Még egy érdekesség az SB témához. Fontos, hogy bekapcsolt SB mellett érvényes (nem biztos, hogy jól értem/magyarázom, de a lényeg ez, és alapvetően Windows és Linux rendszerekre is igaz.)
Egy csomó olyan gép van, amelyeknél az OS nem tudja frissíteni az NVRAM-ban tárolt SB adatbázisokat, mert a BIOS "zárva" van, csak az adatbázisok olvasását engedi. Ez egy extra védelem a gépnek. A tanúsítványok, csak a gyártó által kiadott BIOS frissítésekkel frissíthetőek.
A gyártó meg általában 2-3 év után lezárja a támogatást, nem ad ki új BIOS-t.
Egy gép kiadáskor ez nem okoz problémát, és folyamatában sem, még a 2023-2026 közötti átálláskor és utána sem, mert a BIOS+OS kombó ezt lekezeli (ez nagyon trükkös) és ez az állapot, nevezzük "ideiglenes" állapotnak, folyamatosan fenn is marad, miközben az OS frissíti magát.
Az OS frissítésekkel megjöttek a 2023-ban kiadott tanúsítványok is, ezek a BIOS-ba nem tudtak beíródni, de az előbbiek miatt ez sem okozott gondot. (De, nem is ideális.)
A Windows esetén egyetlen helyen jelentkezik, hogy nincs minden rendben, a Gépházban lévő tájékoztatás, miszerint az SB működik, de régi tanúsítványokkal, amit majd frissíteni kellene, de még nem tudta, ill. frissítési hibaértesítések is vannak..
Tehát a BIOS tanúsítványok sehogyan sem frissülnek, de a gép működik az "ideiglenes" állapot miatt.
Mikor jön a probléma?
Ha valami miatt teljesen új telepítés kell, az "ideiglenes" állapot megszűnik, és az új OS telepítés/OS futtatás nem fog menni, mivel nem fognak egyezni az NVRAM-ban és a OS-ben lévő adatok. Ha valamiért a BIOS nullázódik, vagy nullázni kell, ugyanez a helyzet.
Mi a megoldás?
- Az "ideiglenes" állapot elvileg bármeddig elmegy, de ez egy csökkentett mód lesz, mert pl. egy kompromitálódott/lejárt szoftveraláírás nem tiltható le a listában (fekete lista), hiába jön rá frissítés (nem írható a BIOS)
- A manuális mód beállítása, az adott OS indítófájljának beállítása a SB-ban (fehér lista). Ezzel indulni fog a rendszer és magasabb védelmet ad, mint a csökkentett mód. Mivel manuális, ha az OS indítófálj frissül, akkor a manuális módot is kézileg frissíteni kell (1 perces bios piszkálás + újraindítás)
