Il firmware open source come mitigazione contro il malware persistente del firmware?

Penso che Ken Thompson abbia risolto questo problema in Riflessioni su Trust Trust carta.

You can't trust code that you did not totally create yourself. No amount of source-level verification or scrutiny will protect you from using untrusted code.

Pertanto, l'unica cosa che possiamo fare è enumerare possibili minacce nel nostro modello di minaccia e inserire un livello nominale di fiducia a un particolare livello di profondità.

My question is whether such a laptop provides greater protection against firmware malware, such as BadBIOS?

Non esiste una risposta argentata a questa domanda, tuttavia in generale si dovrebbe cercare computer portatili che offrano catene di avvio affidabili. Funzionalità come Secure Boot di Microsoft, un TPM hardware, sistema operativo con supporto TPM, ecc. Sono le più prossime soluzioni alle mitigazioni del livello commerciale nel mondo reale contro BadBIOS e altre varianti di attacco.

Are there mitigations that open-firmware laptops have that proprietary-firmware laptops do not, such as an ability to inspect the firmware for changes, or perhaps the ability to re-load the firmware on a regular basis?

Non è specifico OSS, ma affidarsi nuovamente al TPM di un laptop per fornire un livello di fiducia è l'approccio generale che dovresti cercare qui.

No, il firmware open source non fornisce "una protezione maggiore contro il malware del firmware" solo perché è "aperto". Può ancora avere le stesse vulnerabilità del firmware closed-source (vedi ad esempio BARing il sistema: nuove vulnerabilità nei sistemi basati su Coreboot e UEFI ).

Riduce significativamente le possibilità di infezione solo perché il firmware non è di una varietà comune e non fa parte della monocultura dei pochi produttori di BIOS (vedi Quanti milioni di BIOS ti piacerebbe infettare? per lo sfondo del problema), nello stesso modo in cui l'utilizzo di Mac o Linux ti rende immune dai virus Windows ( ma esistono virus Mac e Linux.

Tuttavia, il may firmware open source implementa protezioni aggiuntive che lo rendono più resistente alle infezioni. Ad esempio, i Chromebook utilizzano il firmware firmato e quasi tutti le modifiche apportate renderanno la macchina non avviabile (a meno che non si abiliti la modalità sviluppatore che richiede l'accesso fisico). Si noti che la stessa funzionalità è offerta dal recente Intel BootGuard (eccetto che non ha la modalità sviluppatore - una volta abilitato, i controlli di firma non possono essere rimossi).

P.S. Si noti che BadBIOS non è stato confermato essere reale. C'erano alcuni rootkit di proof-of-concept presentati dai ricercatori e c'erano alcuni elementi nei file di equation trapelati che riguardavano i BIOS di alcune appliance di rete, ma AFAIK l'unica infezione del BIOS confermata in-the-wild era Mebromi che puntava solo a vecchi Versioni del BIOS premio. Ti suggerisco di pensare al tuo modello di minaccia e di concentrarti innanzitutto sulle minacce più realistiche (ad es. Phishing / social engineering).

Sì, il Libiquity Taurinus X200 è un ottimo modo (ce ne sono altri che richiedono il firmware aperto ma Libiquity sembra il più completo a fine 2016) per fornire trasparenza tramite il firmware aperto. Se vuoi eseguire una revisione sicura del codice, beh, il codice è open-source, quindi puoi semplicemente leggere il codice.

Se vuoi testare queste proprietà, ti suggerisco di imparare come compilare il codice tramite analizzatori statici e di verificare il lavoro qui - link