Secure Bootは実際何をしているのか—

Secure Bootは実際何をしているのか——2025年でも重要な理由

毎回の起動で、PCのファームウェアは、これから制御を渡そうとするブートローダーが信頼できる誰かによって署名済みかどうかを判定します。その判定こそSecure Bootです。ブートレベルのマルウェアに対してただで手に入る最も安価な防御であり、Windows 11以降はハードなシステム要件でもあります。

Windowsが存在する前に動く門番

Secure BootはUEFIファームウェアに宿り、招待者リストを持つ門番のように働きます。ファームウェアは証明書データベース——信頼された署名鍵のdbと、明示的に失効させた鍵のdbx——を保存していて、Windowsブートマネージャーから始まるブートチェーンの各構成要素は、実行を許される前に署名をこれらと照合されます。署名なしまたは失効済みのコードは、Windowsの最初のピクセルが現れる前に拒否されます。

これが効くのは、ブートチェーンがアンチウイルスの手の届かない唯一の場所だからです。ブートキットはOSより前、Defenderより前、どのドライバーよりも先に読み込まれるため、ブートローダーを乗っ取れば、その後に来るすべてがマルウェアのものになります。Windows 11がSecure Bootを必須にしたのには理由があります。しかもこの機能は実行時に何も奪いません:署名検証は、もともと10秒かかる起動にミリ秒を足すだけです。

ブートキットを阻止——ブートチェーンはアンチウイルスが守れない唯一のマルウェア領域
性能コストなし:検証は起動ごとに1回、ミリ秒単位
あなたの活動ではなくコード署名を検査——監視ではなく、単体ではどこにも連絡しない
BitLockerと連動:measured bootログはWindows自身の改ざん検査に供給される
ロールバック攻撃を阻止——古い、署名済みだが脆弱なブートローダーはdbx更新で失効可能
稼働中のWindows内のマルウェアには切れない——設定はディスクではなくファームウェアに存在

自分の環境を確認する——そしてBitLockerの罠

Win+Rを押してmsinfo32を実行し、2つの行を探します:BIOS モードはUEFI、セキュアブートの状態は有効になっているはずです。レガシーCSMモードのマシンにはSecure Boot自体がありません。それだけでも、ハードウェアが対応しているならmbr2gptでディスクをMBRからGPTへ変換し、モダンなブートフローへ移行する理由になります。変換は1時間足らずで終わり、BitLockerやWindows 11へのアップグレード資格などTPM依存の機能のロックも解除します。

スイッチに触れる前の警告がひとつ。BitLockerでディスクを暗号化している場合、Secure Bootを無効化するとmeasured bootの状態が変わり、次回の起動で48桁の回復キーを要求されます。事前にaka.ms/myrecoverykeyかMicrosoftアカウントのページから保存してください。同じ注意はTPM設定のいじり回しにも当てはまります——AMDのfTPMかIntelのPTTです。

無効化が正当になるわずかなケース

Secure Bootを無効にする正当な理由はまれですが実在します:UEFI署名以前のoption ROMを持つ古代のグラフィックカード、Windows 10時代のキャプチャカードの一部、誰も署名していないカスタムカーネルを走らせるニッチなLinux環境。主流のディストリビューションはSecure Bootが有効でも問題なく起動します。shimブートローダーがMicrosoftの署名を持つからです。人が並べる理由の残り全部——ファン制御、起動高速化、古いゲーム——は俗説です。

正当でないのは、起動が遅い、更新エラー、原因不明の不安定さの治療として無効化することです。どれもSecure Bootが原因ではなく、何にでもそれを勧めるインターネットの癖のおかげで、起動しないPCと紛失した回復キーを抱える羽目になります。ベンダーのサポートページがツール導入のためにオフにしろと言うなら、署名検証に正確に何が落ちているのか尋ねてください。正直な答えがインストーラー自身であることもあります。