¿Qué se entiende por gestor de arranque bloqueado?

El gestor de arranque no está generalmente en la /boot de la partición, en un aparte de uno, aunque eso no es realmente el quid de la cuestión.

El problema se produce cuando el gestor de arranque es criptográficamente firmados, que está diseñada para evitar que la sustitución con tus propios. El dispositivo de verificación de la firma del gestor de arranque en el inicio y se niegan a arrancar uno con una firma no válida. Después de eso, el gestor de arranque comprueba la firma de lo que es en /boot, negarse a arrancar que si no firmado válidamente. Por lo tanto, no se puede sobrescribir cualquiera de partición sin hacer que el dispositivo se reinicie.

Cuando un bootloader desbloqueado, no se comprueba la firma de las otras imágenes de partición, que es la razón por la que son capaces de instalar ROMs personalizadas. Esto significa que usted no necesita para reemplazar el gestor de arranque con el fin de modificar /boot, solo necesitas desbloquearlo para que se omite la comprobación de la firma en /boot. Si el bootloader está bloqueado y firmado, entonces usted está atascado esencialmente, salvo un exploit que permite omitir uno de la firma de verificación de los pasos.

Esto también significa que los bootloaders bloqueados, en y de sí mismos, no son necesariamente un problema. El problema real es firmado gestores de arranque que no proporcionan un mecanismo de desbloqueo.

El proceso es (más o menos) otros análogos para el arranque Seguro UEFI, aunque probablemente no sea exactamente la misma arquitectura de implementación. Por cierto, va con su ejemplo de Linux, una de las principales críticas de arranque Seguro UEFI es que podría ser utilizado para impedir la instalación de alternativas de sistemas operativos en los Ordenadores tradicionales a través de la misma firma de cheques esquema.