开源固件作为对固件持久恶意软件的缓解？

Question

我担心在设备固件中根深蒂固的持续恶意软件的威胁。我不熟悉复杂的固件安全，所以我转向SE寻求帮助。

最近我了解到FSF认证的笔记本电脑已经删除了所有专有固件，并附带了开源固件、bios和操作系统。例如，紫云母X 200。

我的问题是，这样的笔记本是否提供了更好的保护，防止固件恶意软件，如BadBIOS？是否有开放固件膝上型计算机拥有专有固件膝上型计算机所没有的缓解措施，例如检查固件是否有变化，或者定期重新加载固件的能力？是否还需要记住开放固件的其他方面？提前感谢您的洞察力！

Answer 1

我认为肯汤普森在关于信任的思考的论文中指出了这个问题。

您不能相信您没有完全创建自己的代码。任何数量的源代码级验证或检查都不会保护您不使用不受信任的代码。

因此，我们唯一能做的就是列举我们的威胁模型中可能存在的威胁，并将名义上的信任级别放在特定的深度上。

我的问题是，这样的笔记本是否提供了更好的保护，防止固件恶意软件，如BadBIOS？

对于这个问题，没有灵丹妙药的答案，不过一般来说，你应该寻找提供可信引导链的笔记本电脑。微软的安全启动、硬件TPM、支持TPM的操作系统等功能是最接近现实世界的商业级别缓解BadBIOS和其他攻击变体的工具。

是否有开放固件膝上型计算机拥有专有固件膝上型计算机所没有的缓解措施，例如检查固件是否有变化，或者定期重新加载固件的能力？

这并不是OSS特有的，但是仍然需要依赖笔记本的TPM来提供一定程度的信任，这是您应该在这里寻找的一般方法。

Answer 2

不，开放源码固件并不仅仅因为它是“开放的”而提供“更好的保护来抵御固件恶意软件”。它仍然可以具有与封闭源固件相同的漏洞(如BARing系统: Coreboot中的新漏洞&基于UEFI的系统)。

它确实大大减少了感染的可能性，仅仅因为您的固件不是常见的种类，而不是少数BIOS制造者的单一文化的一部分(有关问题的背景见你想感染多少百万BIOSes？ )，就像使用Mac或Linux可以使您免受Windows病毒的影响一样(但Mac和Linux病毒确实存在)。

然而，开源固件可能会实施额外的保护措施，使其更能抵御感染.例如，Chromebook 使用签名固件和几乎任何对它的修改都将使机器无法启动(除非您启用了需要物理访问的开发人员模式)。请注意，最近的Intel BootGuard提供了相同的功能(除了它没有开发人员模式--一旦启用，签名检查就不能删除)。

请注意，BadBIOS还没有被证实是真实的。研究人员提供了一些概念上的证明，泄露的等式组文件中也有一些东西，这些文件针对一些网络设备的BIOSes，但AFAIK是唯一被证实的野生BIOS感染，它只针对相当老的奖励BIOS版本。我建议你考虑一下你的威胁模型，把注意力放在更现实的威胁上(如钓鱼/社会工程)。

Answer 3

是的，Libiquity Taurinus X200是一个很好的方式(还有其他人声称是开放固件，但Libiquity在2016年末看起来是最完整的)通过开放固件提供透明。如果您想执行安全的代码评审，那么代码是开源的，所以您可以直接阅读代码。

如果您想测试这些属性，我建议您学习如何通过静态分析器构建代码，并查看这里的工作-- https://github.com/chipsec/chipsec。