> При включенном - вам понадобится сперва взломать подписанное ядро

Какое ещё подписанное ядро без Trusted Boot? И какое это имеет значение, если руткит и так хозяйничает в Ring 0? Надеюсь, исполняемые bash-скрипты в /home у тебя тоже с цифровыми подписями?

> но, может быть, можно как-то докопаться до кода проверки через uefi-api и добиться ошибки раньше, чем он обломается о неправильный режим модуля

А пруфы будут или только п***еж? Вот выдержка из спецификации:

The I/O component... manages information flow over the communications bus... The I/O component enforces access policies associated with the Opt-In component as well as other TPM functions requiring access control.

Т.е. opt-in должен проверяться до передачи контроля кривому коду проверки сертификатов, ещё на этапе вызова TPM2_Startup(). Самому интересно, так ли это, но к сожалению изобретательные исследователи из гугла не предоставили ссылок на те самые "исходники спецификации", откуда по их утверждениям тырился код TPM. Да и вряд ли в референсной реализации есть проверка opt-in (она в спецификации вообще практически не упоминается).