Boot Guard

Што вам трэба ведаць

Як гэта працуе

Boot Guard удзельнічае ў аўтэнтыфікацыі або вымярэнні пачатковага блока загрузкі ў адпаведнасці з усталяванай палітыкай платформы. Ключы, маніфесты, кампаненты прашыўкі і вытворчая канфігурацыя вызначаюць ланцужок даверу. Правераная загрузка (verified boot) і вымераная загрузка (measured boot) апісваюць розныя дзеянні і не павінны лічыцца ўзаемазаменнымі.

Дзе гэта карысна

Вытворца можа наладзіць платформу так, каб яе ранні ланцужок загрузкі правяраў аўтарызаваную прашыўку перад працягам. Ацэнка такой машыны патрабуе дакументацыі платформы ад пастаўшчыка і фактычнай палітыкі, а не толькі запісу ў спецыфікацыі працэсара.

Як праверыць падтрымку і актыўнасць

Выкарыстоўвайце дакументацыю вытворцы сістэмы і падтрымоўваныя інструменты стану платформы для вызначэння канфігурацыі, рэжыму і палітыкі. Зафіксуйце дакладную рэвізію сістэмы і прашыўкі. Не выводзьце факт прымусовага прымянення з агульнага спісу функцый працэсара і не спрабуйце пераналаджваць ключы ў якасці звычайнага пошуку няспраўнасцей.

Функцыі платформы могуць залежаць ад мацярынскай платы, чыпсэта, прашыўкі, драйвераў і ўзроўню прадукту. Спецыфікацыя працэсара - гэта адзін з уваходных параметраў, а не поўнае апісанне сабранага камп'ютара або яго актыўнай канфігурацыі.

Чаго гэта функцыя не гарантуе

Boot Guard не з'яўляецца UEFI Secure Boot, антывірусным сканэрам Windows або доказам таго, што ўся пазнейшая прашыўка і праграмнае забеспячэнне вартыя даверу. Падтрымка не азначае, што ўладальнік можа бяспечна змяніць канфігурацыю. Змены прашыўкі і ключоў могуць паўплываць на магчымасць загрузкі і аднаўлення.

Сумяшчальнасць і прадукцыйнасць на практыцы

Перад змяненнем налад прашыўкі, кіравання або загрузачных назапашвальнікаў ідэнтыфікуйце дакладную сістэму і прытрымлівайцеся працэдуры, якую падтрымлівае яе вытворца. Запішыце існуючую канфігурацыю і захавайце доступ да аднаўлення. Артыкул з агульным апісаннем функцый не можа даць універсальную паслядоўнасць меню прашыўкі.

Практычны чэк-ліст для праверкі

1. Зафіксуйце дакладную мадэль працэсара або платформы, а таксама задзейнічаныя версіі праграмы, АС і асяроддзя выканання. Захавайце дакладную фармулёўку памылкі або патрабавання.
2. Звярніцеся да дакументацыі вытворцы для гэтай канкрэтнай мадэлі, затым праверце фактычныя магчымасці і ўключаны стан у асяроддзі, дзе выконваецца праграма.
3. Супастаўце кожнае патрабаванне выбранага выканальнага файла або бэкэнда. Аналагічнай назвы функцыі, псеўданіма або агульнай назвы тэхналогіі недастаткова.
4. Пацвердзіце, што праграма выбрала патрэбную рэалізацыю. Выкарыстоўвайце яе задакументаваныя сродкі дыягностыкі і падтрымліваемы запасны варыянт, калі патрабаванні не выконваюцца.
5. Уносьце па адным падтрымліваемым змяненні за раз і паўтарайце тую ж нагрузку. Захоўвайце зыходную канфігурацыю і магчымасць адкату.

Калі функцыя пазначана, але праграмнае забеспячэнне не можа яе выкарыстоўваць

Пачніце з канкрэтнага кампанента, які выклікае збой. Апаратная база даных апісвае зафіксаваныя магчымасці; аперацыйная сістэма або гіпервізар могуць прадастаўляць іншае фактычнае асяроддзе. Памылка недапушчальнай інструкцыі (illegal instruction) таксама патрабуе даследавання канкрэтнай інструкцыі, якая выклікала збой, і зборкі бінарнага файла, паколькі пашкоджанне даных або іншая непадтрымліваемая інструкцыя могуць выклікаць аналагічны сімптом.

Усталюйце версію праграмы, драйвера або асяроддзя выканання, якая падтрымліваецца для дадзенай платформы, і пры неабходнасці выкарыстоўвайце задакументаваную вытворцам базавую або запасную зборку. Абнаўленне ПЗ не можа стварыць інструкцыю, якой няма ў працэсары. Змяненні ў мікрапраграме (firmware) і палітыках бяспекі павінны адпавядаць працэдурам вытворцы сістэмы і плану аднаўлення, а не агульным рэцэптам аптымізацыі.

Звязаныя функцыі і карысныя адрозненні

Trusted Execution (Intel TXT) · OS Guard і SMEP · Intel Hardware Shield

Крыніцы і межы прымянення гэтага тлумачэння

Intel: выкарыстанне ключоў ва ўбудаваных вобразах прашыўкі · Агляд платформы Intel vPro: апаратная і праграмная бяспека

Гэтыя даведнікі вызначаюць архітэктурныя паводзіны і патрабаванні да праграмнага забеспячэння. Яны не пацвярджаюць незалежна кожнае значэнне функцыі на звязанай старонцы мадэлі абсталявання. Для праверкі падтрымкі мадэллю выкарыстоўвайце даныя вытворцы на адпаведнай старонцы і правярайце фактычную канфігурацыю сістэмы. Гэты артыкул не змяшчае вынікаў тэсціравання (benchmark), сертыфікацыі або даты незалежнага агляду.

Звязанае

Гэтыя аб'екты звязаны з гэтым артыкулам. Тып пазначаны на кожнай спасылцы.

Крыніцы і праверка

Рэдакцыйная прыналежнасць: Feex. Дата незалежнай праверкі не зафіксавана. Як мы даследуем.

• Intel: выкарыстанне ключоў ва ўбудаваных вобразах прашыўкі · Ланцужок даверу Boot Guard, ключы вытворцы, канфігурацыя і палітыка праверанай/вымеранай загрузкі. У артыкуле пазначаны рамкі адпаведнага пакалення.
• Агляд платформы Intel vPro: апаратная і праграмная бяспека · Апісвае партфель Hardware Shield і патрабаванні да платформы для гэтага пакалення. Гэта не пацвярджае ідэнтычныя магчымасці ва ўсіх пакаленнях vPro.