Co Secure Boot naprawdę robi — i dlaczego w 2025 roku wciąż ma znaczenie

Ochroniarz, który pracuje, zanim Windows w ogóle istnieje

Secure Boot mieszka w firmware UEFI i działa jak bramkarz z listą gości. Firmware przechowuje bazy certyfikatów — db z zaufanymi kluczami podpisującymi i dbx z jawnie odwołanymi — i każdy element łańcucha rozruchu, począwszy od menedżera rozruchu Windows, ma sprawdzany podpis, zanim zostanie dopuszczony do wykonania. Kod niepodpisany albo odwołany dostaje odmowę, zanim pojawi się pierwszy piksel Windows.

To ma znaczenie, bo łańcuch rozruchu to jedyne miejsce, którego antywirus nie obroni. Bootkit ładuje się przed systemem, przed Defenderem, przed każdym sterownikiem, więc przejęty bootloader oznacza, że malware przejmuje wszystko, co przyjdzie po nim. Windows 11 uczynił Secure Boot obowiązkowym nie bez powodu, a funkcja nie kosztuje nic w trakcie pracy: sprawdzanie podpisów dodaje milisekundy do rozruchu, który i tak trwa dziesięć sekund.

• Blokuje bootkity — łańcuch rozruchu to jedyne terytorium malware, którego antywirus nie sięga
• Nie kosztuje wydajności: weryfikacja zdarza się raz na rozruch i trwa milisekundy
• Sprawdza podpisy kodu, nie twoją aktywność — to nie inwigilacja i samo z siebie nigdzie nie dzwoni
• Współpracuje z BitLockerem: dziennik measured boot zasila własne kontrole manipulacji Windows
• Powstrzymuje ataki rollback — stary, podpisany, ale podatny bootloader da się odwołać przez aktualizacje dbx
• Nie da się go wyłączyć z poziomu malware w działającym Windows — ustawienie mieszka we firmware, nie na dysku

Jak sprawdzić swój — i pułapka BitLockera

Wciśnij Win+R, uruchom msinfo32 i poszukaj dwóch linii: tryb BIOS powinien mówić UEFI, a stan bezpiecznego rozruchu — Włączony. Na maszynie w trybie legacy CSM Secure Boota w ogóle nie ma — to sam w sobie powód, by przekonwertować dysk z MBR na GPT narzędziem mbr2gpt i przesiąść się na nowoczesny rozruch, jeśli sprzęt na to pozwala. Konwersja zajmuje niecałą godzinę i odblokowuje też funkcje zależne od TPM, jak BitLocker czy zgodność z Windows 11.

Jedno ostrzeżenie, zanim kiedykolwiek dotkniesz przełącznika: jeśli BitLocker szyfruje twój dysk, wyłączenie Secure Boot zmienia stan measured boot i przy następnym starcie system zażąda 48-cyfrowego klucza odzyskiwania. Zapisz go wcześniej z aka.ms/myrecoverykey albo ze strony konta Microsoft. Ta sama ostrożność dotyczy grzebania w ustawieniach TPM — fTPM na AMD lub PTT na Intelu.

Wąskie przypadki na jego wyłączenie

Uzasadnione powody do wyłączenia Secure Boota są rzadkie, ale prawdziwe: prastara karta graficzna, której option ROM pamięta czasy sprzed podpisów UEFI, niektóre karty przechwytujące z ery Windows 10 albo niszowa konfiguracja Linuksa z własnym kernelem, którego nikt nie podpisał. Główne dystrybucje bootują z włączonym Secure Bootem bez problemu, bo ich shim ma podpis Microsoftu. Wszystko pozostałe z listy powodów — kontrola wentylatorów, szybszy rozruch, stare gry — to folklor.

Nieuzasadnione jest wyłączanie go jako lekarstwa na powolny rozruch, błędy aktualizacji czy nieokreśloną niestabilność — nic z tego Secure Boot nie powoduje, a internetowy nawyk polecania go na wszystko kończy się na komputerze, który nie wstaje, i zagubionym kluczu odzyskiwania. Jeśli strona wsparcia jakiegoś producenta każe wyłączyć Secure Boot pod instalację jego narzędzia, dopytaj, co dokładnie nie przechodzi sprawdzania podpisu. Czasem uczciwą odpowiedzią jest sam instalator.

Pytania i odpowiedzi

Przeczytaj także