> Вы предлагаете мне верить что оно от чего-то обезопасит. Вот я и спрашиваю: а как проверить что оно себя ведет именно вот так?Я не вижу смысла отвечать на такой агрессивный поток сообщений об одном и том же :)
Отвечу на этот "главный вопрос".
Secure Boot - это спецификация, описывающая, как с помощью криптографии на открытом ключе гарантировать, что загружается только подписанный код и не запускается левого. (подписанный лично вами, для примера). Это отличная идея, отличная настолько же, насколько отличной идеей является подписывание модулей ядра в вашем дистрибутиве и подписывание пакетов дистрибутива, чтобы гарантировать, что вам их не подменили при скачивании.
Спецификация - это спецификация, она по определению (да, я понимаю что бывают дыры в криптографии и тд, но не будем еще и в это углубляться) ведет себя "именно вот так". Вести себя иначе может конкретная реализация. Вы можете написать свою реализацию UEFI фирмвари, или посмотреть сорцы открытого TianoCore и убедиться, что криптография реализована корректно и что никаких левых ключей нет.
Убедиться, что в абстрактной бинарной реализации UEFI все корректно вы не можете (хотя есть много оснований верить, что это так. Например, попытались загрузить левый код - получили ошибку. Подписали, вставили ключ - загружается. Так что остается разве что вариант "лишнего ключа"). Но там можно скрыть лишний код кучей других более серьезных способов. В том числе теоретически возможно и так, чтобы он выполнялся и после загрузки ОС. Поэтому я не вижу причин обвинять Secure Boot в какой-либо угрозе безопасности. Есть возможность использовать свободную фирмварь - используйте. Можно там включить Secure Boot (в TianoCore можно) - еще лучше! Безопаснее.
Причины нападать на бинарную фирмварь я вижу, на Secure Boot - никакого. Это просто опциональная возможность еще в одном месте проверять код.
> недооценка угроз буткитов - вполне возможны вроде
Не надо недооценивать. Даже Secure Boot можно выключить в одно движение. Никакая защита не является абсолютной. Но возможность ограничить загружаемый код подписью - лучше, чем отсутствие такой возможности. Да, даже с ключами MS. Я без понятия деталей истории со stuxnet и причем там вообще MS и Secure Boot, но я знаю, что среднестатическому пользователю угрожают совсем другие вещи и другие малвари. И среднестатическая малварь не будет подписана каким-либо ключом, который есть у кого-то в фирмвари.
