Clave Golden Boot segura: ¿soy vulnerable?

Question

Soy un usuario de Arch Linux. Me gustaría protegerme del hack de live-usb usando SecureBoot:

1. Cree mi propia clave de plataforma y firme el kernel con mi propia clave.
2. Eliminar las PK de Microsoft
3. Habilitar arranque seguro

Es posible como se describe.aquí

Pero ahora existen llaves de oro para SecureBootdisponiblepermitiendocualquierkernel firmado para ejecutarse con SecureBoot. Surgen dos preguntas

1. ¿Es posible comprobar si mi versión de SecureBoot es vulnerable (como veo, el sistema de políticas se desarrolló cuando SecureBoot ya se había introducido)?
2. Si mi SecureBoot rechaza las PK de Microsoft, ¿sigo siendo vulnerable? Si la regla de política está firmada, seguramente estará firmada con la clave de Microsoft.