Cosa mi fa ottenere un'immagine del kernel Linux firmata?

Con la tua partizione di avvio non crittografata, il malware potrebbe teoricamente sostituire il tuo kernel non firmato con il suo (per esempio, un hypervisor che esegue il tuo kernel originale). Questo malware non sarebbe rilevabile dal tuo sistema, pur avendo pieno accesso ad esso.

Un kernel firmato chiude questo buco, almeno in teoria: poiché non è possibile firmare l'hypervisor del malware, un BIOS EFI che richiede un sistema operativo firmato rifiuterà di caricarlo.

Il problema è che mentre un autore di malware casuale non è probabile che abbia una chiave di firma riconosciuta dal BIOS, è un attore di livello statale e c'è una buona possibilità che un autore che lavora per il crimine organizzato lo farà.