Když GRUB spouští Windows (resp. v EFI je to Windows Boot Manager on /dev/nm....), tak si Windows můžou nanejvýš zjistit, jestli je Secure Boot zapnutý. Ten, kdo kontroluje podepsaný kód při bootu, je EFI - a to jen to jediné, co spouští, tj. samotný zavaděč.
Potíž je, že GRUB podepsaný není (resp. ne správným klíčem), tak se při Secure Boot zavede podepsaný ocásek (shim), který teprve zavede GRUB a ten pak případně zavede ten Windows Boot Manager.
Zjistil jsem, že na svém Elitebooku jsem měl nastaveno "EFI enabled, Secure Boot disabled", asi od pouštění něčeho z flešky. Přepnul jsem to pro jistotu na "EFI enabled, Secure Boot enabled" abych někoho nemystifikoval a nic se nezměnilo, tj. po zapnutí se ozve GRUB s výběrem Ubuntu a Windows (a mám nastaveno, že si pamatuje poslední volbu).
Instalaci jsem dělal úplně normálně: uvolnit kus disku, boot fleška Ubuntu, instalovat... Jestli ten shim použijí i jiné distribuce, to nevím. Používám ještě System Rescue CD a ten teda (zatím?) ne, tam je potřeba Secure Boot vypnout.
26. 6. 2021, 06:23 editováno autorem komentáře
> Ano, GRUB umí spustit Windows.
Otázkou je, prečo by to robil? UEFI má vlastný boot manager, ktorý umožní vybrať medzi všetkými boot položkami, resp. v prípade potreby aj nabrowsovať efi binárku. Stačí si v menu vybrať medzi ntldr pre Windows alebo grub/systemd-boot/whatever pre Linux. Všetky bootloadery môžu mať aj spoločnú ESP.