安全启动微软表面Pro 3(或现代个人电脑)？

Question

今天有了一个Surface 3，并在它的EFI中注意到

• TPM启用，
• 启用“安全启动”(不确定这种伞/捕捉所有术语实际涵盖的是什么)

然后在Windows 8.1中

• BitLocker打开

我感到有点惊讶的是，操作系统能够在没有用户任何输入的情况下完全启动(用户登录屏幕)；这意味着所有键控材料都是驻留的，机器可以在不受用户干预的情况下使用。这也让我对这个过程有了一些思考，所以我想我应该在这里发布这个。

问:有人能列举安全启动过程(在现代PC上实现)以及信任链是如何建立和维护的吗？

最后，这如何给用户任何保证，他们的机器没有被破坏的背后？(如邪恶少女等)

Answer 1

引导过程

安全启动

启动Windows 8有很多步骤。现在，安全引导通常意味着只有在能够检查其完整性的情况下才能运行引导加载程序。在这种情况下，如果启用，UEFI将在任何其他操作之前启动，并检查引导加载程序是否由受信任的证书颁发机构签名。对于操作系统，通常只有制造商是可信的，例如微软。只要启动加载程序由Microsoft签名，并由UEFI验证，那么引导加载程序就会启动。甚至UEFI驱动程序也被验证为[1]。

EUFI包含一个已注册可信当局的数据库。用户可以将自己的可信权限添加到此数据库中，以便能够加载非Microsoft操作系统。

这是使用可信平台模块 (TPMs)的地方。TPMs可用于存储密钥或执行加密/签名/验证例程。与UEFI相结合的TPM允许对引导加载程序进行验证，并加载操作系统。

可信启动

现在，这并不是安全引导进程的结束。现在操作系统处于可信启动状态，它开始加载内核、系统驱动程序等。安全引导还确保系统驱动程序由可信证书颁发机构(如Microsoft)签名。

以上图像的完整描述

为什么？

Rootkit

在引导过程的每个阶段，某些代码(驱动程序、系统服务等)正在操作系统中注册。恶意软件在引导过程中越早就越有可能与其挂钩：

1. 持久化:即使在重新启动时，恶意软件也是重新启用的。
2. 隐藏:让自己处于一个秘密的位置，防止操作系统(和防病毒)注意到它的存在。
3. 特权:继续向自身授予高权限

所有这些引导进程都以最高特权运行。如果没有信任这些加载器的安全机制，rootkit就可以以很高的权限安装自己，系统甚至不会知道它们在那里。需要签名的引导加载程序和系统服务/驱动程序可以减少rootkit进入系统的机会。这并不意味着它是100%安全的，它只是使它在启动的某些阶段更加困难。

邪恶少女

邪恶少女是基于这样的前提，即可以在系统上安装一个黑客引导加载程序来做恶作剧，用密钥记录密码来解密卷等。这正是这个过程所要防止的攻击类型。除非由Microsoft (如果用户决定信任其他人，则由其他受信任的权威机构)签名，否则引导加载程序无法在这里闪现并成功引导。这似乎不太可能，而且在EUFI数据库中添加一个受信任的第三方是不安全的。

一件硬件能与从分销商安装的其他受信任的当局一起吗？也许吧，但那是另一种程度的偏执。如果你在这个层次上担心，那么你很可能在生活中做错了什么。

启用用户身份验证

上面的指南可以指导您在Windows 8上启用TPM，并为其设置密码。我不确定这是否也适用于平板电脑。

Answer 2

下面的博客很好地介绍了Windows‘安全启动、可信引导和测量引导的使用：链接至于’可怕的不安全‘，没有一个是完全安全的，例如，英特尔在安全启动技术开始之前，已经开发了引导保护技术，以帮助在硅/固件级别保护系统。Android和Chrome都有类似的基于PKI的引导加载器，都有经过验证的引导。至于为什么MS控制信任，它们是UEFI论坛默认CA的一种选择。OEM或BIOS供应商可以选择自己的CA，但也可以添加Windows要求: Microsoft希望对基于Windows的系统的用户体验有一定的控制，并保证系统的安全性。对用户定制和可选的OSes不好，但在这个过程中可能会有一些轻微的安全性改进。HTH。Lee：http://firmwaresecurity.com/feed