> Можно снять крышку, вытащить диск, переписать на нём загрузчик и поставить обратно.

Можно получить рута на компе, прописать хлам в загрузочный раздел/сектор и ... даже диск вынимать не надо.

> Secure Boot в таких случаях защитит пользователя, так как откажется грузиться в
> скомпрометированную систему.

Но это в основном теоретически, практически мс зассал кашпировский буткит используемый хакерами зарубать потому что это и легитимным юзерам системы кирпичило заодно.

> Vendor-lock это хорошо, если каждый без особых усилий может стать vendor'ом — выпускать свои
> подписанные загрузчики и ядра. А спецификация Secure Boot требует наличия возможности
> загрузить пользовательские ключи, против которых проверяется загрузчик ОС.

А теперь коронный номер - попробуйте сменить гранд-мастер-ключ, которым блобы ME подписаны. А, не получается? Ну вот то-то - сразу и видно, кто настоящий вендор, а кто так, покурить вышел. И в этой схеме настоящий вендор вас конечно же этсамое, по иерархии.