第1章：UEFI安全启动原理
1.1 安全启动到底在防什么？
先问个问题：你按下电源键，到操作系统加载完成，中间发生了什么？
传统BIOS时代，这段过程基本是裸奔的。恶意软件可以轻松替换掉启动扇区，或者修改引导加载器。你想想看，如果病毒在操作系统启动前就注入了，杀毒软件根本来不及反应。
UEFI Secure Boot就是为了解决这个问题。它要确保：从固件到操作系统，每一环都是被信任的。
我在项目中遇到过一台服务器，反复重启就是进不了系统。查了半天，发现是有人插了块带恶意Option ROM的网卡。安全启动直接把它拦在了门外——嗯，这就是它存在的意义。
1.2 工作流程：信任链是怎么建立的？
安全启动的流程，说白了就是一条信任链。每一级都验证下一级的签名，环环相扣。
核心流程：
- 固件启动：UEFI固件首先验证自己的代码完整性
- 验证Boot Manager：固件检查Boot Manager的签名是否在db（允许数据库）中
- 验证引导加载器：Boot Manager验证引导加载器（如GRUB2）的签名
- 验证操作系统内核：引导加载器验证OS内核的签名
- 验证驱动模块：内核加载驱动时，同样检查签名
每一步验证失败，启动就会中断。这就是为什么有时候你换个硬盘，或者更新了显卡驱动，机器就起不来了——签名对不上。
我习惯把这种机制叫做「洋葱模型」。一层包一层，每一层都只信任上一层指定的东西。
1.3 密钥管理：PK、KEK、db、dbx
聊密钥之前，先看一张图。这是我用SVG画的，帮你理解这些密钥的关系。
这张图展示了UEFI安全启动的密钥层级。我来逐个解释：
PK（Platform Key，平台密钥）
这是老大。谁拥有PK，谁就能控制整个安全启动策略。PK通常由OEM在出厂时写入，也可以由用户自己更换。
注意：PK一旦被清空，安全启动就变成了「审计模式」——只记录不拦截。我见过有人误操作清空了PK，结果机器照常启动，但安全日志里全是警告。
KEK（Key Exchange Key，密钥交换密钥）
KEK是二把手。它负责管理db和dbx的更新。操作系统厂商（比如微软）会把自己的证书放进KEK，这样系统更新时才能修改db/dbx。
db（Allowed Database，允许数据库）
db里存放的是受信任的证书或哈希值。只有签名匹配db中内容的代码，才能被执行。
dbx（Forbidden Database，禁止数据库）
dbx是黑名单。如果某个证书被泄露，或者某个版本的引导加载器有漏洞，就把它的哈希或证书放进dbx。这样即使它签名正确，也不会被执行。
我的经验：调试安全启动问题时，我习惯先检查dbx。有一次客户反映某款显卡驱动装不上，查了半天发现是驱动签名被吊销了——厂商之前出过安全漏洞，新驱动还没更新签名。这种情况只能等厂商发新版本。
1.4 签名与验证机制
签名验证的原理其实不复杂。说白了就是非对称加密的经典应用：
- 签名生成：代码作者用私钥对代码的哈希值加密，生成签名
- 签名分发：公钥放在db中，代码和签名一起发布
- 验证过程：固件用db中的公钥解密签名，得到哈希值A；再计算代码的实际哈希值B
- 比对结果：A == B → 通过；A != B → 拒绝
这里有个细节：UEFI支持两种签名格式——EFI_CERT_X509（证书）和EFI_CERT_SHA256（哈希值）。
| 签名类型 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| X509证书 | 操作系统、大型驱动 | 灵活，支持证书链 | 验证开销大 |
| SHA256哈希 | 小工具、特定版本固件 | 验证快，精确匹配 | 更新需重新计算 |
我个人更推荐用证书方式。为什么？因为证书可以设置有效期，还能通过吊销列表撤销。哈希方式一旦代码更新，就得重新计算并更新db，维护成本高。
1.5 避坑指南
我曾经踩过的坑：
- 签名过期：有台设备运行了三年，突然某次重启后起不来了。查日志发现是引导加载器的签名证书过期了。嗯，证书有有效期，这个很多人会忽略。
- db空间不足：db的存储空间是有限的。有些主板只支持存几十个证书。我见过有人往db里塞了上百个证书，结果新证书写不进去了。
- PK丢失：PK一旦丢失或损坏，你就再也无法修改安全启动策略了。除非你有硬件编程器，否则这块主板就废了。
我的建议：
- 生产环境一定要备份PK和KEK的私钥，放在离线保险柜里
- 每次更新db/dbx前，先验证签名是否有效
- 测试环境可以暂时关闭安全启动，但生产环境必须开启
1.6 小结
UEFI安全启动的核心就三件事：
- 信任链：从固件到OS，环环验证
- 密钥体系：PK管KEK，KEK管db/dbx
- 签名验证：公钥解密，哈希比对
搞懂了这些，排查安全启动问题就有了方向。下次遇到启动失败，先看日志里是哪个环节的验证没通过——是PK丢了？还是db里没有对应的证书？还是签名过期了？对症下药就好。