UEFI影像檔授權流程

1.5 UEFI影像檔授權流程

在開機期間，授權處理經由那一個不知UEFI影像檔可能被認可去執行，其描述如下。對於更多資訊，請看UEFI規格書的27.7節。

1. 重置
這是當平台開始初始化，在開機期間。

2. 安全開機策略初始化。
初始化平台的安全開機策略，同定義在先前的章節。

3. 驗證UEFI可執行的影像檔。
在一個可執行的UEFI初始化期間，其建構於安全開機策略，開機管理員決定是否此可執行的UEFI應該被初始化。
驗證成功可執行的方法通過鑑定，或者它的簽署的證明書或簽章被發現，在韌體經授權的簽章資料庫與未被發現在禁止的簽章資料庫。除此以外，驗證失敗。
驗證步驟包含：

a. 鑑定影像檔的格式與結構。

b. 如果影像檔是沒有簽章的，還有它的簽章在經授權的資料庫(DB)與沒有在禁止的資料庫(DBX)中，然後執行這影像。

c. 如果影像檔有簽章，第一次檢查，如果它的證明已經被授權。如果影像檔的證明被發現在KEK或者是經授權的資料庫(DB)，還有沒有在禁止的資料庫(DBX)中，然後執行這影像。

d.  如果影像檔的證明沒有被授權，檢查如果它的簽章已經被授權或者是禁止。如果它的簽章在經授權的資料庫(DB)與沒有在禁止的資料庫(DBX)中，然後執行這影像，然後執行這影像。

e. 在其他方面有一個違反安全性。檢查平台策略PCD去決定適當的動作。

f. 平台策略PCD對於可執行被載入從3個媒體儲存位置(Option Rom, 硬碟與隨身碟)被描述在1.3章。注意到可執行被載入從儲存裝置包含平台韌體(例如快閃記憶體或唯讀記憶體)被總是信任的。此策略詢問使用者，總是執行，從不執行，或是延後執行。對於詢問使用者，此使用者被詢問對於三答擇一: 'Yes', 'No', 或是'Defer'，如下顯示。

注意：此圖來自於UDK2010.SR1釋放，它顯示一個截圖。實際上看到，更多的實施方式輸出可能會有所不同。

影像檔沒被發現在授權的資料庫

‘Yes’的意思，那使用者授權給發行可執行與等同於總是去執行。

‘No’的意思，那使用者否決發行可執行與等同於從不去執行。
‘Defer’的意思，那可執行不目前信賴與等同於延遲去執行。這下個開機選項被喚起。可執行可能是晉升到可信賴狀態與喚起在未來的時間。

4. UEFI可執行簽章通過系統配置表。如果判決是延遲或否定的，然後此影像檔簽章被複製到影像檔可執行資訊表，在EFI系統配置表，在作業系統中它是有效的。一個OS的應用程式可決定是否影像檔應該被信賴與更新在相對應的簽章資料庫。如果判定是‘Yes’，然後發行一般的可執行的UEFI。

5. UEFI可執行簽章增加到簽章資料庫。如果是有效的，經授權的使用者可註冊這簽章在韌體可信賴的簽章資料庫。