Личинка, проверяют изображение Linux?

У меня есть система EFI с моими собственными ключами и Каноническими ключами в дб. Сегодня я понимаю, что система EFI или личинка позволяют выполнять неподписанное ядро. Это хорошо? У меня есть a vmlinuz-4.8.0-27-lowlatency.efi.signed который подписывается Каноническим и vmlinuz-4.8.0-28-lowlatency который не подписан. Оба работают. Но как? Защищенная загрузка, должна быть загрузка повреждения неподписанное ядро?