セキュアブート（UEFI）

セキュアブートは、UEFIファームウェアが起動時にブートローダなどのデジタル署名を検証し、信頼されたコードだけを実行することで起動経路の改ざんを防ぐ仕組みです。

■ 試験で押さえるポイント

• ファームウェアに登録された信頼済み鍵や証明書を基点として、実行対象の署名と失効情報を検証します。

• 署名が無効な、又は信頼されていないブートローダやUEFIドライバは起動を拒否し、ブートキットなどがOSより先に実行されることを防ぎます。

• TPMを使うメジャードブートは、起動要素の測定値を記録して後から検証できるようにする仕組みです。署名に基づいて実行可否を決めるセキュアブートとは役割が異なります。

• 信頼済みコードの脆弱性悪用や署名鍵の侵害には、失効情報とファームウェアの更新が必要です。セキュアブートだけでOS起動後の攻撃を防げるわけではありません。

■ 過去問での着眼点

セキュアブートは、起動前にデジタル署名を検証し、信頼されたコードだけを実行します。実行を許可・拒否するセキュアブートと、測定値を記録するメジャードブートを区別します。署名検証による起動コードの制限がセキュアブートの機能です。

例: 署名が改ざんされたブートローダをUEFIが検出して起動を停止し、管理者へ回復手順の実行を求めます。