セキュアブート とは？

PCが起動するとき、BIOSの後継のUEFIがブートローダやOSの「デジタル署名」を確認する機能だよ。署名が正規でなければ起動を拒否して、マルウェアが起動前から潜む「ブートキット」を防ぐ。

OSより先に起動するブートローダを改ざんできれば、ウイルス対策ソフトの監視より前に動けるから。セキュアブートはそこを守る。一度感染すると非常に発見・除去が難しい「ルートキット」も防げる。

古いLinuxディストリビューションや自前ビルドのカーネルは署名なしのことがある。その場合はUEFI設定でセキュアブートをオフにする必要がある。最近のUbuntuやFedoraはMicrosoftが署名した「shim」を使ってセキュアブートを維持したままインストールできるよ。

いや、UEFI規格の機能だからOSに依存しないよ。Windowsは11から事実上セキュアブートを必須にしたけど、macOSはApple独自のセキュアブートを実装しているし、Androidもverified bootという類似機能を持っている。起動時の改ざん検知はOSを問わず重要なセキュリティ対策なんだ。

あるよ。セキュアブートはあくまで「起動プロセスの改ざん」を防ぐもので、OS起動後にインストールされるマルウェアは防げない。実際に2022年にはセキュアブートをバイパスするBlackLotusというUEFIブートキットが発見されて話題になった。セキュリティは一つの対策だけで完璧にはならず、多層防御が大事だということだね。