阅读:Boot Guard 与 Coreboot

Coreboot 作为得到 FSF 青睐的开源 BIOS 方案,已经随着 Chromebook 的发布成长了不少。不过若是您想要在新近购买、搭载 Intel Broadwell 处理器上的~~壕~~笔记本使用 Coreboot 的话,死了这条心吧……

由于各方面的限制,在市场上找到一块兼容主流 CPU 且被 Coreboot 支持的桌面级主板相当困难,支持的笔记本则更少了。而这个问题很可能会随着 Broadwell 处理器的铺开变得更加严峻。

近日PCWorld发布了一篇文章,简单介绍了 Intel 在 Broadwell 处理器上引入的名为 Boot Guard 的技术。

简单来说,该技术允许 OEM 厂商将使用非对称密钥签名的公钥部分烧入 CPU,这样意味着未经厂商签名的 BIOS 固件将会被 CPU 拒绝执行。

根据 Intel 方面的表示,这些技术主要是为了避免黑客通过修改固件的方式,绕过 UEFI 固件中 Secure Boot 的安全保护。不过从技术上来讲,Boot Guard 提供了两种模式:

  • Verified Boot 模式下会验证固件签名,且将完全拒绝未通过验证固件的运行
  • Measured Boot 模式下将启动过程的信息记录到 TPM(可信任平台模组) 中,交由操作系统去做后续进一步处理。

和 Secure Boot 模式状态可以由用户翻遍 UEFI 后再禁掉不同,Boot Guard 的模式是由 OEM 在出厂前决定的。而几乎所有的笔记本厂商在搭载 Broadwell 笔记本出厂前都将 Boot Guard 设为了第一种模式,在带来安全性的一定提升,与 Coreboot 等第三方固件永别了。

当年对 Secure Boot 开炮且实现 Linux 支持的 Matthew Garrett 在自己的博客上再次开轰,认为 Intel 引入的 Boot Guard 技术在某种程度上可以说是逼迫厂商在安全与自由之间做抉择,结果是消费者的选择自由以“大多数的安全”名义被剥对了。他认为,对于整个行业来讲,引入一项新技术时应同时考虑安全与自由,而非对立起来。

如同某个在 Phoronix 读者评论中所说的,安全关乎的是谁掌握着钥匙。如果您被安全的门紧紧保护起来了,但是却没有钥匙,那恐怕只能是监狱。

消息来源:Phoronix

Read More: