UEFI или BIOS: чем различаются прошивки и как это влияет на безопасность

Прошивка материнской платы запускается первой: проверяет оборудование, инициализирует устройства и передаёт управление загрузчику операционной системы. BIOS — старый вариант такой прошивки, существовавший десятилетиями. UEFI пришёл ему на смену и отличается более гибкой архитектурой, графическим интерфейсом и расширенными возможностями.

Сегодня почти все компьютеры используют UEFI, а слово BIOS часто остаётся в разговорной речи как общее название. Часть плат поддерживает режим совместимости, эмулирующий старое поведение.

BIOS загружается с диска с таблицей разделов MBR, которая ограничивает размер диска и число основных разделов. UEFI работает с таблицей GPT, поддерживающей диски большого объёма и большее количество разделов, и использует отдельный системный раздел с загрузчиками.

Отсюда важное практическое следствие: при установке системы в режиме UEFI диск обычно размечается по GPT, а в старом режиме — по MBR. Смена режима после установки без переразметки может привести к неработающей загрузке, поэтому её выполняют осторожно.

Ключевая функция UEFI для безопасности — Secure Boot. Она проверяет цифровые подписи загрузчика и драйверов и не позволяет запускать неподписанный код на раннем этапе. Это затрудняет внедрение вредоносных программ в процесс загрузки, так называемых буткитов.

В старом BIOS такой встроенной проверки нет. Но и Secure Boot не универсальна: она защищает цепочку загрузки, но не операционную систему целиком и зависит от корректной настройки ключей. Некоторые дистрибутивы и самодельные загрузчики требуют дополнительных шагов или отключения функции.

UEFI предоставляет более быстрый запуск, поддержку мыши и понятный интерфейс, возможность обновлять прошивку из системы и загружаться по сети. Но более сложная прошивка также имеет больше кода и потенциальных уязвимостей, поэтому обновления от производителя важны.

BIOS проще, но не поддерживает крупные диски в режиме загрузки и не предлагает современных механизмов защиты. Для устаревшего оборудования и старых операционных систем он остаётся единственным вариантом.

Если у вас современный компьютер и система, поддерживающая UEFI, используйте его в режиме с включённым Secure Boot. Это защитит загрузку и позволит работать с большими дисками без ограничений.

Режим совместимости с BIOS оставляйте для старых систем и специфического оборудования. Перед изменением настроек прошивки запишите текущие параметры, убедитесь, что есть резервная копия данных, и установите пароль на доступ к настройкам, чтобы посторонний не отключил защиту.

Зайти в настройки можно при включении компьютера специальной клавишей, которая зависит от производителя. Первым делом стоит посмотреть, в каком режиме загружается система: UEFI или режим совместимости. Если вы используете современную операционную систему, режим совместимости обычно не нужен.

Затем убедитесь, что включена защита Secure Boot и что в списке ключей нет неожиданных записей. Если вы используете шифрование диска с привязкой к модулю TPM, проверьте, что модуль включён: без него часть защитных функций не работает.

Обязательно установите пароль администратора на вход в настройки. Без него любой, кто получил физический доступ к устройству, может отключить защиту загрузки или загрузиться с постороннего носителя. Ограничьте порядок загрузки, оставив основной диск первым, и отключите загрузку по сети, если она вам не нужна. Наконец, проверьте наличие обновления прошивки на странице производителя: обновления исправляют уязвимости и повышают стабильность, но процедуру обновления нужно выполнять от стабильного питания и строго по инструкции, потому что прерванная запись может вывести плату из строя.

Наконец, о совместимости с оборудованием. Некоторые старые видеокарты и контроллеры не полностью работают в режиме UEFI, а часть современных систем уже не поддерживает старый режим загрузки вовсе. Поэтому при обновлении компьютера проверьте, поддерживает ли ваша конфигурация выбранный режим, и заранее подготовьте установочный носитель, записанный в подходящем формате: образ для UEFI и образ для режима совместимости создаются по-разному.