メジャードブート とは？

セキュアブートは信頼する署名などに基づいて起動するコードを確認する仕組み。メジャードブートは、起動時の測定結果を記録する仕組みだよ。両方を組み合わせられるけれど、測定しただけで不正なコードを自動的に止めるわけではないんだ。

ファームウェアやブートローダーなどのハッシュ値を測定し、TPMのPCRへ蓄積する。どの要素を測るか、どのPCRに記録するかは実装によるよ。何を測ったかを示すイベントログも使う。すべてのアプリの動作を録画するカメラとは違うんだ。

Platform Configuration Registerの略で、TPMにある測定値用のレジスタだよ。extendという更新では「そのPCRの以前の値と、新しい測定値を連結してハッシュ化」する。足し算でも、次のPCR番号へ移る操作でもないんだ。測定値や順序が変われば、その測定を蓄積したPCRの値に影響するよ。

記録だけで安全とは判定できないよ。遠隔から検証するなら、署名付きのPCR情報などで証拠を確認し、イベントログと照合して、許可した状態か判断する。測定する側への信頼や検証の設定も大切だね。正規の更新で値が変わることもあり、違う値なら必ず改ざん、とは言えないんだ。

BitLockerは選択したPCRなどの条件でキーを保護するよ。起動時の状態が条件から外れると、通常のキー解放ではなく回復モードになることがある。その場合は回復キーなどでアクセスを回復できる。全PCRの変化で必ず永久に起動不能になる、という仕組みではないんだ。