UEFIセキュアブートに「ベンダーキー:変更済み」と表示される

Question

新しく作成したコンピューターに Windows をインストールし、Windows 10 を起動すると、セキュア ブートがオフになっていることに気づいたので、コンピューターを再起動し、BIOS セットアップでセキュア ブートを有効にしました。その時点では、セキュア ブートの下に「ベンダー キー: 変更されていません」と表示されていました。しかし、後で BIOS にアクセスすると、「ベンダー キー: 変更されています」と表示されました。

これはどういう意味ですか？

私はギガバイトのh310mマザーボードを持っています。

Answer 1

セキュア ブートは、通常は x509 証明書を介してファームウェアに信頼のルートを配置することで機能します。

ルート CA はファームウェアに埋め込まれており、署名されたブートローダを検証し、署名されたブートローダは署名されたカーネルまたは署名された第 2 ステージ ブートローダを検証する、といった動作が可能です。ファームウェア内のさまざまなキー データベースは、柔軟性を提供し、強力なセキュリティを維持するために使用されます。

ここでのキーという言葉は証明書を意味します。Microsoft には独自のキー/証明書があり、コンピュータ ベンダーにも独自のキー/証明書があります。証明書/キーはファームウェアに保存され、ファームウェアの内容やロードされたソフトウェアを検証するために使用されます。

あなたの場合、セキュア ブートを有効にすることで、いくつかの BIOS 変数が変更されました。変更は検証され、ベンダー キーによって再度署名されました。これは、セキュア ブートを無効にする場合にも必要になります。「変更済み」とは、ベンダー キーを使用して検証/署名されたいくつかの変更を行ったことを意味します。