Ich glaube defacto hält MS die Infrastruktur in der Hand und andere Entwickler haben die Zertifikate nicht vorab, sondern müssen die erst nach dem MS Update wieder aus dem UEFI laden und dann bei Linux, Grub usw. einpflegen. Dadurch gibt es ein Zeitfenster, wo ein Windows Update eine parallele Linux Installation unbrauchbar machen kann und eine Reparatur mit deaktiviertem Secure Boot oder 'nem zweiten Rettungssystem vom USB Stick oder so nötig wird.