第23章 セキュアブート失効リストの更新

UEFI セキュアブート失効リスト (セキュアブート禁止署名データベース、dbx) は、セキュアブートが実行を許可しなくなったソフトウェアを識別します。セキュリティーや安定性の問題が発見された場合、このリストにはハッシュ署名が保存され、不正なソフトウェアが起動するのを防ぎます。

たとえば、GRUB の特定のバージョンには、攻撃者がセキュアブートメカニズムをバイパスできるセキュリティー上の問題が含まれていたとします。問題が見つかると、失効リストに、問題があるすべての GRUB バージョンのハッシュ署名が追加されます。その結果、セキュアな GRUB バージョンのみがシステムで起動できるようになります。

失効リストは、新たに見つかった問題を認識するために定期的に更新する必要があります。失効リストを更新するときは、現在インストールされているシステムが起動しなくならないように、安全な更新方法を使用してください。