【发布时间】：2015-08-19 09:14:13
【问题描述】：
我的 bios 知识非常基础，但每次我阅读一些有关 UEFI 的文件时，我都不明白为什么 SEC 阶段是 UEFI bios 程序中的信任根。
SEC 阶段执行 PEI 验证，但我不了解 SEC 阶段由谁或以何种方式进行身份验证和验证。谁能给我解释一下？
【问题讨论】：
标签： security boot bios uefi tpm
【发布时间】：2015-08-19 09:14:13
【问题描述】：
当 CPU 启动时，它只在一个非常特定的地址执行一些非常特定的指令。还没有初始化任何东西，不是南/北桥，不是内存本身（dram），所以根本没有足够的资源来启动任何代码，除了 sec。 sec 将其全部初始化。只有这样你才有足够的资源来执行代码。
另一件事。为了从操作系统或 UEFI 外壳更新 UEFI 固件 (BIOS)，必须对封装进行签名。所以这个相醚没有回火。
您可以拆下芯片并使用经过调整的固件对其进行重新编程，但这是另一回事，编写自己的 BIOS 并非易事。
所以，说了这么多，这就是为什么 Sec Phase 是 ROT。
【讨论】：
-
忘了澄清：这些指令以 cpu 的现金加载并执行 sec。然后 sec 初始化 dram 和其他废话。 ;)
-
所以，sec是信任的根源，只是因为bios芯片很难更换。
-
理论上是的！不是芯片 - 里面的固件。理论上没有安全之类的东西！甚至 RSA2056 也可以在 100+ 年内破解！如果黑客可以访问该特定系统的 BIOS 源代码，对其进行修改然后重新刷新目标机器，那么您将无法保护它。但实际上，一个黑客甚至一群黑客完全重写整个 BIOS 的可能性很小。即使是在制造商层面也存在一些安全问题和担忧，如何在主板组装时建立信任链。
-
我的主板有点不同，在 cpu 和 bios flash 之间有一个 fpga，它执行 bios 的 hmac-sha1 身份验证。但我明白你的意思。
-
实际上我认为在某些杯子上有一段固件，一个小型 RISC 处理器，它是安全的（难以进行逆向工程），它在固件之外执行。该处理器中还有保险丝，供应商可以设置一次，可能是为了对固件的那部分进行签名，以验证第一个固件代码或 bios 上的所有固件。因此，如果您在 spi eeprom 上运行自己的 sec，它会注意到并且可能仅在受限模式下运行。前提是供应商已选择使用此类功能。