安全启动和引导加载程序
系统的启动过程包括几个阶段，从激活 CPU 作为启动处理器开始，与 PCH 通信以启动系统。CPU 跳转到存储在主 SPI 闪存中的 BIOS 例程。在主闪存故障的情况下，引导FPGA切换到辅助闪存进行恢复，但不会加载引导加载程序。
引导加载程序在系统的启动过程中起着关键作用，确保作系统的安全有序执行。安全启动、USB、SSD 和 PXE 启动等启动顺序和机制为系统的启动过程提供了灵活性和弹性。此外，GRUB 配置允许用户根据需要自定义引导过程并进行故障排除
安全启动是基于 UEFI 标准（请参阅 www.uefi.org）的一项重要系统安全增强功能。它的工作原理是保护 BIOS 本身免遭篡改或修改，然后在整个启动过程中保持这种保护。
安全启动过程从安全闪存开始，确保不会对固件进行未经授权的更改。Junos OS 的授权版本带有由瞻博网络直接或其授权合作伙伴生成的数字签名。在启动过程的每个点上，每个组件都会通过检查签名来验证下一个链接是否正常，以确保二进制文件未被修改。除非签名正确，否则启动过程无法继续。这种“信任链”一直持续到作系统控制为止。通过这种方式，整体系统安全性得到增强，增加了对某些基于固件的持续性威胁的抵抗力。
图 1 显示了此“信任链”的简化版本。
安全启动不需要您执行任何作即可实施。默认情况下，它在支持的硬件上实现。
SRX 设备的安全启动是一种重要的安全机制，旨在保护瞻博网络硬件并阻止执行未经授权的代码或数据。未授权实体是指缺少瞻博网络或其授权附属公司正确数字签名的实体。
以下是安全启动专门针对 SRX1600、SRX2300、SRX4300 和 SRX4700 设备运行方式的简要说明：
上电顺序： 通电后，CPU 使用 UEFI BIOS 启动执行。
启动加载程序： UEFI BIOS 加载已签名的 PE/COFF32+ 可执行文件 \EFI\BOOT\BOOTX64。EFI。此可执行文件包含修改过的 GRUB2，它只允许对具有适当分离签名的文件进行文件读取 I/O。
分离的签名： GRUB2 分离签名存储为 ${object}.psig，使用二进制（非装甲）OpenPGP 格式。
GPG 密钥存储： 其他 GPG 密钥与编译到 GRUB2 中的可信 GPG 公钥一起，可以存储在 \EFI\BOOT\grub-trusted.gpg 中。
信托建立： 通过使用 \EFI\BOOT\BOOTX64 中嵌入的 grub-root 密钥验证 \EFI\BOOT\grub-trusted.gpg.psig 来建立对 \EFI\BOOT\grub-trusted.gpg 的信任。EFI。
GRUB2 配置： 位于 \EFI\BOOT\grub-startup.cfg 中的 GRUB2 启动配置负责加载已签名的 Linux 内核和已签名的 initrd 映像（可选）。
文件加载限制： BOOTX64。EFI 始终坚持使用正确签名的文件，并避免加载任何未签名的文件，不包括 GRUB 配置或 GRUB 环境文件。
安装和激活
要为 SRX2300 设备启用安全启动，请导航到 BIOS 菜单，然后在“管理安全启动”菜单下选择“将安全启动恢复为出厂设置”。
注意：
启用安全启动后，无法将其禁用。
有关哪些 Junos OS 版本和硬件支持安全启动的信息，请参阅 功能浏览器 并输入 Secure Boot。