BIOS ve UEFI Nedir? Aralarındaki Fark Nedir?

Bilgisayarın açılış tuşuna basıldığında işletim sistemi henüz yüklü değildir. Ekranda üretici logosu görünürken çalışan şey, anakart üzerindeki yongada duran donanım yazılımıdır: donanımı tanır, sınar, belleği hazırlar ve sonunda diskteki işletim sistemi yükleyicisine kontrolü devreder. Bu yazılımın eski adı BIOS, bugünkü standardı UEFI'dir.

BIOS: 1981'den kalan yöntem

BIOS'un kökeni, 12 Ağustos 1981'de New York'ta tanıtılan IBM Personal Computer'dır; 5 MHz'e kadar çalışan Intel 8088 işlemcili ve 1 MB belleğe erişebilen bu makinenin ROM başlatma kodu, sonradan başka firmalar tarafından tersine mühendislikle çözülerek uyumlu bilgisayarların temeli olmuştur.^[1]

Eski BIOS hizmetleri 16 bit kipte, yazılım kesmeleriyle çağrılır; disk hizmetleri INT 13h üzerinden verilir. Açılışta diskin ilk sektörü 0x7C00 adresine yüklenir ve kontrol bu koda devredilir.^[2]

UEFI belirtimi bu yapıyı tanımlar ve sınırlarını da gösterir: eski MBR, LBA 0'da durur ve 512 bayttır; 440. bayta disk imzası, 446. bayttan itibaren dört adet 16 baytlık bölüm kaydı yazılır ve 510. bayttaki imza 0xAA55 olmak zorundadır.^[3] Aynı belirtim, eski MBR başlatma kodunun "UEFI sistemlerinde çalıştırılmaması gerektiğini" açıkça söyler.^[3]

MBR'nin tanınmış 2 TB sınırı bir yazılım tercihinin değil aritmetiğin sonucudur: bölüm boyutu alanı 4 bayt, sektör boyutu 512 bayt olduğu için en büyük değer 4.294.967.295 × 512 = 2.199.023.255.040 bayttır.^[4] MBR ayrıca yalnızca dört bölüm kaydı taşır; fazlası için uzatılmış bölüm gerekir.^[5]

UEFI: ayrı bir standart

UEFI, BIOS'un yeni sürümü değil, kendi belirtimi olan ayrı bir standarttır ve UEFI Forum tarafından sürdürülür. Kuruluşun sayfasında güncel sürümler şöyle listelenir: UEFI 2.11 (Aralık 2024), Platform Initialization 1.10 (Temmuz 2026), ACPI 6.6 (Mayıs 2025) ve UEFI Shell 2.2.^[6][7]

UEFI'nin getirdikleri:

• GPT bölümlendirme: LBA 0'da koruyucu bir MBR, LBA 1'de "EFI PART" imzalı birincil GPT başlığı ve diskin son sektöründe yedek başlık bulunur. Bölüm girdisi dizisi için en az 16.384 bayt ayrılmak zorundadır ve her girdi 128 bayttır; bilinen "128 bölüm" sayısı buradan gelir.^[3] Teorik olarak disk 2⁶⁴ mantıksal bloğa kadar çıkabilir; 128 bölüm sınırı Windows'un uygulama sınırıdır, belirtimin değil.^[5]
• EFI sistem bölümü (ESP): Yazılım FAT32, FAT16 ve FAT12 desteklemek zorundadır; sistem bölümü FAT32 kullanır, çıkarılabilir ortamlarda FAT12/FAT16 kullanılır.^[8] ESP'nin tür GUID'i C12A7328-F81F-11D2-BA4B-00A0C93EC93B'dir.^[3]
• Başlatma yöneticisi: Belirtim bunu "bir donanım yazılımı politika motoru" olarak tanımlar. Yapılandırma NVRAM değişkenlerindedir: Boot#### girdileri, BootOrder dizisi ve bir sonraki açılışı belirleyen BootNext (döngüyü önlemek için kontrol devredilmeden silinir). Görüntü başlatılmadan önce bekçi zamanlayıcı beş dakikaya ayarlanır.^[9] Dosya adı belirtilmemişse yazılım \EFI\BOOT\BOOTx64.EFI yolunu dener.^[9]
• Donanım yazılımı güncellemesi: UpdateCapsule() çağrısıyla yapılır; ilgili bayrak ayarlanmışsa güncelleme sistem yeniden başlatıldıktan sonra işlenir, aksi hâlde hemen uygulanır.^[10]

Secure Boot: ne yapar, ne yapmaz

Secure Boot, başlatma zincirindeki her yazılım parçasının imzasını doğrular. Dört anahtar deposu vardır: PK (platform anahtarı, sistemde bir tanedir ve KEK/db/dbx değişikliklerini imzalar ama açılış dosyalarını imzalayamaz), KEK (db ve dbx'i güncelleyen anahtar), db (izin listesi) ve dbx (yasak listesi). Bir özet hem db hem dbx'te varsa dbx kazanır; dbx önce denetlenir.^[11][12]

Microsoft'un üretici şartları somuttur: SecureBoot=1 ve SetupMode=0 değişkenleri, tanımlı bir PK ve geçerli bir KEK veritabanı, en az RSA-2048/SHA-256 ile imzalanmış bileşenler, Windows başlatma yöneticisine kadar her görüntünün imza doğrulaması ve donanım yazılımının eski sürüme geri alınmasının engellenmesi.^[12]

"Secure Boot Linux'u engeller" yanılgısı da yaygındır. Bir ulusal güvenlik kurumunun kılavuzu, yaygın dağıtımların imzalı bir ara yükleyici (shim) ile standart kipte açıldığını, yöneticilerin uyumluluk için Secure Boot'u kapatmak yerine özelleştirmesi gerektiğini belirtir; kullanıcılar kendi anahtarlarını da ekleyebilir.^[11]

TPM 2.0 ve Windows 11

Windows 11'in asgari şartları arasında "sistem donanım yazılımı: UEFI, Secure Boot destekli" ve "TPM sürüm 2.0" yazılıdır; ayrıca 1 GHz ve iki çekirdekli 64 bit işlemci, 4 GB bellek, 64 GB disk alanı ve DirectX 12 uyumlu grafik istenir.^[14] Microsoft, TPM 2.0'ın "donanım tabanlı güven kökü" sağlamak için gerektiğini ve TPM 2.0'ın UEFI donanım yazılımına ihtiyaç duyduğunu, eski BIOS'lu bir cihazda beklendiği gibi çalışmayacağını belirtir.^[15][16]

Donanım yazılımı güvenliği için ayrı bir kılavuz da vardır: NIST'in SP 800-147 belgesi (Nisan 2011), BIOS güncellemelerinin kimlik doğrulamalı bir mekanizmadan geçmesini, görüntülerin imzalanmasını, güven kökünün geçersiz kılınamayacak bir düzenekle korunmasını ve eski sürüme dönüşün engellenmesini şart koşar.^[17]

Bilgisayarım hangi kipte çalışıyor?

Windows'ta Sistem Bilgisi (msinfo32) ekranındaki "BIOS Kipi" satırı UEFI ya da Eski (Legacy) değerini gösterir; disk yönetiminde diskin GPT mi MBR mi olduğu görülebilir. Microsoft, UEFI kipi ile eski BIOS kipi arasındaki geçişi ayrı bir belgede anlatır.^[18] Windows, UEFI açılışını GPT disk üzerinde ister ve MBR üzerinden UEFI açılışı yapmaz.^[5]

Son bir pratik not: CMOS pilini çıkarmak ya da sıfırlamak donanım yazılımını sıfırlamaz. Secure Boot veritabanları ve açılış girdileri, saat devresinin beslediği belleğe değil, yazılımın kalıcı NVRAM alanına yazılıdır; belirtim bu alanın işletim sisteminden yalıtılmasını ve değişikliklerin fark edilmesini gerektirir.^[12][9]

İlgili içerikler

• Anakart Nedir? Nasıl Çalışır? Ne İşe Yarar?
• İşletim Sistemi Nedir? Nasıl Çalışır? Ne İşe Yarar?
• SSD Nedir? Nasıl Çalışır? HDD ile Farkları