Boot Guard

您需要了解的内容

工作原理

Boot Guard 参与在已配置的平台策略下对初始启动块进行身份验证或度量。密钥、清单、固件组件和制造配置决定了信任链。验证启动和度量启动描述了不同的操作，不应视为可互换的概念。

适用场景

制造商可以对平台进行配置，使其早期启动链在继续之前检查经过授权的固件。评估该设备需要供应商的平台文档和实际策略，而不能仅凭处理器规范条目。

如何检查支持与启用状态

请使用系统制造商的文档和支持的平台状态工具来确定配置、模式和策略。记录确切的系统和固件版本。不要从通用 CPU 特性列表中推断强制执行情况，也不要尝试将重新配置密钥作为常规故障排除步骤。

平台特性可能取决于主板、芯片组、固件配置、驱动程序和产品层级。CPU 规范仅是一个输入，并不是对已组装计算机或其活动配置的完整描述。

该特性未确立的内容

Boot Guard 不是 UEFI Secure Boot，不是 Windows 恶意软件扫描程序，也不是所有后续固件和软件都值得信赖的凭证。支持该特性并不意味着所有者可以安全地更改配置。固件和密钥的更改可能会影响可启动性和恢复。

实践中的兼容性与性能

在更改固件、管理或启动存储设置之前，请确认确切的系统型号并遵循其制造商支持的流程。记录现有配置并保留恢复途径。通用的特性介绍文章无法提供通用的固件菜单操作步骤。

实用验证核对清单

1. 记录所涉及的具体处理器或平台型号，以及应用程序、操作系统和运行时的版本。保留实际错误或要求的原始措辞。
2. 查阅该具体型号的制造商参考资料，然后检查程序运行环境中生效的功能与启用状态。
3. 逐项比对所选二进制文件或后端的每项要求。仅凭名称相似的特性、别名或宽泛的技术标签是不够的。
4. 确认应用程序选择了预期的实现。在不满足要求时，使用其文档中记录的诊断工具和受支持的回退方案。
5. 每次只进行一项受支持的更改并重复相同的负载测试。保留原始配置和恢复路径以便随时使用。

若特性已列出但软件无法使用

首先排查出现故障的具体组件。硬件数据库描述的是记录在案的功能；操作系统或虚拟机监控程序可能会呈现不同的生效环境。非法指令错误同样需要调查实际发生故障的指令和二进制构建版本，因为数据损坏或不相关的未受支持指令也可能产生类似症状。

安装适用于该特定平台的受支持应用程序、驱动程序或运行时版本，并在需要时使用厂商文档记录的基线或回退构建版本。软件更新无法凭空创造处理器缺失的指令。固件和安全策略的更改应遵循系统制造商的规程和恢复计划，而非通用的优化方案。

相关特性与实用区别

可信执行技术 (Intel TXT) · OS Guard 与 SMEP · Intel Hardware Shield

本说明的来源与适用范围

Intel：集成固件映像中的密钥用法 · Intel vPro 平台简报：硬件与软件安全

这些参考资料确立了架构行为和软件要求。它们并不独立验证关联硬件型号页面上的每个特性值。如需了解型号支持情况，请使用该页面的制造商证据并检查实际生效的系统配置。本文不提供基准测试、认证或独立审查日期。

相关内容

这些实体与本文相关联。每个链接上均显示类型。

来源与验证

编辑归属：Feex。未记录独立审核日期。 我们的研究方式.

• Intel：集成固件映像中的密钥用法 · Boot Guard 信任链、制造商密钥、预配以及验证/度量启动策略。本文阐述了其适用代际范围。
• Intel vPro 平台简报：硬件与软件安全 · 描述 Hardware Shield 产品组合以及该代产品的平台要求。它并不意味着所有 vPro 代际都具有相同的功能。