Qu'est-ce qu'un bootloader verrouillé ?

Le chargeur de démarrage n'est généralement pas sur le /boot La partition, c'est sur une autre, mais ce n'est pas vraiment le cœur du problème.

Le problème survient lorsque le chargeur de démarrage est signé de manière cryptographique, ce qui a pour but de vous empêcher de le remplacer par le vôtre. L'appareil vérifie la signature du chargeur d'amorçage au démarrage et refuse d'en amorcer un dont la signature est invalide. Par la suite, le chargeur d'amorçage vérifie la signature de tout ce qui se trouve dans le fichier /boot qui refuse de démarrer その s'il n'est pas signé valablement. Par conséquent, vous ne pouvez pas écraser l'une ou l'autre des partitions sans rendre l'appareil non amorçable.

Lorsqu'un chargeur de démarrage est déverrouillé, il ne vérifie pas la signature des autres images de partition, c'est pourquoi vous pouvez installer des ROM personnalisées. Cela signifie qu'il n'est pas nécessaire de remplacer le chargeur de démarrage pour modifier les images de partition. /boot il suffit de le déverrouiller pour qu'il ne vérifie pas la signature de l'utilisateur. /boot . Si le chargeur de démarrage est verrouillé et signé, alors vous êtes essentiellement coincé, sauf si un exploit vous permet de contourner l'une des étapes de vérification de la signature.

Cela signifie également que les chargeurs de démarrage verrouillés, en soi, ne sont pas nécessairement un problème. Le véritable problème réside dans les chargeurs d'amorçage signés qui ne fournissent pas de mécanisme de déverrouillage.

Le processus est (plus ou moins) analogue à celui de Démarrage sécurisé UEFI bien qu'il ne s'agisse probablement pas de la même mise en œuvre architecturale. Par ailleurs, pour reprendre votre exemple de Linux, l'une des principales critiques du démarrage sécurisé UEFI est qu'il pourrait potentiellement être utilisé pour empêcher l'installation d'autres systèmes d'exploitation sur les PC traditionnels via le même schéma de vérification des signatures.