Molti fornitori UEFI offrono password di avvio e di amministrazione per un computer locale.
Per un normale avvio o ripristino a freddo, vorrei che il sistema UEFI selezionasse semplicemente il bootloader correttamente firmato e procedesse.
Avere una password amministratore "ben nota" per entrare nell'UEFI è qualcosa con cui preferirei NON andare avanti.
Tuttavia, nel caso ideale se qualcuno ottiene il controllo fisico di un dispositivo (e ha utilizzato il social engineering per ottenere la password "ben nota" per l'accesso dell'amministratore UEFI), preferirei rendere più difficile il riutilizzo delle apparecchiature . Sarebbe complicato dal punto di vista computazionale (ma non teoricamente impossibile :-() per un sistema compromesso essere utile per acquisire dati memorizzati sul sistema (unità crittografate). Ma è possibile che avere la password dell'amministratore UEFI consenta a un "impostore" di caricare un bootloader appena sottoposto a provisioning e firmato.
Un'idea è usare qualcosa come RSA SecureID o far sputare l'UEFI da un codice temporale che deve essere verificato con un altro server.
Ho visto solo offerte di fornitori UEFI che hanno essenzialmente una password 'in chiaro' per l'accesso al firmware IF sulla macchina. Qualcuno ha incontrato un fornitore di firmware UEFI che è andato oltre il normale "inserire la password?"