Users Guide

validiert und anhand eines bestimmten Zertifikats autorisiert, bevor sie geladen oder ausgeführt werden darf. Secure Boot
eliminiert die Bedrohung und bietet eine Software-Identitätsprüfung für jeden Schritt des Startvorgangs – Plattform-Firmware,
Erweiterungskarten und OS-Boot-Loader.
Das Unified Extensible Firmware Interface Forum (UEFI) – ein Branchenverband, der Standards für vor dem Start ausgeführte
Software entwickelt – definiert Secure Boot in der UEFI-Spezifikation. Anbieter von Computersystemen, Erweiterungskarten
und Betriebssystemen arbeiten an dieser Spezifikation zusammen, um die Interoperabilität zu fördern. Als Teil der UEFI-
Spezifikation stellt Secure Boot einen branchenweiten Standard für die Sicherheit in der Pre-Boot-Umgebung dar.
Im aktivierten Zustand verhindert UEFI Secure Boot das Laden der unsignierten UEFI-Gerätetreiber, zeigt eine Fehlermeldung an
und hindert das Gerät am Arbeiten. Sie müssen Secure Boot deaktivieren, um die nicht signierten Gerätetreiber zu laden.
Ab der 14. Generation von Dell PowerEdge-Servern können Sie die Secure Boot-Funktion über verschiedene Schnittstellen
(RACADM, WSMAN, REDFISH und LC-UI) aktivieren oder deaktivieren.
Zulässige Dateiformate
Die Secure Boot-Richtlinie enthält nur einen Schlüssel im PK, es können sich jedoch mehrere Schlüssel im KEK befinden. Im
Idealfall verwaltet entweder der Hersteller oder Besitzer der Plattform den passenden privaten Schlüssel zum PK. Die zu den
öffentlichen Schlüsseln im KEK passenden privaten Schlüssel werden von Dritten (z. B. Betriebssystem- und Geräteanbietern)
aufbewahrt. Auf diese Weise können Plattformbesitzer oder Dritte Einträge in der db oder dbx eines bestimmten Systems
hinzufügen oder entfernen.
Die Secure Boot-Richtlinie verwendet db und dbx, um die Ausführung von Abbilddateien vor dem Start zu autorisieren. Damit
eine Abbilddatei ausgeführt wird, muss sie einem Schlüssel oder Hash-Wert in der db zugeordnet werden und nicht einem
Schlüssel oder Hash-Wert in der dbx. Jeder Versuch, den Inhalt der db oder dbx zu aktualisieren, muss von einem privaten PK
oder KEK signiert werden. Jeder Versuch, den Inhalt des PK oder KEK zu aktualisieren, muss von einem privaten PK signiert
werden.
Tabelle 14. Zulässige Dateiformate
Richtlinienkomponente Zulässige Dateiformate Zulässige
Dateierweiterungen
Max. erlaubte Datensätze
PK X.509-Zertifikat (nur binäres
DER-Format)
1. .cer
2.
.der
3. .crt
Eins
KEK
X.509-Zertifikat (nur binäres
DER-Format)
Öffentlicher Schlüsselspeicher
1. .cer
2.
.der
3. .crt
4.
.pbk
Mehr als einer
DB und DBX
X.509-Zertifikat (nur binäres
DER-Format)
EFI-Image (System-BIOS
berechnet und importiert das
Image-Digest)
1. .cer
2.
.der
3. .crt
4.
.efi
Mehr als einer
Die Einstellungen für Secure Boot können in den System-BIOS-Einstellungen durch Klicken auf „Systemsicherheit“ aufgerufen
werden. Um zu den System-BIOS-Einstellungen zu gelangen, drücken Sie F2, wenn das Firmenlogo während des POST
angezeigt wird.
● Standardmäßig ist Secure Boot deaktiviert und die Secure Boot-Richtlinie auf Standard eingestellt. Um die Secure Boot-
Richtlinie zu konfigurieren, müssen Sie Secure Boot aktivieren.
Managed System einrichten
97