Windows 11にセキュアブートが必要な理由

Microsoftは、WindowsOSの次のイテレーションを発表しました。正式にはWindows11と呼ばれ、Microsoftは、アニメーション、アイコン、フォントなどの新しいデザイン要素をゼロから使用して、ユーザーエクスペリエンス全体を完全に再設計したと主張しています。

しかし、その興奮のすべてがゆっくりと失望に変わり始め、場合によっては欲求不満にさえなりました。なんでだろう？これは、MicrosoftがWindowsの光沢のある新しいバージョンのシステム要件をリリースしたときに、次のリリースを実行するために必須の2つの主要な仕様について言及したためです。それらはセキュアブートとTPM2.0であり、Microsoft自体の最新製品の一部でも見つけることができませんでした。

関連： TPM2.0を有効にする| TPM2.0要件をバイパスする

これまで、機能が要件としてリストされていたとしても、8から10までのWindowsバージョンはすべてセキュアブートなしで実行できました。Microsoftの最新のWindows11についても同じことが言えるといいのですが。

最初のWindows11 Insider Previewビルドの多くの初期ユーザーの一部は、ビルドをインストールできないと報告しており、PCでWindows11を実行できないというメッセージが完全に表示されます。正確なメッセージは画像で確認できます。下。

一歩下がって、セキュアブートが実際に何であるかを調べてみましょう。

コンテンツ

• セキュアブートとは何ですか？
• しかし、なぜWindows 11は、セキュアブートを要求することに完全に固執しているのでしょうか。
• セキュアブートを有効にするにはどうすればよいですか？

セキュアブートとは何ですか？

セキュアブートはUEFIに分類され、Unified Extensible FirmwareInterfaceの略です。UEFIは、オペレーティングシステム、ファームウェア、およびハードウェアの間にあるソフトウェアインターフェイスと考えることができます。UEFIは、BIOS（Windows 7の時代以前に使用していたインターフェイス）を置き換えることを計画しており、現在購入できるすべての最新のPCにインストールされています。

実際には、セキュアブートは、UEFI 2.3.1に基づくプロトコルであり、署名されていないUEFIドライバーまたは署名されていないオペレーティングシステムのブートローダーをロードしないことにより、システムブートプロセスを保護するために存在します。

その唯一の役割は、OEM（相手先ブランド供給）プラットフォームキーによって署名されていないコード（ドライバー、ブートローダー、またはアプリケーション）を基本的にブロックすることです。

UEFIドライバー、アプリケーション、またはOSブートローダーに署名されたプラットフォームキーがある場合にのみ、実行が許可されます。

あなたと私にとって、これはUEFIメニューの単純な切り替えであり、最大限の保護のために常に有効にする必要があります。

しかし、なぜWindows 11は、セキュアブートを要求することに完全に固執しているのでしょうか。

Windowsは、Windows 8のリリース以来、セキュアブートを実施しようとしてきましたが、長所が短所をはるかに上回っているため、答えを拒否することはないようです。

Microsoftは、セキュリティ、信頼性、互換性という3つの主要な原則に基づいてWindows11を構築したと主張しています。セキュアブートとTPM2.0の追加要件を見ると、セキュリティが脚光を浴びているようです。

Microsoftによると、これらのハードウェア要件は、Windows Hello、デバイス暗号化、仮想化ベースのセキュリティ（VBS）、ハイパーバイザーで保護されたコード整合性（HVCI）などの機能を含め、PCのセキュリティを強化するために重要です。

これらを組み合わせることで、マルウェア攻撃を60％削減することで、PCを安全に保つことができます。

まだ複雑すぎますか？もっと簡単にしましょう。

写真編集アプリケーションのインストーラーなど、実行可能ファイルをダウンロードしたばかりのシナリオを考えてみてください。ダウンロードしてインストールしたばかりのプログラムに、次回のシステム起動時に実行するように設計された有害なコードブロックが含まれていることをほとんど知りませんでした。

タスクを終了し、PCをシャットダウンして、就寝します。翌日、PCを元に戻すと、すべてがうまくいきません。

画面には、「自動車保険の有効期限が切れました。更新するには、ここをクリックしてください。」何をしても、何も機能しないようです。そしてその結果は？完全に使用できないPC。

ありがたいことに、最新のPC（2017以降を考えてください）には、すぐに使用できるUEFIが付属しています。つまり、デフォルトでセキュアブートが有効になっています。

ここで、先ほど説明したのと同じシナリオを再実行して、PCでセキュアブートが有効になっている場合に何が起こるかを見てみましょう。

翌朝電源ボタンを押して、悪意のあるコードブロックを無意識のうちに実行に移すと、セキュアブートはブートプロセスを完全に制御し、ブートキューにキューイングされたすべてのアプリケーション、ドライバー、およびブートローダーを徹底的にチェックします。

有効なプラットフォームキーがないと、ブートキューに有害なコードブロックが存在することが判明したため、その実行が完全に拒否されました。

わーい！不要なポップアップはもうありません！

全体として、Secure Bootは、BIOSよりも強力で高度な機能をいくつか提供しながら、オペレーティングシステムのセキュリティを強化するという素晴らしい仕事をします。

ただし、セキュアブートにはいくつかの欠点があります。一部のアプリケーション、Linuxディストリビューションでさえ、セキュアブートを無効にする必要があります。

セキュアブートを有効にするにはどうすればよいですか？

セキュアブートの有効化は、かなり簡単なプロセスです。私たちの素晴らしい作家の一人は、以下のリンクですでにプロセスを非常に詳細に調べています。ぜひチェックしてみてください。

• Windows11のBIOSでブートを保護する方法

一部のシステムでは、CSMを無効にして、UEFI画面の非表示のセキュアブートオプションのロックを解除する必要があります。PCが最近購入したものである場合、たとえば2017年以降の場合は、セキュアブートを有効にできるはずです。できない場合は、PCのマザーボードのモデル番号を共有してください。下のコメントボックスで私たちと一緒に。

それで全部です。

MicrosoftInsiderプログラムを使用せずにWindows11を自分でインストールする方法：

• ステップ1：Windows 11 InsiderISOをダウンロードする
• ステップ2：ISOを使用して起動可能なWindows 11USBペンドライブを作成する
• ステップ3：  USBからWindows11をインストールする
• 参照：Windows11とWindows10をデュアルブートする方法