@orz@bgme.me
UEFI secure boot 只验证第一步的 bootloader ，要是 bootloader 有意的话可以完全不验证下一步执行的 OS/Kernel/secondary bootloader 的签名（ shim 里就有这个功能），这样的话，即使平台固件开启了 secure boot ，实际上它是无法起到任何作用的。

大多数出厂自带的安卓系统上，整个操作系统分区（ /system ）都是会在启动时被 AVB 验证一遍的，但大多数第三方安卓系统没有。苹果 iPhone 估计也差不多。


不过，想来，这个和厂商对平台的控制力也是有关的。如果一个平台只被预期（expected）执行一种 OS ，那厂商可以以可自定义性为代价把系统锁得很死，然后如果厂商的系统安全做得好的话，确实可以做到更高的安全性。换到默认就需要可以启动任何操作系统的 x86 兼容机上，就很艰难了， UEFI 搞了个 secure boot 就被换着法子嘲了很久 （当然厂商锁死只接受微软的证书，或者不允许关闭 secure boot 也同样该死），之后的 intel boot guard 也是。