Компьютер включился, Windows ещё не загрузилась, антивирус не работает, а вредоносная программа уже получила управление системой. Звучит как неприятная фантастика, но именно так действуют некоторые из самых опасных компьютерных угроз. Они вмешиваются в загрузку операционной системы, запускаются раньше защитных программ и могут скрывать собственное присутствие даже после появления рабочего стола.
Для борьбы с такими атаками придумали Secure Boot, или безопасную загрузку. Механизм проверяет, каким программам разрешено запускаться на раннем этапе включения компьютера, и блокирует компоненты, которым система не доверяет. Проверка проходит на уровне прошивки материнской платы, ещё до полноценного запуска Windows.
Secure Boot часто путают с антивирусом, TPM 2.0 и шифрованием BitLocker. В настройках материнской платы встречаются пункты Secure Boot Enabled, CSM, UEFI Mode и Secure Boot Keys. Пользователь видит несколько непонятных переключателей и закономерно спрашивает, нужно ли вообще включать безопасную загрузку.
Для большинства современных компьютеров с Windows 11 ответ положительный. Secure Boot закрывает опасный участок загрузки, практически не влияет на производительность и не требует постоянного внимания. Но защита имеет ограничения, а неосторожное изменение настроек UEFI иногда приводит к тому, что компьютер перестаёт загружаться.
Проверить состояние Secure Boot можно прямо сейчас. Нажмите Win + R, введите следующую команду и нажмите Enter.
msinfo32
В открывшемся окне «Сведения о системе» найдите строки «Режим BIOS» и «Состояние безопасной загрузки». Если первая показывает UEFI, а вторая «Вкл.», Secure Boot работает. Если указано «Откл.», функция выключена. Если отображается «Не поддерживается», нужно проверить режим загрузки и возможности прошивки.
Все проверки в статье рассчитаны на собственный компьютер или устройство, которым вы вправе управлять. Не меняйте режим загрузки, ключи Secure Boot и параметры TPM без резервной копии данных. На компьютере с BitLocker заранее сохраните ключ восстановления. Ошибка в настройках может сделать Windows временно недоступной.
Как работает Secure Boot и что проверяет UEFI
Когда пользователь нажимает кнопку питания, Windows не начинает работать мгновенно. Сначала процессор выполняет код системной прошивки. На современных компьютерах такую прошивку обычно называют UEFI. Она подготавливает оборудование, находит загрузчик операционной системы и передаёт ему управление.
Загрузчик представляет собой небольшую программу, которая запускает Windows. Именно ранняя загрузка особенно интересна злоумышленникам. Если заменить настоящий загрузчик вредоносным, атакующий код может заработать раньше антивируса, получить широкие полномочия и вмешаться в последующие этапы запуска системы.
Secure Boot вводит дополнительное правило. Прежде чем UEFI запустит очередной EFI-компонент, прошивка должна проверить его подлинность и разрешение на запуск.
Процесс выглядит следующим образом.
- Включается компьютер. Прошивка UEFI инициализирует оборудование и определяет дальнейший порядок запуска.
- UEFI проверяет ранние программные компоненты. В зависимости от конфигурации проверку проходят загружаемые EFI-драйверы, приложения и загрузчики.
- Система сверяет цифровые подписи. Прошивка проверяет, подписан ли компонент доверенным ключом и не находится ли подпись или сам компонент в списке запрещённых.
- Разрешённый загрузчик получает управление. Для Windows таким компонентом обычно служит Windows Boot Manager, файл bootmgfw.efi на системном разделе EFI.
- Windows продолжает цепочку проверок. Загрузчик проверяет следующие компоненты системы, включая необходимые файлы ядра. Затем подключаются механизмы защиты самой Windows.
Если UEFI обнаружит неподписанный, изменённый или запрещённый загрузочный компонент, запуск такого компонента будет заблокирован. Пользователь может увидеть сообщение о нарушении безопасной загрузки или ошибку запуска операционной системы.
При этом Secure Boot не проверяет абсолютно всё программное обеспечение компьютера. Прошивка контролирует определённые этапы загрузки, а после передачи управления Windows действуют уже механизмы самой операционной системы.
Зачем нужны цифровые подписи? Представим, что злоумышленник получил возможность изменить файл загрузчика. Даже небольшое изменение нарушит соответствие исходной цифровой подписи содержимому файла. Проверка обнаружит подмену.
Для создания подписи используют закрытый криптографический ключ, а для проверки подлинности достаточно соответствующего открытого ключа или доверенного сертификата. Закрытый ключ хранит владелец подписи, например разработчик загрузчика. Прошивке не нужно знать секретный ключ, чтобы проверить подписанный файл.
Однако цифровая подпись не подтверждает отсутствие уязвимостей. Подписанный загрузчик вполне может содержать ошибку, через которую злоумышленник выполнит вредоносный код. Secure Boot проверяет принадлежность компонента к доверенной цепочке, а не качество его программного кода.
Чтобы управлять доверием, UEFI использует несколько специальных баз и ключей.
- PK (Platform Key) определяет владельца политики безопасной загрузки и управляет верхним уровнем доверия.
- KEK (Key Exchange Key) разрешает уполномоченным сторонам обновлять базы доверенных и запрещённых подписей.
- db хранит разрешённые сертификаты, ключи и подписи компонентов.
- dbx содержит запрещённые подписи, сертификаты или хеши. Через базу dbx производители могут отзывать ранее разрешённые, но оказавшиеся опасными загрузчики.
Последняя база особенно интересна. Программа может иметь настоящую цифровую подпись и одновременно содержать серьёзную уязвимость. Пока подпись остаётся доверенной, старый компонент потенциально можно использовать для атаки. Добавление его в dbx позволяет закрыть такой путь.
Получается своеобразная цепочка доверия. На каждом этапе запуска следующий компонент должен получить разрешение от уже доверенной части системы. В Windows механизм продолжает Trusted Boot, или доверенная загрузка, которая проверяет компоненты самой операционной системы.
Secure Boot, UEFI, TPM 2.0 и BitLocker. В чём разница
Четыре технологии часто упоминают вместе, особенно при установке Windows 11. Но решают разные задачи. UEFI запускает компьютер, Secure Boot контролирует доверие к загрузочным компонентам, TPM защищает ключи и помогает измерять состояние системы, а BitLocker шифрует данные.
| Технология | Что делает | От чего защищает |
|---|---|---|
| UEFI | Инициализирует оборудование и запускает операционную систему | Сама по себе не гарантирует безопасную загрузку |
| Secure Boot | Проверяет доверие к EFI-компонентам во время загрузки | От запуска неподписанных или отозванных загрузчиков и части загрузочных атак |
| TPM 2.0 | Выполняет защищённые криптографические операции, хранит и ограничивает использование ключей, фиксирует измерения состояния системы | Помогает защищать криптографические ключи и обнаруживать изменения среды загрузки |
| BitLocker | Шифрует содержимое диска Windows | От чтения данных на украденном или извлечённом диске без необходимых ключей |
Проще всего понять различия на примере украденного ноутбука.
Если вор извлечёт незашифрованный SSD и подключит к другому компьютеру, Secure Boot не помешает прочитать файлы. Безопасная загрузка вообще не предназначена для шифрования данных. Для защиты содержимого накопителя нужен BitLocker или другой механизм шифрования.
TPM может защищать ключи BitLocker и связывать доступ к ним с определённым состоянием компьютера. Если загрузочная среда изменилась, BitLocker при соответствующей конфигурации способен запросить ключ восстановления вместо автоматического открытия системного диска.
У TPM есть регистры PCR, в которых сохраняются результаты криптографических измерений загрузки. Например, PCR 7 отражает состояние политики Secure Boot, включая доверенные ключи. Благодаря такому механизму BitLocker может учитывать состояние безопасной загрузки при защите диска.
Отсюда возникает ещё один термин, Measured Boot, или измеряемая загрузка. В отличие от Secure Boot, измеряемая загрузка не обязательно блокирует запуск компонентов. Она фиксирует сведения о процессе, позволяя позднее оценить состояние загрузочной среды.
Secure Boot не требует TPM 2.0 для самой проверки цифровых подписей. На уровне UEFI безопасная загрузка может работать независимо от TPM. Но Windows использует обе технологии совместно для более комплексной защиты.
Для Windows 11 Microsoft устанавливает минимальные требования, включающие UEFI с поддержкой Secure Boot и TPM 2.0. Формулировка про Secure Boot означает, что компьютер должен поддерживать функцию. Поддержка и фактически включённое состояние не одно и то же, хотя современные устройства, поставляемые с Windows 11, обычно имеют включённую безопасную загрузку.
Ни TPM, ни Secure Boot не заменяют антивирус. Доверенная загрузка помогает запустить систему без некоторых опасных подмен, а защитные программы контролируют угрозы уже во время работы Windows.
Защищает ли Secure Boot от руткитов и буткитов и можно ли обойти защиту
Вредоносные программы различаются не только назначением, но и глубиной проникновения в систему. Обычный троян чаще всего запускается уже внутри работающей Windows. Загрузочные угрозы пытаются получить управление раньше.
Буткит вмешивается в запуск операционной системы. Вредоносный компонент может заменить или использовать загрузчик, изменить последовательность запуска и внедрить собственный код до старта обычных защитных служб.
Руткит представляет собой вредоносный программный компонент или набор инструментов, который помогает скрывать присутствие злоумышленника. Руткиты могут работать в ядре, драйверах и других низкоуровневых частях системы. Буткит способен устанавливать руткит, но понятия не равнозначны.
Опасность загрузочной атаки заключается в раннем получении управления. Вредоносный код способен вмешаться в защиту до того, как Windows начнёт полноценно работать. В отдельных сценариях атакующий может отключить защитные механизмы, скрыть вредоносные драйверы или закрепиться на компьютере так, чтобы переживать перезагрузки.
Secure Boot затрудняет подобные атаки, но не делает компьютер неуязвимым.
Показательный пример связан с буткитом BlackLotus. Исследователи ESET обнаружили вредоносную программу, способную обходить UEFI Secure Boot на некоторых системах с Windows 11. BlackLotus использовал уязвимость CVE-2022-21894 и уязвимые загрузочные компоненты, позволяя выполнять код на ранних этапах запуска системы.
Особенность атаки заключалась не в математическом взломе цифровой подписи. Злоумышленники использовали ошибки доверенных компонентов и недостаточно полное прекращение доверия к старым загрузчикам. Для установки BlackLotus обычно требовались уже полученные высокие привилегии или подходящие условия локальной атаки. Простого посещения сайта с включённым Secure Boot для такого заражения было недостаточно.
Проблема оказалась шире одного буткита. В 2026 году исследователи ESET нашли старые версии загрузчика shim, сохранявшие действующие подписи Microsoft и содержавшие уязвимости. Согласно предупреждению CERT/CC, злоумышленник при наличии необходимых условий мог использовать такие компоненты для запуска произвольного кода до старта операционной системы, обходя политику Secure Boot.
История хорошо показывает принципиальное ограничение безопасной загрузки. Доверие к подписи не означает, что подписанный файл безопасен при любых обстоятельствах. Поэтому обновлять нужно не только Windows, но и списки отозванных компонентов, прошивку материнской платы и сами загрузчики.
Существуют и другие границы защиты.
- Уязвимости UEFI. Ошибки самой прошивки или её ранних компонентов могут позволить атаковать систему на уровне, который обычная проверка Secure Boot не контролирует.
- Доверенные, но уязвимые программы. Компонент с действующей подписью может содержать опасные ошибки. Именно поэтому производители ведут базу dbx.
- Атаки после загрузки Windows. Secure Boot не блокирует фишинг, кражу паролей, вредоносные документы и большинство обычных троянов.
- Изменение настроек защиты. Пользователь или злоумышленник с достаточным уровнем контроля над устройством в некоторых конфигурациях может отключить Secure Boot или изменить доверенные ключи.
Последний сценарий зависит от политики устройства. На части компьютеров изменить настройки UEFI сравнительно просто, а корпоративные системы могут применять дополнительные ограничения, включая пароль администратора прошивки и средства контроля целостности платформы.
Нужно также различать буткиты и вредоносные прошивки. Если атакующий скомпрометировал саму UEFI-прошивку, Secure Boot не гарантирует обнаружение заражения. Для защиты раннего кода прошивки существуют отдельные аппаратные и программные механизмы.
Влияет ли Secure Boot на производительность? Во время запуска компьютера прошивка проверяет цифровые подписи. Проверки требуют вычислений, но на современных устройствах их вклад в общую продолжительность загрузки обычно невелик. После старта Windows Secure Boot не выполняет постоянную проверку каждого пользовательского приложения.
Включение безопасной загрузки само по себе не увеличивает и не уменьшает FPS в играх, не ускоряет процессор и не меняет скорость SSD. Если после изменения настроек UEFI производительность заметно изменилась, стоит проверить сопутствующие параметры и функции Windows, а не приписывать разницу непосредственно Secure Boot.
Как проверить и включить Secure Boot без проблем с Windows
Начинать нужно с проверки текущей конфигурации, а не с переключения настроек BIOS. Даже новая материнская плата может работать в режиме совместимости со старым BIOS, который мешает включить Secure Boot.
Шаг 1. Проверьте состояние безопасной загрузки. Откройте «Сведения о системе» через Win + R.
msinfo32
Найдите два значения.
- Режим BIOS. Желательно UEFI.
- Состояние безопасной загрузки. «Вкл.», «Откл.» или «Не поддерживается».
Для дополнительной проверки откройте Windows PowerShell с правами администратора и выполните команду.
Confirm-SecureBootUEFI
Результат True означает, что Secure Boot включён. Значение False говорит об отключённой безопасной загрузке на совместимой платформе. Сообщение Cmdlet not supported on this platform указывает, что среда не поддерживает такую проверку, например при загрузке Windows в старом режиме BIOS.
Шаг 2. Проверьте разметку системного диска. Откройте «Управление дисками», щёлкните правой кнопкой мыши по системному физическому диску, выберите «Свойства» и вкладку «Тома».
В строке «Стиль раздела» может отображаться GUID Partition Table (GPT) или Master Boot Record (MBR).
Для стандартной загрузки современной Windows в режиме UEFI системный диск обычно использует GPT. Если Windows установлена в режиме Legacy BIOS с MBR, простое отключение CSM и переход в UEFI может нарушить загрузку.
Microsoft предусматривает преобразование системного диска средствами MBR2GPT, но такая операция требует предварительной проверки разделов и готовности прошивки к новому режиму. Не стоит запускать преобразование только ради появления галочки Secure Boot.
Шаг 3. Подготовьтесь к изменению настроек. Сохраните резервную копию важных данных. Если диск защищён BitLocker, убедитесь, что ключ восстановления доступен независимо от компьютера. Для некоторых изменений прошивки может потребоваться временная приостановка защиты BitLocker по инструкции производителя или администратора.
Шаг 4. Откройте UEFI. В Windows 11 перейдите в «Параметры», затем «Система», «Восстановление», «Расширенные параметры запуска» и выберите «Перезагрузить сейчас».
После перезагрузки откройте «Поиск и устранение неисправностей», затем «Дополнительные параметры» и «Параметры встроенного ПО UEFI».
Альтернативный способ заключается в нажатии клавиши Delete, F2 или другой клавиши входа в настройки непосредственно при включении компьютера. Конкретная клавиша зависит от производителя.
Шаг 5. Найдите Secure Boot. На материнских платах разных производителей пункт может находиться в разделах Boot, Security или Authentication.
Если Windows уже работает в UEFI, загрузчик совместим с Secure Boot и доверенные ключи настроены, обычно достаточно перевести параметр Secure Boot в состояние Enabled, сохранить настройки и перезагрузить компьютер.
Если пункт недоступен или требуется отключить CSM, не меняйте остальные параметры вслепую. Сначала выясните, в каком режиме установлена операционная система и какие EFI-компоненты используются.
Отдельная ошибка связана с пунктами Clear Secure Boot Keys и Delete All Secure Boot Keys. Удаление ключей может перевести платформу в режим настройки ключей и лишить прошивку действующей политики доверия. Для обычного включения защиты очищать ключи не требуется. Восстановление заводских ключей допустимо только тогда, когда такая процедура предусмотрена инструкцией для конкретной платы.
Шаг 6. Проверьте результат. После успешной загрузки Windows снова запустите msinfo32. В строке «Состояние безопасной загрузки» должно появиться «Вкл.». Если Windows не запускается, верните прежние настройки UEFI и выясните причину несовместимости, прежде чем повторять попытку.
Есть ещё одна проверка, которую не стоит пропускать. В 2026 году истекли сроки действия ряда сертификатов Microsoft, применявшихся для Secure Boot с 2011 года. Например, сертификат Microsoft Windows Production PCA 2011 имел срок действия до 19 октября 2026 года, а некоторые другие сертификаты закончились ещё в июне.
Microsoft переводит компьютеры на сертификаты 2023 года. Устройства без обновлённых сертификатов обычно продолжают нормально загружать Windows, но могут не получать новые меры защиты загрузчика и обновления списков отзыва. Истечение сертификата не означает, что компьютер автоматически перестанет включаться.
На поддерживаемых обновлённых версиях Windows состояние сертификатов можно посмотреть через приложение «Безопасность Windows» в разделе «Безопасность устройства». Дополнительно существует проверка через PowerShell.
(Get-ItemProperty 'HKLM:SYSTEMCurrentControlSetControlSecureBootServicing' -Name 'UEFICA2023Status').UEFICA2023Status
Значение Updated означает успешное завершение предусмотренного Windows процесса перехода на новые сертификаты. Значения NotStarted и InProgress говорят о другом состоянии процедуры. Отсутствие параметра требует дополнительной диагностики и само по себе не доказывает наличие уязвимости.
Для большинства домашних компьютеров обновление проходит через Windows Update. Некоторые модели требуют обновления UEFI от производителя. Microsoft отдельно разъясняет последствия истечения сертификатов и рекомендует обновлять их, а не отключать Secure Boot.
Для Linux ситуация зависит от дистрибутива и загрузчика. Например, Ubuntu использует подписанный Microsoft промежуточный загрузчик shim, который затем проверяет следующие компоненты. Такой подход позволяет работать с включённым Secure Boot. Но самостоятельно собранные ядра, неподписанные модули и старые загрузочные носители могут потребовать дополнительных ключей или настройки подписей.
Поэтому утверждение, что Secure Boot запрещает Linux, неверно. Безопасная загрузка запрещает запуск компонентов, которым не доверяет текущая политика прошивки, а владельцы компьютеров в большинстве обычных конфигураций могут управлять доверенными ключами.
Частые вопросы о Secure Boot
Можно ли пользоваться Windows с выключенным Secure Boot?
Да, Windows может работать с выключенной безопасной загрузкой. Но компьютер теряет один из уровней защиты от подмены загрузочных компонентов. Некоторые корпоративные политики, игры и программы могут дополнительно требовать включённого Secure Boot. Если нет проблем с совместимостью, лучше оставлять защиту включённой.
Почему новая материнская плата показывает, что Secure Boot не поддерживается?
Частая причина связана с запуском Windows в режиме Legacy BIOS через CSM. Сама материнская плата может поддерживать Secure Boot, но текущий режим загрузки мешает использовать функцию. Сначала проверьте «Режим BIOS» в msinfo32, затем разметку системного диска и настройки UEFI. Не отключайте CSM до проверки совместимости установленной Windows.
Почему некоторые игры требуют включить Secure Boot и TPM 2.0?
Некоторые античит-системы используют возможности платформы для оценки доверия к загрузочной среде и ограничения отдельных способов внедрения читов. Secure Boot помогает усложнить подмену ранних компонентов системы, а TPM предоставляет дополнительные аппаратные функции безопасности. Но ни один из механизмов не гарантирует полного отсутствия читов.
Можно ли установить Windows с флешки, когда Secure Boot включён?
Да. Подходящие установочные носители Windows используют доверенные подписанные загрузчики. Проблемы могут возникнуть со старыми образами, изменёнными загрузчиками и некоторыми средствами восстановления. После обновления сертификатов и списков отзыва устаревшие носители также могут перестать проходить проверку.
Защитит ли Secure Boot от вируса-шифровальщика?
От обычного шифровальщика, запущенного внутри Windows, Secure Boot напрямую не защищает. Если вредоносная программа получила доступ к документам пользователя, безопасная загрузка не помешает зашифровать файлы. Для защиты нужны обновления системы, антивирус, ограничение прав и резервные копии, недоступные вредоносной программе.
Можно ли включить Secure Boot без переустановки Windows?
Обычно да, если Windows уже установлена в режиме UEFI, используется совместимый загрузчик и прошивка содержит необходимые доверенные ключи. Если система работает в режиме Legacy BIOS с MBR, сначала может потребоваться переход на GPT и UEFI. Процедура зависит от разметки диска, оборудования и конфигурации шифрования.
Означает ли цифровая подпись, что загрузчик не содержит вирусов?
Нет. Подпись помогает проверить происхождение и целостность файла, но не гарантирует безопасность кода. Подписанное программное обеспечение может содержать уязвимости, а доверенный компонент иногда позволяет запустить неподписанный код через ошибку реализации. Поэтому базы отзыва и обновления загрузчиков необходимы даже при включённом Secure Boot.
Нужно ли устанавливать пароль на UEFI для защиты Secure Boot?
Пароль администратора UEFI может затруднить несанкционированное изменение настроек, особенно при физическом доступе к компьютеру. Но возможности защиты зависят от производителя и модели платы. Пароль UEFI не заменяет шифрование диска, а его сброс на некоторых устройствах возможен аппаратными или сервисными методами. Для ноутбука с конфиденциальными данными полезнее сочетать пароль прошивки, Secure Boot, TPM и шифрование накопителя.
Вывод. Secure Boot решает вполне конкретную задачу. Компьютер должен запускать операционную систему через доверенную цепочку загрузочных компонентов, а не выполнять любой код, оказавшийся на системном разделе. Механизм существенно усложняет некоторые атаки с буткитами и подменой загрузчиков, но не защищает от всех руткитов, обычных вирусов и уязвимостей самой прошивки.
На современном компьютере с Windows 11 безопасную загрузку разумно держать включённой. Начните с проверки через msinfo32, затем убедитесь, что Windows и прошивка получают обновления, включая актуальные сертификаты Secure Boot. Если функция отключена, сначала выясните причину. На системе с Legacy BIOS, нестандартным загрузчиком или шифрованием диска изменение настроек требует подготовки.
Secure Boot лучше всего работает не в одиночку, а вместе с TPM 2.0, BitLocker, проверкой целостности Windows и своевременными обновлениями. Никакой магической защиты от всех вирусов здесь нет. Зато есть полезный барьер, который способен остановить вредоносный загрузчик раньше, чем тот получит управление компьютером.
