Подробный гайд: Secure Boot в InsydeH2O BIOS

Secure Boot в InsydeH2O BIOS: настройка безопасной загрузки UEFI, проверка цифровых подписей и защита системы от вредоносного ПО при старте компьютера

Подробный гайд: Secure Boot в InsydeH2O BIOS

Что такое Secure Boot?

Secure Boot (с англ. — «безопасная загрузка») — это протокол безопасности, являющийся частью спецификации UEFI, который проверяет цифровые подписи всех компонентов, загружаемых при старте системы. Его основная цель — гарантировать, что при загрузке компьютера выполняется только доверенное программное обеспечение, подписанное сертифицированными ключами.

Как работает Secure Boot?

При включении ПК прошивка проверяет цифровую подпись загрузчика ОС
Сравнивает подпись с ключами в базе данных db (доверенные) и dbx (отозванные)
Если подпись валидна — загрузка продолжается; если нет — система блокирует запуск

4. Используются криптографические ключи:

Platform Key (PK) — ключ владельца платформы
Key Exchange Key (KEK) — ключи операционных систем
db/dbx — базы доверенных и отозванных подписей

Настройка Secure Boot в InsydeH2O BIOS

Важно:

Интерфейс InsydeH2O может отличаться в зависимости от производителя ноутбука (Acer, HP, Lenovo, Dell), но общий принцип настройки одинаков.

Предварительные требования

Требование	Почему это важно
Режим загрузки: UEFI	Secure Boot не работает с Legacy/CSM
Таблица разделов: GPT	MBR несовместим с безопасной загрузкой
Поддерживаемая ОС	Windows 8/10/11, современные Linux-дистрибутивы

Пошаговая инструкция

Шаг 1: Вход в BIOS/UEFI

Перезагрузите устройство

2. Сразу после включения нажимайте клавишу входа:

F2 — Acer, Dell, Lenovo
F10 — HP
Del/Esc — другие модели

Шаг 2: Отключение CSM/Legacy (обязательно!)

Secure Boot неактивен, пока включён режим совместимости

Перейдите на вкладку Boot или Advanced

2. Найдите параметр:

CSM Support → установите Disabled
Boot Mode → выберите UEFI Only

Шаг 3: Разблокировка настроек (если опции «серые»)

Частая проблема: опция Secure Boot заблокирована

Перейдите на вкладку Security
Выберите Set Supervisor Password
Введите временный пароль (запомните его!)
После установки пароля дополнительные опции станут доступны

Шаг 4: Включение Secure Boot

На вкладке Security найдите пункт Secure Boot
Установите значение: Enabled
При наличии выберите Secure Boot Mode: Standard (рекомендуется)
Нажмите Restore Factory Keys или Install Default Secure Boot Keys — это загрузит стандартные ключи подписи

Шаг 5: Сохранение и выход

Нажмите F10 → Yes для сохранения настроек
Устройство перезагрузится

Проверка состояния Secure Boot в Windows

Способ 1: Сведения о системе

Нажмите Win + R, введите msinfo32

2. Найдите строки:

Режим BIOS: UEFI
Состояние безопасной загрузки: Вкл.

Способ 2: PowerShell

Confirm-SecureBootUEFI

Возвращает True, если Secure Boot активен.

Частые проблемы и решения

Проблема	Решение
Secure Boot неактивен (серый)	Установите Supervisor Password в разделе Security
Опция Secure Boot отсутствует	Обновите BIOS до последней версии с сайта производителя
После включения не загружается ОС	Проверьте, что диск использует GPT и ОС установлена в режиме UEFI
Linux не загружается	Используйте дистрибутив с подписанным загрузчиком (Ubuntu, Fedora) или временно отключите Secure Boot
CSM нельзя отключить	В некоторых версиях сначала включите Secure Boot, затем CSM отключится автоматически

Режимы работы Secure Boot (техническая справка)

Режим	Описание
Setup Mode	Режим настройки: можно изменять ключи без аутентификации (активен при отсутствии PK)
Audit Mode	Режим аудита: позволяет тестировать подписи без блокировки загрузки
User Mode	Пользовательский режим: стандартная работа с проверкой подписей
Deployed Mode	Развёрнутый режим: максимальная защита, переменные только для чтения

Достоинства и недостатки

Преимущества

Защита от руткитов и буткитов — вредоносный код не сможет загрузиться
Локальные политики безопасности — можно ограничить список допустимых ОС
Совместимость с современными стандартами безопасности (TPM, BitLocker)

Недостатки

Сложность установки неподписанных ОС (старые дистрибутивы Linux, кастомные сборки)
Необходимость управления ключами при использовании пользовательских подписей
Уязвимости в реализациях — старые версии InsydeH2O могут иметь баги, обходящие Secure Boot

Дополнительные советы

После настройки удалите временный пароль (установите пустой), если он больше не нужен
Всегда обновляйте BIOS — уязвимости в старых версиях могут обходить Secure Boot
Для Linux используйте shim-загрузчик — он подписан ключом Microsoft и совместим с Secure Boot
При сбросе BIOS настройки Secure Boot вернутся к заводским — может потребоваться повторная настройка

Совет:

Если интерфейс вашего BIOS сильно отличается — укажите точную модель ноутбука и версию BIOS (например, InsydeH2O v5.0), чтобы получить более точную инструкцию.