セーフブート: 推奨される選択肢かどうか?

セキュアブートは2012年から「クリーン」ブートを約束してきました。しかし、2025年9月にMicrosoft証明書が期限切れとなり、複数のマシンの電源が切れてしまいました。真のセキュリティ向上と商業的な障壁の間で、もはや技術的な問題ではありません。このオプションを有効のままにしておくべきか、それとも躊躇せずに無効にすべきか？ セキュアブート：不可欠か、それとも自由への障壁か？

コンセプトはシンプルです。マザーボードは起動時にロードされる各ブリックの署名をチェックします。キーが有効であればシステムは続行し、無効であればブラックスクリーンを表示します。このアイデアはルートキットを効果的に抑制しますが、ほぼすべてのPCにおいてMicrosoftをチェーンの中心に位置付けます。

2025年、悪名高い2011年の証明書が期限切れとなり、ファームウェアに新しいキーがなければ、Fedora、Ubuntu、OpenSUSEは起動を拒否します。 2020年以前に出荷されたLenovo、Dell、Asus、HP、Acerのマシンは、UEFIアップデートがなければ、古い署名付きシムのままになってしまうため、最もリスクが高いです。 回避策があります。最新のKEKは2023キーをプッシュし、信頼チェーンを再開します。これはLinuxベンダーファームウェアサービスを通過しますが、メーカーはマイクロコードを公開する必要があります。GigabyteまたはASRockの一部モデルでは、fwupdツールが単に「利用可能なアップデートがありません」と返すため、ユーザーはこの機能を無効にするかどうかを判断しなければなりません。 2025年9月以降のLinuxディストリビューションへの直接的な影響

Red HatとCanonicalは既に2023キーでシムをコンパイルしており、OEMが新しいファームウェアをリリースするのを待っています。現場では、Archフォーラムは、単にpacman -Syuを実行するだけで「efivarfsの書き込みに失敗しました」というメッセージで溢れています。このバグはBIOSリセットで修正されることが多く、信頼性が十分ではないことを示しています。

この脅威は理論上のものではありません。本番環境で起動しなくなったコンピューターは、特にIntelとAMDが混在する異機種混在環境では、コストがかさみます。複数のチームが採用した妥協案は明白です。セキュアブートは無効化されていますが、LUKS暗号化とTPMは有効化されており、強固なバリアを維持しています。

なぜメーカーは依然としてこの方針にこだわっているのでしょうか？

公式には、海賊版ローダーをブロックし、Windows 11を保護するためです。非公式には、このメカニズムは署名のないシステムのインストールを制限し、レドモンドに拠点を置くソフトウェア企業の市場シェアを確固たるものにしています。台北オフィスでは、ASUSとGigabyteのチームが、セキュアブートを免除されたファームウェアによってサポートが簡素化されることを非公開で認めていますが、マーケティング契約が大きな影響力を持っています。

企業側では、DellとHPのIT部門がこのメカニズムを好意的に評価しています。標準化されたフリート、固有のハッシュ、監査の簡素化といったメリットがあるからです。しかし、UEFI秘密鍵を失ったOEMプラットフォームの発見は、集中型セキュリティが単一障害点を生み出すことを改めて認識させてくれます。 Intel、AMD、そしてUEFIキーゲーム

Tiger Lake以降、Intelはセキュアブートの代替となるBootGuardモジュールを提供し、AMDはブートシーケンスの暗号化にPSPを推奨しています。両メーカーとも外部キーに依存していないことを証明しようとしていますが、データセンター以外での導入は依然として限定的です。

GigabyteはBIOSアップデートごとに更新されるローカルキーベースの実験を行っており、ASRockはOEMキーの有効期限が切れた場合にのみMicrosoft署名を受け入れるハイブリッドモードを推奨しています。両社とも、2025年のシナリオ、つまり第三者機関による突然のシャットダウンを回避しようとしています。

したがって、問題は政治的になります。信頼の根幹を誰が管理するのか？

セキュリティを犠牲にすることなくセキュアブートを無効にする

このオプションを無効にすると、システムが解放されます。カスタムカーネル、DKMSモジュール、virt-manager、そしてプロプライエタリドライバは署名なしでロードされます。開発者にとって二重のメリットがあるだけでなく、NVIDIAのパッチがリリースされた際にキー操作に煩わされるのを避けたいゲーマーにとってもメリットがあります。

トレードオフは克服できないものではありません。暗号化されたディスク、systemd-verityによる整合性対策、そして適切に選択されたBIOSパスワードです。物理的な攻撃を受けた場合でも暗号化は維持され、遠隔地からであれば、メンテナンスが不十分なセキュアブートよりも迅速なアップデートによって脆弱性を修正できます。

つまるところ、セキュアブートは、バックルが他人の手に渡れば壊れてしまうベルトのようなものです。

ブートチェーンを管理している人は、セキュアブートなしでも問題ありません。一方、規制された環境では、証明書の有効期限切れバグの再発を防ぐためにサプライヤーと交渉する必要があります。

出典:

gnulinux.ch