Microsoft dùng Secure Boot bảo vệ PC Windows khỏi malware, tấn công, và lỗ hổng bảo mật trước khi hệ điều hành load hoàn toàn. Mặc định, Secure Boot bật trên PC Windows để xác minh bất kỳ phần mềm nào chạy trong Unified Extensible Firmware Interface (UEFI) là đáng tin cậy và an toàn. UEFI, nói đơn giản, là firmware cơ bản khởi động để khởi tạo phần cứng PC và boot hệ điều hành. Các bảo vệ bảo mật tích hợp Windows không hoạt động cho đến khi OS boot xong, và đó là lý do Secure Boot được giao khóa chặt UEFI trước khi đó xảy ra.
Hơn một thập kỷ, Secure Boot làm đúng vậy. Công cụ bảo mật chưa bao giờ bị bypass công khai cho đến cuối 2022 — trước đó, chỉ nhà nghiên cứu tìm ra cách bypass. Mọi thứ thay đổi với exploit BlackLotus, liên quan đến UEFI bootkit với Secure Boot bypass xuất hiện bán vào tháng 10/2022. Exploit chứng minh khó vá hơn dự kiến. Thay vì "phá" Secure Boot, phương pháp bypass như BlackLotus dùng phiên bản bootloader cũ hơn, đáng tin cậy, với lỗ hổng đã biết. Vì đây là bootloader chính thống được Secure Boot tin cậy, phần mềm bảo mật không nhận ra chúng là mối đe dọa.
Bản vá bảo mật cho lỗ hổng như vậy không được đẩy đến PC Windows mặc định. Chúng yêu cầu chạy lệnh PowerShell với quyền admin, và đi kèm rủi ro vận hành nghiêm trọng. Cả hai yếu tố dẫn đến cả người dùng và doanh nghiệp không áp dụng thủ công, để hàng triệu PC Windows với Secure Boot dưới nguy cơ bị bypass.
Secure Boot không còn không thể phá vỡ
Secure Boot đã bị bypass nhiều lần
Dễ nghĩ Secure Boot không thể bypass, vì một thập kỷ nó không bị. Ngay bây giờ, kẻ xấu không thwart Secure Boot bằng cách "phá" nó, theo đúng nghĩa. Thay vào đó, họ tìm phiên bản bootloader chính thống và đã ký, nhưng chứa lỗ hổng bảo mật quan trọng. Các tấn công hạ cấp (downgrade attacks) revert Windows Boot Manager về phiên bản cũ với lỗ hổng kẻ tấn công muốn exploit. Vì hệ thống Secure Boot nhận diện phiên bản cũ nhưng dễ bị tổn thương của Windows Boot Manager là phần mềm Microsoft chính thống, nó cho phép load.
Từ đó, Secure Boot bị bypass, và kẻ tấn công có thể chạy driver không ký hoặc malware. Đây là cách BlackLotus, bypass Secure Boot nổi tiếng nhất, đe dọa hàng triệu PC Windows 10 và 11. Nó dùng lỗ hổng bảo mật gọi là "Baton Drop", theo dõi là CVE-2022-21894, để "kiểm soát endpoint từ giai đoạn sớm nhất của boot phần mềm", theo Cơ quan An ninh Quốc gia Mỹ (NSA).
Đây là cách NSA mô tả bypass Secure Boot, vẫn có thể thực hiện hôm nay, trong tài liệu 2023:
Thay vì phá chuỗi bảo mật boot Linux, BlackLotus nhắm vào boot Windows bằng cách exploit lỗ hổng trong bootloader cũ — còn gọi là boot manager — để kích hoạt chuỗi hành động độc hại xâm phạm bảo mật endpoint. Exploit Baton Drop (CVE-2022-21894) cho phép BlackLotus gỡ bỏ chính sách Secure Boot và ngăn chặn thực thi. Khác với Boot Hole, các bootloader dễ bị tổn thương chưa được thêm vào danh sách thu hồi DBX của Secure Boot. Vì bootloader dễ bị tổn thương không nằm trong DBX, kẻ tấn công có thể thay thế bootloader đã vá hoàn toàn bằng phiên bản dễ bị tổn thương để thực thi BlackLotus.
Bên cạnh thuật ngữ kỹ thuật, điều quan trọng là bootloader dễ bị tổn thương chưa được thêm vào danh sách thu hồi DBX Secure Boot. Nói cách khác, bootloader cũ với lỗ hổng nghiêm trọng này vẫn được Secure Boot tin cậy ngay hôm nay, ngay cả sau cập nhật. Danh sách thu hồi DBX Secure Boot chứa code và chứng chỉ từng được ký, nhưng giờ biết là dễ bị tổn thương.
Nó nên chặn module UEFI không đáng tin cậy load. Tuy nhiên, vì module/chứng chỉ như dùng trong exploit Baton Drop không có trong danh sách, chúng vẫn chạy — và Secure Boot vẫn có thể bị bypass.
Một lựa chọn bất khả thi cho Microsoft
Thu hồi khóa Secure Boot bị xâm phạm có thể biến PC Windows thành gạch
Chắc bạn tự hỏi tại sao Microsoft không thêm bootloader lỗi này vào DBX. Phản ứng của Microsoft đối với phương pháp bypass Secure Boot khá chậm, và bản vá tự động cho exploit như Baton Drop và BlackLotus vẫn chưa có. Sau BlackLotus xuất hiện tháng 10/2022, bản cập nhật bảo mật chính thức không đến người dùng Windows cho đến tháng 5/2023. Đó chưa phải cả câu chuyện — như Microsoft giải thích trong hướng dẫn cập nhật bảo mật 2023, Windows Boot Manager cập nhật không bật mặc định, và yêu cầu bước thủ công để kích hoạt.
Những bước đó không dễ hay thân thiện người dùng, ngay cả 2026. Các bản cập nhật bảo mật tiếp theo, như bản cho Windows Boot Manager tháng 7/2025, vẫn không tự động bật fix cho CVE-2022-21894. Như tài liệu hỗ trợ Microsoft nêu, quy trình liên quan chỉnh sửa Windows Registry, chạy lệnh PowerShell admin, thủ công thêm chứng chỉ ảnh hưởng vào Danh sách cấm UEFI Secure Boot (DBX), và áp dụng Số phiên bản bảo mật (SVN) vào firmware.
Người dùng Windows trung bình không làm điều đó — họ có thể không biết Registry là gì hay chạy PowerShell admin thế nào. Và đó là lý do Secure Boot vẫn dễ bị bypass 2026, nhiều năm sau BlackLotus nổi tiếng. Vậy tại sao Microsoft không củng cố Secure Boot bằng cập nhật tự động?
Microsoft không nói với người dùng phổ thông là việc bảo mật Secure Boot bằng cập nhật tự động có thể biến số lượng PC không xác định thành gạch và phá vỡ tương thích với vô số phụ kiện. Một số thiết bị có thể không áp dụng thành công Windows Boot Manager hoặc trở nên không hoạt động. Ngoài ra, media khôi phục hoặc backup hệ thống lưu dưới dạng CD/DVD, PXE Boot, hoặc USB sẽ không chạy sau khi cài patch nếu không cập nhật riêng media khôi phục.
Nếu vá exploit, không ảnh hưởng hầu hết người dùng, có tiềm năng biến máy thành gạch và phá vỡ tương thích media khôi phục/backup, có đáng vá không? Microsoft để quyết định đó trong tay người dùng Windows, và đó là lý do nó là quy trình thủ công. Lại nói, đó cũng là lý do Secure Boot tương đối dễ bypass, giả định điều kiện cần được đáp ứng.
Những gì bạn có thể làm để bảo vệ dữ liệu
Cập nhật BIOS thường xuyên và đặt PIN pre-boot BitLocker
Lỗ hổng Secure Boot này yêu cầu truy cập vật lý hoặc admin vào PC Windows để exploit, làm việc exploit thực tế hiếm. Mặt khác, ai có truy cập vật lý vào máy bạn có thể rollback phiên bản bootloader về phiên bản dễ bị tổn thương bởi lỗ hổng Secure Boot, rồi chạy exploit. Bên cạnh việc thủ công áp dụng bản cập nhật Windows Boot Manager rủi ro, có vài bước ai cũng làm được để bảo mật hệ thống và bảo vệ dữ liệu.
Thứ nhất, giữ phần cứng trong tay an toàn, và không cắm gì vào máy bạn không tin cậy. Cùng tiền đề áp dụng trong OS. Bạn không nên cấp quyền admin hệ thống cho bất cứ ai/cái gì không cần. Để phòng ngừa, bật BitLocker với PIN để khóa dữ liệu ngay cả khi Secure Boot bị bypass. Thêm vào đó, bạn có thể thiết lập thiết bị như secured-core PC để bảo mật kernel Windows nếu bootloader bị xâm phạm, nhưng cần thành phần phù hợp như chip TPM 2.0 và CPU hỗ trợ.
Tóm lại, Secure Boot dễ bypass vì kẻ tấn công không "phá" nó — họ dùng chứng chỉ bootloader chính thống, đáng tin cậy, có lỗ hổng bảo mật có thể exploit. Vì thu hồi chứng chỉ đó rủi ro, chúng vẫn được tin cậy, và Secure Boot vẫn có thể bị bypass.