Muitos fornecedores de UEFI oferecem senhas de inicialização e de administrador para uma máquina local.
Para uma inicialização ou redefinição a frio normal, gostaria que o sistema UEFI simplesmente escolhesse o bootloader devidamente assinado e continuasse.
Ter uma senha de administrador 'bem conhecida' para entrar na UEFI é algo que eu prefeririaNÃOseguir em frente com.
No entanto, no caso ideal, se alguém obtiver o controle físico de um dispositivo (e tiver usado engenharia social para obter a senha 'bem conhecida' para acesso de administrador UEFI), eu preferiria tornar ainda mais difícil para o equipamento serreaproveitado. Seria computacionalmente desafiador (mas não teoricamente impossível :-() para um sistema comprometido ser útil para adquirir dados armazenados no sistema (unidades criptografadas). Mas é possível que ter a senha de administrador UEFI permitiria que um 'impostor' carregue um bootloader recém-provisionado e assinado.
Uma ideia é usar algo como RSA SecureID ou fazer com que o UEFI gere um código único que deve ser verificado em outro servidor.
Eu só vi ofertas de fornecedores de UEFI que possuem essencialmente uma senha de 'texto simples' para acesso ao firmware IF na máquina.Alguém encontrou um fornecedor de firmware UEFI que foi além do normal "digite a senha?"