Secure Golden Boot Key sin las claves de Microsoft

Soy un usuario de Arch Linux. Me gustaría protegerme del hackeo live-usb utilizando SecureBoot:

1. Crear mi propia Clave de plataforma y firmar el kernel con mi propia clave.
2. Eliminar las PK de Microsoft
3. Habilitar SecureBoot

Es posible como se describe aquí

Pero ahora hay claves de oro para SecureBoot disponible permitiendo que cualquier kernel firmado se ejecute con SecureBoot. Surgen dos preguntas

1. ¿Es posible verificar si mi versión de SecureBoot es vulnerable (como veo, el sistema de políticas se desarrolló cuando ya se había introducido SecureBoot)?
2. Si mi SecureBoot rechaza las PK de Microsoft, ¿sigo siendo vulnerable? Si la regla de la política está firmada, seguramente se firmará con la clave de Microsoft.