Secure Boot/Shim（セキュアブートシム）
UEFI Secure Boot仕組み。Microsoft UEFI Signing Service・Platform Key(PK)・Key Exchange Key(KEK)・Database(DB)/DBX・GRUB2 shim(Linux)・MOK(Machine Owner Key・mokutil)・Windows 11 Secure Boot必須・Shim RockNTRoll CVE対応・Linux Secure Boot(Ubuntu/Fedora/Debian対応)・Clevis+TPM Auto-unlock LUKS2、2026年セキュリティ+Dual-boot両立。
概要
Secure BootはUEFI（Unified Extensible Firmware Interface）に組み込まれた認証機構で、起動時にロードされるオペレーティングシステムやブートローダーが改ざんされていないことを保証します。Microsoft UEFI Signing Serviceが発行するデジタル署名を検証し、許可されたコードのみを実行します。Linux側ではGRUB2 shimが同様の役割を担い、MOK（Machine Owner Key）を用いてユーザーが独自に署名したカーネルモジュールを許可します。2026年に予定されるWindows 11 ProのSecure Boot必須化に伴い、ハードウェアとOSの相互運用性が重要視されています。
主な特徴・仕組み
- Platform Key (PK)：ファームウェア側で管理される最上位の鍵。PKが署名したKEKのみが有効です。
- Key Exchange Key (KEK)：PKに署名された鍵で、DB/DBXの更新を許可します。
- Database (DB)：許可された署名のリスト。
- DBX：ブロックリスト。DBXに登録された署名はブート時に拒否されます。
- shim：Linuxブートローダーで、PK/KEKに署名された署名を検証し、MOKを介してユーザー署名を許可します。
- MOK (mokutil)：ユーザーが自前で署名したカーネルモジュールを登録する仕組み。
- CVE対応：Shim RockNTRollはCVE-2024-XXXXXを修正し、2025年にリリースされたバージョンで再発防止を実装。
- Clevis+TPM：TPM 2.0を利用したLUKS2自動解除で、起動時に暗号化ボリュームを自動的にアンロック。
スペック/製品比較表
| 製品 | PK/KEK | DB/DBX | shim対応 | MOK | TPM 2.0 | 2025年サポート |
|---|---|---|---|---|---|---|
| Windows 11 Pro | 署名済み | 署名済み | なし | なし | あり | あり |
| Ubuntu 24.04 LTS | 署名済み | 署名済み | あり | あり | あり | あり |
| Fedora 39 | 署名済み | 署名済み | あり | あり | あり | あり |
| Debian 12 | 署名済み | 署名済み | あり | あり | あり | あり |
| RTX 5090 (GPU) | 署名済み | 署名済み | なし | なし | なし | あり |
具体例・対応製品
- RTX 5090：PCIe 5.0 x16 接続で5.7GHzクロックを持つGPU。Secure Boot下でドライバ署名が必須。
- Ryzen 9 9950X3D：3.0GHzベースクロック、32GB DDR5-6000メモリをサポート。Secure Bootに対応したBIOSが必要。
- Core Ultra 9 285K：2.5GHzベース、8GB DDR5-6000を搭載。Secure BootでUEFIファームウェアが署名済み。
- Ubuntu 24.04 LTS：2025年にリリース予定のLTS版。shim RockNTRoll 1.2.0が標準装備。
- Fedora 39：2026年に予定されるリリース。shim 1.3.0が含まれ、CVE対応が強化。
自作PCでの選び方・注意点
- ハードウェアはUEFI BIOSがSecure Bootに対応しているか確認。
- BIOS設定でPK/KEKを有効にし、不要なデフォルトキーを削除。
- OSインストール時にshimを選択し、MOK登録を行う。
- TPM 2.0が搭載されているマザーボードを選ぶとClevis+TPMでLUKS2自動解除が可能。
- GPUドライバは公式署名済みバージョンを使用。
- BIOSアップデートは公式サイトから最新バージョンを取得。
- 2025年にリリースされるWindows 11 ProはSecure Boot必須。
- 2026年の次世代OSではshimのバージョンが更新されるため、互換性を確認。
- ディスク容量は1TB以上を推奨。
- CPUクロックは3.0GHz以上で安定性が高い。
- メモリはDDR5-6000を推奨。
- GPUはPCIe 5.0 x16で高速転送を確保。
関連用語との違い
- Secure Boot：起動時の署名検証。
- shim：Linux側のブートローダー。
- MOK：ユーザー署名登録。
- PK/KEK：鍵階層。
- TPM：ハードウェアベースの鍵保管。
- CVE：脆弱性番号。
よくある質問
Q1: Secure Bootを無効にするとOSは起動できないのですか？
A1: 無効にすると署名チェックがスキップされるため、非署名OSやカスタムカーネルも起動可能。ただし、セキュリティリスクが増大します。
Q2: shim RockNTRollはどのOSで使えますか？
A2: Ubuntu 24.04 LTS、Fedora 39、Debian 12など、主要なLinuxディストリビューションで標準装備。
Q3: TPM 2.0を使わないとLUKS2の自動解除はできませんか？
A3: TPM 2.0が無い場合は手動でパスフレーズ入力が必要。Clevis+TPMはTPM 2.0が前提です。
まとめ
Secure BootはUEFIファームウェアとオペレーティングシステム間でデジタル署名を検証し、改ざんを防止する仕組みです。shimとMOKによりLinux環境でも柔軟に署名管理が可能で、2025年・2026年のOSリリースに合わせて対応が進化しています。自作PCを構築する際は、BIOS設定、TPM搭載、最新のshimバージョンを確認し、ハードウェアとOSの互換性を確保することが重要です。