Secure Boot è la funzione UEFI che verifica la firma crittografica di ogni componente della catena di avvio – bootloader, kernel, driver – prima di eseguirlo: se un bootkit ha manomesso il bootloader, la firma non torna e l'avvio si blocca. È la radice di fiducia (root of trust) da cui dipende ogni difesa sopra: un sistema bucato sotto il kernel non è difendibile dal kernel.
La gerarchia delle chiavi: PK (Platform Key, la master del produttore), KEK (Key Exchange Keys) e db (il database delle firme autorizzate) più dbx (quelle revocate). Di fabbrica sono precaricate le chiavi Microsoft, motivo per cui Linux usa uno shim firmato da Microsoft per avviarsi.
Per chi vuole controllo totale (e non fidarsi delle chiavi di terzi), si possono registrare chiavi proprie: rimpiazzare PK/KEK/db con le tue, firmare tu stesso kernel e bootloader (i MOK, Machine Owner Keys, permettono di aggiungere chiavi senza cancellare tutto). È hardening avanzato – utile con dischi cifrati e firmware ispezionabile per una catena di fiducia interamente tua – ma va fatto con attenzione: una chiave sbagliata e la macchina non avvia. Il complemento naturale: cifratura del disco e misura del boot per l'assurance completa.