Boot Guard

Що потрібно знати

Як це працює

Boot Guard бере участь в автентифікації або вимірюванні початкового блоку завантаження згідно з налаштованою політикою платформи. Ключі, маніфести, компоненти мікропрограми та виробнича конфігурація визначають ланцюг довіри. Перевірене завантаження (verified boot) та виміряне завантаження (measured boot) описують різні дії і не повинні вважатися взаємозамінними.

Де це корисно

Виробник може налаштувати платформу так, щоб її ранній ланцюг завантаження перевіряв авторизовану мікропрограму перед продовженням. Оцінка такої машини вимагає документації платформи від постачальника та фактичної політики, а не лише запису в специфікації процесора.

Як перевірити підтримку та активацію

Використовуйте документацію виробника системи та підтримувані інструменти стану платформи для визначення конфігурації, режиму та політики. Зафіксуйте точну ревізію системи та мікропрограми. Не робіть висновків про застосування захисту на основі загального списку функцій процесора та не намагайтеся повторно ініціалізувати ключі в рамках звичайного усунення несправностей.

Функції платформи можуть залежати від материнської плати, чипсета, конфігурації мікропрограми, драйверів і рівня продукту. Специфікація процесора є лише одним із факторів, а не повним описом зібраного комп'ютера чи його активної конфігурації.

Чого ця функція не гарантує

Boot Guard не є UEFI Secure Boot, сканером шкідливих програм Windows або доказом того, що всі наступні мікропрограми та програмне забезпечення заслуговують на довіру. Підтримка не означає, що власник може безпечно змінювати конфігурацію. Зміни мікропрограми та ключів можуть вплинути на можливість завантаження та відновлення.

Сумісність і продуктивність на практиці

Перед зміною налаштувань мікропрограми, керування або сховища завантаження визначте точну систему та дотримуйтесь процедури, підтримуваної її виробником. Зафіксуйте наявну конфігурацію та збережіть доступ для відновлення. Загальна стаття про функції не може надати універсальну послідовність дій у меню мікропрограми.

Практичний контрольний список для верифікації

1. Зафіксуйте точну модель процесора або платформи, а також версії використовуваної програми, ОС і середовища виконання. Збережіть точне формулювання фактичної помилки або вимоги.
2. Звіртеся з документацією виробника для цієї точної моделі, потім перевірте фактичні можливості та стан активації в середовищі, де виконується програма.
3. Порівняйте кожну вимогу вибраного двійкового файлу або бекенда. Схожої назви функції, псевдоніма чи загального позначення технології недостатньо.
4. Переконайтеся, що програма вибрала призначену реалізацію. Використовуйте її задокументовані засоби діагностики та підтримуваний резервний варіант, якщо вимоги не виконуються.
5. Вносьте по одній підтримуваній зміні за раз і повторюйте те саме робоче навантаження. Зберігайте оригінальну конфігурацію та можливість відновлення.

Якщо функція вказана, але програмне забезпечення не може її використати

Почніть із компонента, у якому саме стався збій. База даних обладнання описує зафіксовані можливості; операційна система або гіпервізор можуть надавати інше фактичне середовище. Помилка неприпустимої інструкції також потребує дослідження фактичної інструкції, що викликала збій, і двійкової збірки, оскільки пошкодження даних або непов'язана непідтримувана інструкція можуть викликати схожий симптом.

Встановіть версію програми, драйвера або середовища виконання, яка підтримується для цієї конкретної платформи, і за потреби використовуйте задокументовану постачальником базову або резервну збірку. Оновлення програмного забезпечення не може створити інструкцію, якої немає в процесорі. Зміни у прошивці та політиках безпеки повинні відповідати процедурі виробника системи та плану відновлення, а не загальним рецептам оптимізації.

Пов'язані функції та корисні відмінності

Trusted Execution (Intel TXT) · OS Guard та SMEP · Intel Hardware Shield

Джерела та межі застосування цього пояснення

Intel: використання ключів в інтегрованих образах мікропрограм · Короткий огляд платформи Intel vPro: апаратна та програмна безпека

Ці довідкові матеріали визначають архітектурну поведінку та вимоги до програмного забезпечення. Вони не перевіряють незалежно кожне значення функції на сторінці пов'язаної моделі обладнання. Щодо підтримки моделі використовуйте дані виробника на цій сторінці та перевіряйте фактичну конфігурацію системи. Ця стаття не містить бенчмарків, сертифікації чи дат незалежного огляду.

Пов'язане

Ці сутності пов'язані з цією статтею. Тип вказується для кожного посилання.

Джерела та верифікація

Власник авторських прав: Feex. Дата незалежної перевірки не зафіксована. Як ми проводимо дослідження.

• Intel: використання ключів в інтегрованих образах мікропрограм · Ланцюг довіри Boot Guard, ключі виробника, конфігурація та політика перевіреного/виміряного завантаження. У статті вказано межі відповідного покоління.
• Короткий огляд платформи Intel vPro: апаратна та програмна безпека · Описує портфель Hardware Shield та вимоги до платформи для цього покоління. Це не означає наявність ідентичних можливостей у всіх поколіннях vPro.