Perché mi è stato chiesto di creare una password per disabilitare l'avvio sicuro all'installazione iniziale di Ubuntu 16.04?

Al momento dell'installazione iniziale di Ubuntu 16.04, ho spuntato "Installa software di terze parti" e, sotto di esso, mi è stato chiesto di spuntare un'altra opzione che consentirebbe al pacchetto del sistema operativo di disabilitare automaticamente l'avvio protetto da solo, un prerequisito del quale era la creazione di una password che in qualche modo consentirebbe che si verifichi l'intero processo.

Dopo aver continuato con l'installazione, non mi è mai stata data alcuna indicazione che si fosse verificata questa disabilitazione dell'avvio protetto, né mi è stato mai richiesto di inserire la password che avevo creato.

Dopo una corretta installazione del sistema operativo, ho riavviato il mio computer e verificato il BIOS. Nel BIOS, l'avvio sicuro era ancora abilitato. Tuttavia, tornando a Ubuntu, sono in grado di riprodurre senza problemi file MP3 e Flash, che presumo indicano che l'installazione di software di terze parti ha avuto successo.

Non ho ancora riscontrato alcun problema (a parte il fatto che l'interfaccia utente è stata un po 'schizzinosa e buggy a volte), ma vorrei sapere cosa sulla Terra ho effettivamente realizzato creando quella password.

Che cosa è successo alla password che ho creato? Dovrò ricordarlo per qualsiasi motivo? Non è uguale alla mia password di accesso / sudo.

Ubuntu ha modificato in modo permanente il mio BIOS per fare un'eccezione? In tal caso, come posso visualizzare queste modifiche e potenzialmente annullarle? È qui che entra la password?

Perché Ubuntu deve disabilitare / bypassare l'avvio sicuro per installare comunque il pacchetto ubuntu-limited-extras? La mia installazione è a posto? Mi sono preparato per problemi futuri? Dovrei provare a reinstallare con l'avvio sicuro disabilitato manualmente per non ricevere prima quel prompt?

Ulteriori informazioni: sto eseguendo un sistema UEFI e sto eseguendo il doppio avvio di Ubuntu 16.04 insieme a Windows 10.

Un altro utente ha posto una domanda su un problema simile qui. A differenza di questo utente, non ricevo un avviso sull'avvio in modalità non sicura, ma vorrei anche sapere se Ubuntu ha creato un'eccezione per sé e come posso gestire tali eccezioni. Diversamente da me, questo utente non ha menzionato nulla sulla necessità di creare una password.

UEFI Secure Boot protegge il boot loader da eventuali manomissioni utilizzando una combinazione di chiavi CA e firme nei file di avvio. Microsoft, ad esempio, ha firmato boot loader per i quali sono già presenti chiavi CA nel firmware UEFI della maggior parte dei PC.

Questo protegge solo il nucleo iniziale del caricatore e niente dopo. Ad esempio initrd (initramfs) non è protetto, né altro dopo (GRUB, kernel, moduli, driver, qualsiasi cosa nello spazio utente, ecc.).

Il software di terze parti installato potrebbe aver incluso alcuni codici PCI o RAID di basso livello richiesti per il boot loader, motivo per cui è necessario creare una password, che creerà una chiave nello spazio del firmware UEFI. Dopo le modifiche, se il sistema nota qualcosa di diverso al momento dell'avvio, il BIOS si fermerà al POST e chiederà la stessa password inserita durante l'installazione per dimostrare che sei tu quello che ha installato il software. Questo metodo assicura che un utente fisicamente seduto al computer stia inserendo questa password come conferma poiché nessun software può essere caricato al momento POST del BIOS per falsificare questo.

Per la maggior parte dei sistemi utente, l'avvio sicuro fa ben poco per proteggerti. Non impedisce virus o malware o l'installazione di questi. Tutto ciò impedisce la manomissione del bootloader di basso livello, che di solito è comunque impedita dalla sicurezza di base dell'antivirus o del sistema operativo. Secondo me, e secondo la maggior parte della documentazione, può essere tranquillamente disabilitato.