セキュアブート(Secure Boot).

セキュアブートは UEFI 仕様の機能で、プラットフォームファームウェアから OS まで信頼の連鎖を構築します。各段階でファームウェアは、保護変数 PK、KEK、db、dbx に格納された鍵を用いて次段(ブートローダー、カーネル、ドライバー)の署名を検証します。署名が欠落したり失効していたりすれば起動を停止します。LoJax や BlackLotus のような OS 前マルウェアや永続化 Rootkit/Bootkit からの防御に有効です。Windows 11 では必須で、主要な Linux ディストリビューションは shim 経由でサポートし、TPM PCR を用いた計測起動や Intel BootGuard などのリモート証明と組み合わせます。