BIOS 設定または F2 からのセキュアなブート設定
UEFI セキュアブートは、UEFI ファームウェアと UEFI オペレーティングシステム(OS)間のハンドオフ中に発生する可能性がある、重大なセキュリティの無効を排除するテクノロジです。UEFI セキュアブートでは、特定の証明書に対してチェーン内の各コンポーネントの検証と承認が行われてから、ロードまたは実行が許可されます。セキュアブートでは、ブートプラットフォームのファームウェア、オプションカード、および OS BootLoader のすべての起動ステップを確認し、脅威を排除してソフトウェア ID を提供します。
Unified Extensible Firmware Interface(UEFI)フォーラム:プレブートソフトウェアの基準を整備する業界団体で、UEFI 仕様にセキュアブートを定義します。コンピュータシステムベンダー、拡張カードベンダー、およびオペレーティングシステムプロバイダが、相互運用性を促進するためにこの仕様に協力しています。UEFI の仕様の一部として、セキュアブートはプレブート環境のセキュリティに関する業界標準を表しています。
有効にすると、UEFI セキュアブートにより、署名されていない UEFI デバイスのドライバのロードが阻止されてエラーメッセージが表示され、そのデバイスの動作は拒否されます。署名されていないデバイスのドライバをロードするときは、セキュアブートを無効にする必要があります。
Dell 第 14 世代以降の PowerEdge サーバでは、異なるインタフェース(RACADM、WSMAN、REDFISH、LC-UI)を使用して、セキュアブート機能を有効または無効にすることができます。
使用可能なファイルフォーマット
セキュアブートポリシーには PK に 1 つのキーだけが含まれていますが、複数のキーが KEK に存在する場合があります。プラットフォームの製造元またはプラットフォームの所有者のどちらかが、パブリック PK に対応する秘密キーを保持するのが理想的です。サードパーティ(OS プロバイダやデバイスプロバイダなど)は、KEK の公開キーに対応する秘密キーを保持します。この方法では、プラットフォームの所有者またはサードパーティが、特定のシステムの db または dbx のエントリを追加または削除することができます。
セキュアブートポリシーは、db と dbx を使用して、プレブートイメージファイルの実行を許可します。イメージファイルを実行するには、db ではキーまたはハッシュ値を関連付ける必要があり、dbx ではキーまたはハッシュ値を関連付けません。db または dbx の内容をアップデートする際は、プライベート PK または KEK による署名が必要です。PK または KEK の内容をアップデートする際は、プライベート PK による署名が必要です。
表 1. 使用可能なファイルフォーマット使用可能なファイルフォーマット
ポリシーコンポーネント |
使用可能なファイルフォーマット |
使用可能なファイル拡張子 |
最大レコード数 |
PK |
X.509 証明書(バイナリ DER 形式のみ) |
.cer
.der
- .crt
|
1 回 |
KEK |
X.509 証明書(バイナリ DER 形式のみ) 公開キーストア |
.cer
.der
.crt
.pbk
|
1 回以上 |
DB および DBX |
X.509 証明書(バイナリ DER 形式のみ) EFI イメージ(システム BIOS がイメージダイジェストを計算してインポートします) |
.cer
.der
.crt
.efi
|
1 回以上 |
セキュアブート設定機能にアクセスするには、システム BIOS 設定 の下にある システムセキュリティ をクリックします。システム BIOS 設定に移動するには、POST 中に会社のロゴが表示されたら、F2 キーを押します。
- デフォルトでは、セキュアブートは 無効、セキュアブートポリシーは 標準 に設定されています。セキュアブートポリシーを設定するには、セキュアブートを有効にする必要があります。
- セキュアブートモードが 標準 に設定されている場合、システムにはデフォルトの証明書、イメージダイジェスト、または工場出荷時のハッシュがあることを示しています。これは、標準のファームウェア、ドライバ、オプション ROM、ブートローダのセキュリティに対応しています。
- サーバに新しいドライバまたはファームウェアをサポートするには、セキュアブート証明書ストアの DB にそれぞれの証明書を登録する必要があります。したがって、セキュアブートポリシーをカスタムに設定する必要があります。
セキュアブートポリシーがカスタムに設定されている場合は、デフォルトでシステムにロードされている、変更可能な標準の証明書とイメージダイジェストを継承しています。カスタムに設定されているセキュアブートポリシーでは、表示、エクスポート、インポート、削除、すべて削除、リセット、すべてリセット などの操作を実行できます。これらの操作を使用して、セキュアブートポリシーを設定することができます。
セキュアブートポリシーをカスタムに設定すると、エクスポート、インポート、削除、すべて削除、リセット、すべてリセット など、PK、KEK、DB、DBX のアクションを使用して、証明書ストアを管理するためのオプションを有効にできます。変更するポリシー(PK/KEK/DB/DBX)を選択し、それぞれのリンクをクリックすると、適切なアクションを実行することができます。各セクションには、インポート、エクスポート、削除、およびリセット 操作を実行するためのリンクがあります。設定の時点で適用可能なものに基づいて、リンクが有効になっています。すべて削除 および すべてリセット は、すべてのポリシーに影響を与える操作です。すべて削除 は、カスタムポリシー内のすべての証明書およびイメージダイジェストを削除し、すべてリセット は、標準またはデフォルトの証明書ストアからすべての証明書およびイメージダイジェストを復元します。