这是一个由英特尔提出并集成在处理器和平台固件中的安全框架，旨在保护计算机最基础、最核心的软件——BIOS（或更现代的UEFI固件）,使其免受恶意软件和物理攻击的侵害。
（图片来源网络，侵删）
可以把它理解为固件的“防盗门”和“安全堡垒”。
什么是 BIOS Guard？它的核心目标是什么？
BIOS Guard 是一个硬件辅助的安全技术，它利用处理器内置的安全特性（如 Intel Boot Guard）和平台固件中的安全策略,共同构建一个从处理器启动那一刻起就受保护的执行环境。
核心目标：
- 确保固件的真实性和完整性：确保计算机启动时加载的BIOS/UEFI固件是原始、未被篡改的版本，防止恶意软件（如BIOS Rootkit）在系统启动前就被植入。
- 防止固件被篡改或降级：防止攻击者通过物理访问（如USB闪存）或恶意软件来修改或替换BIOS,或者将固件版本回退到存在已知漏洞的旧版本。
- 建立可信的启动链：从处理器上电的第一条指令开始，就建立一个“信任链”（Chain of Trust），确保后续的每一个启动环节（UEFI固件 -> 操作系统加载器 -> 操作系统内核）都是可信的。
BIOS Guard 是如何工作的？（工作原理）
BIOS Guard 的实现依赖于几个关键技术组件的协同工作，其中最核心的是 Intel Boot Guard。
（图片来源网络，侵删）
工作流程简述：
-
平台准备阶段：
- OEM厂商（如联想、戴尔、惠普）在制造电脑时，会使用英特尔的工具为处理器生成一个唯一的密钥。
- 这个密钥会被“熔断”（fused）到处理器的硬件中，无法被读取或修改，形成了处理器的“真实身份凭证”。
- OEM厂商会用这个密钥对最终的BIOS固件进行数字签名。
-
系统启动阶段：
- 当你按下电源键，处理器会立即进入一个特殊的、受硬件保护的启动模式。
- 处理器内部的固件设备根会执行第一个代码。
- FRT 会立即检查存储在SPI闪存（BIOS芯片）中的BIOS固件头部是否有一个有效的数字签名。
- 这个签名验证过程使用的是预先烧录在处理器硬件中的公钥。
-
验证与执行：
- 签名验证成功：如果BIOS固件的签名是有效的，证明它是由OEM用私钥签名的、未经篡改的原始版本，处理器会释放对硬件的控制权，允许BIOS代码正常执行,启动过程得以继续。
- 签名验证失败：如果签名无效、缺失，或者BIOS固件被修改过，处理器会认为固件已被“污染”，它会立即停止启动过程，并采取预设的安全措施，
- 直接关闭电源。
- 在屏幕上显示错误信息（如“Boot Guard failure”）。
- 永久性地将平台锁定在一种“恢复模式”或“安全状态”，直到用户通过特定的恢复流程（如使用官方恢复U盘）来修复或重刷BIOS。
关键技术组件：
- Intel Boot Guard：这是BIOS Guard的核心引擎，它是一个基于硬件的启动认证机制，直接内嵌在处理器中，无法被软件绕过,它负责执行上述的签名验证流程。
- Platform Firmware Resilience：这是由英特尔和行业联盟（如UECA）制定的一套安全规范和最佳实践，OEM厂商必须遵循这些规范来设计和编写他们的BIOS代码，以确保代码本身足够健壮，没有明显的漏洞，从而配合Boot Guard一起工作。
- SPI闪存保护：BIOS固件存储在主板的SPI闪存芯片中，BIOS Guard通常会与Intel PTT (Platform Trust Technology) 和 Intel TXT (Trusted Execution Technology) 等技术协同工作，对SPI闪存的写操作进行严格限制,防止在系统运行时被轻易篡改。
BIOS Guard 的主要优势
- 强大的防篡改能力：由于验证在处理器硬件层面完成，攻击者几乎不可能绕过，即使重装操作系统、使用Live CD，甚至物理更换硬盘,都无法影响这个启动前的验证过程。
- 抵御供应链攻击：防止在电脑出厂前,恶意人员在BIOS中植入后门或恶意代码。
- 提供强大的恢复能力：一旦固件被检测到损坏，系统会拒绝启动，这可以防止用户在不知情的情况下启动一个已被感染的系统,OEM可以提供安全的恢复机制来修复。
- 建立可信计算基础：它为整个系统的启动过程打下了坚实的基础，是构建可信环境（如Windows的Device Guard、Linux的Measured Boot）的第一步。
局限性与注意事项
- 依赖OEM的正确实现：BIOS Guard的安全性依赖于OEM厂商是否正确地遵循了PFR规范、是否妥善保管了签名私钥，如果OEM实现不当或私钥泄露,整个安全机制就会形同虚设。
- 硬件要求：需要使用支持Intel Boot Guard的处理器（通常是第6代及更新的酷睿处理器、至强处理器等）以及经过相应设计的主板芯片组。
- “有或无”的特性：它是一个二进制机制——要么完全启用并有效，要么完全禁用，它无法提供“部分保护”。
- 恢复流程可能被滥用：虽然恢复流程是安全的，但理论上，一个拥有物理访问权限的攻击者如果知道如何利用恢复机制，仍然可能尝试刷入恶意固件（尽管这需要绕过恢复机制自身的安全检查）。
与其他安全技术的区别
-
Intel Boot Guard vs. Intel TXT (Trusted Execution Technology)：
（图片来源网络，侵删）- Boot Guard：保护的是启动前的固件加载阶段，是信任链的起点。
- TXT：保护的是操作系统启动后的阶段，例如创建一个隔离的、受保护的“可信执行环境”（SGX Enclave）来运行敏感应用，是信任链的延伸。
- 简单说，Boot Guard确保你从一开门就进入了正确的房子,而TXT确保你在房子里有一个上锁的保险箱。
-
BIOS Guard vs. UEFI Secure Boot：
- BIOS Guard (Boot Guard)：保护的是UEFI固件本身，它在Secure Boot之前运行,是更底层的安全措施。
- UEFI Secure Boot：保护的是操作系统加载器和操作系统，它验证的是Windows Boot Manager或GRUB等启动文件。
- 两者关系：Boot Guard 保证了 UEFI 固件是可信的，然后这个可信的固件再去运行 Secure Boot,从而建立一条从硬件到操作系统的完整信任链。
Intel BIOS Guard 是一项至关重要的底层安全技术，它通过硬件辅助的固件签名验证，为现代计算机的启动过程筑起了一道坚不可摧的防线，它有效防止了BIOS层面的Rootkit和物理攻击，确保了系统的“纯净”启动，是构建安全、可信计算环境的基石，对于企业用户、数据中心以及对安全性要求极高的个人用户来说，支持并启用BIOS Guard的设备是首选。
