламы.

Некоторые из них поставляются с отслеживанием и вирусами, которые приводят к сбою процессов Windows.

Установка вредоносной программы для Windows может привести к замедлению работы и отставанию ПК, потере данных и ограничению пользователей.

Чтобы справиться с подобной ситуацией, в нем есть функция, известная как «Безопасная загрузка».

Безопасная загрузка проверяет цифровой сертификат программ, которые запускаются при загрузке вместе с ОС Windows.

Любая программа может быть заблокирована от запуска.

Это означает, что у вас есть шанс принять меры против них без какого-либо вмешательства.

Если вас беспокоит безопасность вашего ПК с Windows, вы можете убедиться, что у вас включена «Безопасная загрузка».

В этой статье мы дадим вам полное руководство о том, «как проверить, включена ли у вас безопасная загрузка», «совместим ли ваш компьютер» и «как включить или отключить безопасную загрузку в Windows».

Безопасная загрузка в Windows

Функция безопасной загрузки в Windows использует преимущества безопасной загрузки, встроенной в загрузочную систему UEFI в BIOS.

Следовательно, она работает только в том случае, если вы установили свою Windows в режиме UEFI.

Если это не так, вам необходимо переустановить Windows, чтобы включить безопасную загрузку.

Вот шаги, чтобы проверить, есть ли у вас установка UEFI и включена ли уже безопасная загрузка.

Шаги по проверке UEFI и безопасной загрузки в Windows

Шаг 1. Нажмите сочетание клавиш «Win + R» и введите «msinfo32» в поле поиска.

Шаг 2. В открывшемся окне прокрутите, чтобы проверить, установлен ли у вас «Режим BIOS» как UEFI.

Если отображается «Legacy», вам необходимо переустановить ОС Windows в режиме UEFI.

Шаг 3. Прокрутите дальше, чтобы увидеть «Состояние безопасной загрузки», чтобы узнать, включена ли у вас безопасная загрузка.

В случае устаревшей версии BIOS будет отображаться «Не поддерживается».

Вот как вы можете проверить, совместимы ли вы с безопасной загрузкой и включена ли она.

Как отключить или включить безопасную загрузку в Windows?

Ниже приводится простое пошаговое руководство о том, как включить или отключить безопасную загрузку в Windows.

Поскольку безопасная загрузка является функцией BIOS, вам необходимо открыть настройки BIOS, поскольку безопасная загрузка не может переключаться из настроек Windows.

Чтобы включить или отключить безопасную загрузку в Windows, выполните следующие действия:

Шаг 1. Перезагрузите компьютер с Windows.

Шаг 2. Войдите в BIOS.

У каждого производителя свой способ сделать это.

Следовательно, вам нужен Google, ключ для вашего производителя.

Иногда вы можете увидеть такое сообщение, как «F9-BIOS», чтобы вы могли следить за ним.

Шаг 3. Перейдите к настройкам загрузки и переключите «Безопасная загрузка».

Шаг 4. Нажмите указанную клавишу для «сохранения и выхода».

Примечание. Каждая прошивка BIOS имеет разную компоновку, поэтому вам может потребоваться изучить варианты.

Кроме того, эти настройки чувствительны, поэтому убедитесь, что вы знаете, что делаете, прежде чем нажимать «Сохранить».

Следовательно, вот как вы можете включить или отключить безопасную загрузку для Windows.

В заключение, мы надеемся, что это руководство о том, как включить или отключить безопасную загрузку в Windows, поможет вам.

Если у вас возникнут какие-либо вопросы или потребуется помощь, оставляйте комментарии ниже.

Источник

Запуск компьютера в безопасном режиме в Windows

В безопасном режиме запуск Windows выполняется с использованием ограниченного набора файлов и драйверов. Если проблема не возникает в безопасном режиме, это означает, что ее не вызывают параметры по умолчанию и основные драйверы устройств. Просмотр Windows в безопасном режиме позволяет сузить источник проблемы и устранить неполадки на компьютере.

Существует две версии безопасного режима: Безопасный режим и Безопасный режим с загрузкой сетевых драйверов. Сейф В режиме «Сеть» добавляются сетевые драйверы и службы, необходимые для доступа к Интернету и другим компьютерам в сети.

Изучите следующие разделы, чтобы узнать, как запустить компьютер в безопасном режиме в разделе «Параметры», на экране входа в систему, на черном или пустом экране.

В области Параметры восстановлениярядом с advanced startup (Расширенный запуск)выберите Restart now (Перезапустить).

После перезагрузки компьютера на экране Выберите параметр выберите элементы Диагностика > Дополнительные параметры > Параметры загрузки > Перезапуск. Возможно, вам будет предложено ввести ключ восстановления BitLocker.

После перезагрузки компьютера вы увидите список параметров. Нажмите клавиши 4 или F4, чтобы запустить компьютер в безопасном режиме. Или, если вам нужно использовать Интернет, выберите 5 или нажмите F5 для Сейф с сетью.

Если вам не удается открыть «Параметры» для перехода в безопасный режим, перезагрузите устройство на экране входа в Windows.

После перезагрузки компьютера на экране Выберите параметр выберите элементы Диагностика > Дополнительные параметры > Параметры загрузки > Перезапуск. Возможно, вам будет предложено ввести ключ восстановления BitLocker.

После перезагрузки компьютера вы увидите список параметров. Нажмите клавиши 4 или F4, чтобы запустить компьютер в безопасном режиме. Или, если вам нужно использовать Интернет, выберите 5 или F5 для Сейф с сетью.

Примечание: Если вы зашифровали свое устройство, для запуска в безопасном режиме вам потребуется ключ BitLocker.

Перед тем как входить в безопасный режим, необходимо зайти в Windows восстановления (winRE). Для этого вы несколько раз отключите устройство, а затем включите:

Нажмите кнопку питания на устройстве и удерживайте ее нажатой в течение 10 секунд, чтобы выключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

После появления первого признака запуска Windows (например, на некоторых устройствах отображается логотип производителя при перезапуске) удерживайте нажатой кнопку питания в течение 10 секунд, чтобы отключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

После перезагрузки Windows удерживайте кнопку питания на устройстве нажатой в течение 10 секунд, чтобы выключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

Разрешите устройству перезапустить автоматическое восстановление и выберите Дополнительные параметры, чтобы ввести winRE.

В среде winRE выполните следующие действия, чтобы перейти в безопасный режим.

На экране Выбор действия выберите Диагностика > Дополнительные параметры > Параметры загрузки > Перезагрузить.

После перезагрузки устройства вы увидите список параметров. Выберите параметр 5 в списке или нажмите клавишу F5, чтобы запустить безопасный режим с подключением к сети.

Если вам нужны дополнительные сведения о черном или пустом экране, изучите раздел Устранение ошибок типа «черный» или «пустой» экран.

В разделе Особые варианты загрузки выберите элемент Перезагрузить сейчас.

После перезагрузки компьютера на экране Выберите параметр выберите элементы Диагностика > Дополнительные параметры > Параметры загрузки > Перезапуск. Возможно, вам будет предложено ввести ключ восстановления BitLocker.

После перезагрузки компьютера вы увидите список параметров. Нажмите клавиши 4 или F4, чтобы запустить компьютер в безопасном режиме. Или, если вам нужно использовать Интернет, выберите 5 или нажмите F5 для Сейф с сетью.

Если вам не удается открыть «Параметры» для перехода в безопасный режим, перезагрузите устройство на экране входа в Windows.

После перезагрузки компьютера на экране Выберите параметр выберите элементы Диагностика > Дополнительные параметры > Параметры загрузки > Перезапуск. Возможно, вам будет предложено ввести ключ восстановления BitLocker.

После перезагрузки компьютера вы увидите список параметров. Нажмите клавиши 4 или F4, чтобы запустить компьютер в безопасном режиме. Или, если вам нужно использовать Интернет, выберите 5 или F5 для Сейф с сетью.

Примечание: Если вы зашифровали свое устройство, для запуска в безопасном режиме вам потребуется ключ BitLocker.

Перед тем как входить в безопасный режим, необходимо зайти в Windows восстановления (winRE). Для этого вы несколько раз отключите устройство, а затем включите:

Нажмите кнопку питания на устройстве и удерживайте ее нажатой в течение 10 секунд, чтобы выключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

После появления первого признака запуска Windows (например, на некоторых устройствах отображается логотип производителя при перезапуске) удерживайте нажатой кнопку питания в течение 10 секунд, чтобы отключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

После перезагрузки Windows удерживайте кнопку питания на устройстве нажатой в течение 10 секунд, чтобы выключить устройство.

Снова нажмите кнопку питания, чтобы включить устройство.

Разрешить полное перезапуск устройства. Будет активирована среда восстановления Windows.

В среде winRE выполните следующие действия, чтобы перейти в безопасный режим.

На экране Выбор действия выберите Диагностика > Дополнительные параметры > Параметры загрузки > Перезагрузить.

После перезагрузки устройства вы увидите список параметров. Выберите параметр 5 в списке или нажмите клавишу F5, чтобы запустить безопасный режим с подключением к сети.

Если вам нужны дополнительные сведения о черном или пустом экране, изучите раздел Устранение ошибок типа «черный» или «пустой» экран.

Примечания: Перезагрузите устройство, чтобы выйти из Сейф в обычный режим. Однако если по какой-либо причине компьютер по-прежнему загружается в режим Сейф после перезапуска, попробуйте сделать вот что:

Нажмите клавишу Windows клавиши +R.

Введите msconfig в поле Открыть, а затем нажмите кнопку ОК.

Откройте вкладку Загрузка.

В разделе Параметры загрузки снимите флажок Безопасный режим.

Источник