В двух словах, это писано Richard'ом Hughes (github .com/hughsie). Ни кто-нибудь, а мейнтейнер Гнома, и создатель и мейнтейр fwupd в этих вашиз Линуксах (всё что обновляет прошивки, фирмвари) и он на короткой ноге со всеми крупными и даже мелкими вендорами, чтобы они присылали оригинальные прошивы, и строго параноидально следит за сигнатурами всего этого добра.

Дак вот, при всём его знании архитектуры и проблематики, даже у него волосы пошевелились, когда он проходил интенсив у Алекса Мотросова, на тему фирмварь имплантов в UEFI, и есть примеры вредоносных прошивок так глубоко, что некоторые очень сложно обнаружить и даже вылечить.

Это значит, что в некоторых случаях вас может не спасти даже правильно самоподписнная цепочка доверия от Owner Platform Key на TPM, заканчивая модулями ядра (хотя это спасает от 99.9% руткитов). Но 99.9% олдфагов вообще Secure Boot отключают (ненужное не нужно).

Ну вот на интесиве у части группы обнаружили "закладки" на их тревелбуках. При том, что аудитория это далеко не "офисный планктон".

Именно поэтому Apple сделал свой дизайн на харварном уровне, который чекает сигнатуру всего.
И... Хромбуки тоже, у них это всё называется Google Titan (для серверов) и на лэптопах тоже CR-чип, в купе с TPM чекает не только всю цепочку загрузки, но и merckle-tree кусков всего тела операционки.

Сама она тоже затвикана жестко, каждое приложение, даже каждая вкладка браузера в своем cgroups. Отдельно допилиная ими под себя LXD-подсистема, где можно пускать ваш любимый дистр от Арча до Убунты... и о чудо, оно даже интегрируется с граф средеой через Crostini.

Чтобы переставить на Хромбук что-то своё, надо в особом режиме в бутлоад сеансе осознанно перейти на Dev-mode, но образ оригинальной ОСи и всех прошивок все равно останется в ROM, поэтому всегда можно сделать Powerwash обратно с гарантией целостности.

Больше таких потребительских машин, которые "вылечены" от хардварных проблем в UEFI - нет. Простой BIOS - это еще хуже, если что.

хром?

youtu .be/KeOtk0mMEmE

Не, тут видишь что, у Yubikey есть ключи которые работают через их сервис (впрочем эти они выводят из использования), а есть те что на базе FIDO и даже те что могут и то и другое. А вот ФИДО рулит, да.

На первый вопрос - да
На второй - биометрия и webauthn напрямую (в общем случае, т.к. в теории стандарт признает такую вещь и в перспективе может сообщать сайтам была ли проверена биометрия перед посылкой ответа на webauthn запрос) не связаны, это распространенное заблуждение. Ваши отпечатки "хранятся" у вас в ОС (Андроид, Виндоус и т.д.). В случае с платформенной (НЕ с помощью USB\NFC токенов) аутентификацией закрытый ключ тоже хранится в ОС или SecureElement где-то в железе. Вы отпечатком подтверждаете ОС что Вы - это Вы, а она ключем подписывает ответ на запрос сайта на авторизацию. Как-то так. Браузер НЕ хранит ни биометрию ни ключи.

П.С.
Вот эти все сканеры отпечатков что продают китайцы "для FIDO" они к самому FIDO прямого отношения не имеют. Есть однако НЕКОТОРЫЕ USB-токены (Feitian делает например) у которых вместо кнопочки которую надо нажимать реально сканер отпечатков, причем отпечатки хранятся в самом токене (и ключ - там же) и сверкой отпечатка занимается сам токен независимо от ОС. Если сверка не удается то "кнопочка не нажимается". Кстати, для хохмы, заливка в токен отпечатков только спец приложением для Windows, рукалицо.

В общем, нагородили...

А так, какие проблемы самому подпилить? Андроидов в виде готовых образов на виртуалке от qemu до virtualbox полно.

Плюс надо смотреть, а ХромиумОСь так же заточена на проверку целостности по всей цепочке доверия или нет.

Думаю, что автоматически нет, т.к. для установки альтернативного надо вручную перейти на dev-mode в хромбуках, что выключает integrity check.

А без этого и вообще без хромбука с их CR-чипами это все теряет смысл.

Проще тогда ClearLinux и SecureBoot настроить.

Хотя первое, pet project Intel и скатилось в 500+ незакрытых issues. Плюс они покинули поддержку десктопа вообще, у Интел сегодня эффективные менеджеры бьют в набат.