Per fare l'avvio sicuro abbiamo bisogno di una chiave pubblica immutabile inserita nella ROM. Questa chiave è utilizzata per firmare il boot loader o la chiave utilizzata per firmare il boot loader. Ho queste domande -
-
Quale codice controlla questa firma? Questo codice è nella ROM?
-
Come viene inserita la chiave pubblica o l'hash della chiave pubblica nella ROM? È appena bruciato in fabbrica?
-
Come funziona se acquisto un SoC da Intel o Qualcomm e il sistema operativo è fornito da Redhat o Ubuntu o Windows. Se il sistema operativo vuole supportare l'avvio sicuro, questi produttori di sistemi operativi devono ottenere la chiave privata dai fornitori di chipset? Per motivi di sicurezza, non dovrebbero ottenere la chiave privata, ma hanno il loro CSR firmato dalla radice. Ma il punto è che la radice della fiducia è legata al Keypair del produttore Chipset.
-
Domanda stupida, il codice ROM viene eseguito direttamente dalla CPU o viene prima copiato nella RAM? Come la vedo io, la sequenza delle operazioni è, la ROM prima legge il bootloader (che è da qualche parte sul disco), calcola l'hash di esso, calcola la firma con la chiave pubblica memorizzata nella ROM (o una chiave firmata con esso) e quindi confronta la firma con quella nel bootloader. Se tutto va bene, il boot loader viene caricato ed eseguito. Corretto?
-
La mia comprensione è ancora rilevante nel mondo mobile?
-
Leggendo la pagina Wiki di avvio sicuro UEFI, questo dice -
BlockquoteWhen secure boot is enabled, it is initially placed in "setup" mode, which allows a public key known as the "Platform key" (PK) to be written to the firmware. Once the key is written, secure boot enters "User" mode, where only drivers and loaders signed with the platform key can be loaded by the firmware.
La chiave di piattaforma è realmente memorizzata nel firmware? Come viene verificato questo firmware?
- L'avvio sicuro UEFI utilizza anche la verifica che inizia con la verifica della firma nella ROM?