Secure Boot — ما هو وكيف يعمل في الأنظمة والهواتف
"التشغيل الآمن" آلية تمنع تحميل أي برمجيات غير موثوقة أثناء الإقلاع، عبر سلسلة ثقة تعتمد التوقيعات الرقمية بدءًا من BootROM حتى نواة النظام.
مقدمة مبسطة
Secure Boot (التشغيل الآمن) نظام حماية مُدمج في الهواتف والحواسيب يضمن تحميل مكونات موثوقة وموقعة رقمياً فقط أثناء بدء التشغيل، ما يوقف البرمجيات الخبيثة (Bootkits) من السيطرة قبل النظام.
! تنبيه قانوني ومهني
هذا المحتوى تعليمي. أي عمليات تفليش/تجاوز حماية تُجرى على مسؤولية المستخدم وقد تكون مخالفة في بلدك. فتح البوتلودر أو استخدام أدوات غير رسمية قد يؤدي إلى فقدان الضمان/البيانات أو تعطل دائم.
المفاهيم الأساسية
- Root of Trust (جذر الثقة): أول كود يُنفّذ من ذاكرة لا تُعدّل (ROM) ويُعد مرجع الثقة الدائم.
- التوقيع الرقمي: المُصنّع يوقّع المكونات بمفتاح خاص؛ الجهاز يتحقق بمفتاح عام مخزّن لديه.
- Chain of Trust (سلسلة الثقة): كل طبقة تتحقق من توقيع الطبقة التالية (BootROM → Bootloader → Kernel → النظام).
كيف يعمل Secure Boot؟
| المرحلة | ما يحدث | أمثلة |
|---|---|---|
| BootROM / Firmware | أول كود يُشغَّل؛ يتحقق من توقيع محمّل الإقلاع. | UEFI/BIOS في الحواسيب؛ BootROM في الهواتف. |
| Bootloader | التحقق من التوقيع ثم تحميل النواة/المرحلة التالية. | Windows Boot Manager؛ aboot/LK في أندرويد. |
| Kernel | يفحص سلامة النظام ووحدات التشغيل قبل المتابعة. | Linux/Android Kernel مع سياسات توقيع وحدات. |
| Verified/Measured | التحقق من أقسام النظام (AVB) أو قياسها (TPM). | AVB 2.0 و dm-verity؛ Measured Boot مع TPM. |
مقارنة سريعة
| الميزة | Secure Boot | Verified Boot | Measured Boot |
|---|---|---|---|
| الغرض | منع الإقلاع غير الموقّع | التحقق من أقسام النظام كلها | تسجيل البصمات للمقارنة |
| التطبيق | UEFI/BootROM | Android AVB 2.0 + dm-verity | TPM/TrustZone قياسات |
| الإنفاذ | صارم | صارم + حماية رجوع | غير صارم (قياس فقط) |
الحواسيب vs الهواتف
UEFI Secure Boot على الحواسيب
- مفاتيح PK/KEK/db/dbx لإدارة الثقة.
- التحقق من Bootloader (مثل Windows Boot Manager أو shim للينكس).
- إمكانية تعطيل الميزة أو إدراج مفاتيحك (لأغراض متقدمة).
على الهواتف (أندرويد)
- السلسلة: BootROM → Preloader/SBL → ABL/LK → Kernel → AVB.
- AVB 2.0 وRollback Protection تمنع الرجوع لإصدارات ضعيفة.
- حالة البوتلودر: Locked / Unlocked مع آثار على الأمان والبيانات.
مكوّن موقّع
تحقّق التوقيع
ملاحظات خاصة بـ MediaTek (MTK)
في الأجيال الحديثة المعروفة مجتمعيًا بـ MTK v6 / MTK2.0، تفرض الشرائح طبقات مصادقة إضافية مثل SLA/DAA؛ حتى Download Agent يجب أن يكون موقَّعًا، لذا قد تتطلب الصيانة تفويضًا رسميًا (Authorized Account) أو أدوات خدمة معتمدة.
لماذا هذا مهم؟
مكافحة Bootkits
منع التلاعب قبل النظام
سلامة التحديثات
تكامل عبر سلسلة الثقة
حماية البيانات
التمهيد الموثوق + التشفير
ماذا يحدث عند فتح البوتلودر؟
- الانتقال من فرض الثقة إلى ثقة المستخدم: السماح بصور غير موقَّعة.
- مسح بيانات، تحذيرات إقلاع، احتمال تعطل ميزات دفع/DRM أو فشل OTA.
أسئلة شائعة
هل يمنع Secure Boot الروت نهائيًا؟
لا. لكنه يمنعه عندما يكون البوتلودر مقفلاً. الروت ممكن بعد فتح البوتلودر مع تبعات على الأمان والضمان.
ما الفرق عن Verified Boot؟
Secure Boot يمنع تحميل مكونات غير موقعة في مراحل الإقلاع المبكرة؛ Verified Boot يوسّع التحقق إلى أقسام النظام كلها ويطبّق حماية الرجوع (Rollback Protection).
لماذا بعض الأدوات تعمل ثم تتوقف؟
لأن كل مرحلة تتحقق من التالية؛ قد تجتاز خطوة وتُرفض في التالية. كما أن سياسات مثل SLA/DAA تمنع الوصول غير المصرّح.
