Intel BIOS Guard 是一套硬件和固件的深度安全防护技术，旨在保护计算机最底层、最核心的固件——特别是BIOS（或UEFI）——免受恶意软件和固件攻击。
您可以把它想象成是固件世界的“保镖”或“安全堡垒”，它通过在硬件层面建立一个可信的执行环境，确保BIOS在启动过程中只能加载和执行经过验证的、合法的代码，从而防止攻击者植入恶意固件（固件Rootkit）。
为什么需要 BIOS Guard？(它解决了什么问题)
BIOS/UEFI是计算机启动时运行的第一个软件，它负责初始化硬件、加载操作系统，如果BIOS被攻破，攻击者就可以获得对系统的最高控制权（Ring -1权限），并且这种攻击非常隐蔽，难以被操作系统级别的杀毒软件检测到，这就是所谓的“固件攻击”或“持久化攻击”。
传统的安全措施（如操作系统防火墙、杀毒软件）在固件层面面前无能为力，BIOS Guard 就是为了填补这个底层安全空白而设计的。
BIOS Guard 的工作原理
BIOS Guard 的核心思想是“信任链”（Chain of Trust）和“硬件强制执行”,它主要由以下几个关键技术组件协同工作：
可信执行环境
这是BIOS Guard的核心，它利用CPU的特定功能（如Intel Boot Guard技术）在处理器内部创建一个隔离的、受保护的执行环境。
- 启动过程：当计算机开机时，CPU会进入一个特殊的“管理模式”。
- 硬件根：在这个模式下，CPU会验证BIOS固件的数字签名，这个签名通常由Intel或计算机制造商（OEM）持有。
- 建立信任：如果签名验证通过，CPU就确认这个BIOS是“可信”的，它会在这个受保护的硬件环境中加载并执行BIOS的初始部分（通常是“Measured Boot”的测量代码）。
固件模块验证
现代BIOS/UEFI通常由多个模块组成（如Intel Management Engine, Platform Controller Code, 预启动执行环境等），BIOS Guard 会对这些关键模块进行逐一验证。
- 数字签名：每个固件模块都必须由一个受信任的密钥进行数字签名。
- 哈希验证：在加载模块前，系统会计算模块的哈希值（或摘要），并与预先存储的、可信的哈希值进行比较。
- 拒绝加载：如果任何一个模块的签名无效或哈希值不匹配，BIOS Guard 会立即停止启动过程，并阻止该模块加载,从而阻止了恶意代码的执行。
安全启动
BIOS Guard 与操作系统层面的 Secure Boot 技术紧密配合,但它们处于不同的层次。
- BIOS Guard (固件层)：确保BIOS本身是干净、可信的，这是信任链的起点。
- Secure Boot (操作系统层)：在BIOS成功加载后，Secure Boot 会验证操作系统的引导加载程序（如Windows Boot Manager）的签名,确保加载的是合法的操作系统。
- 关系：BIOS Guard 是 Secure Boot 的前提和基础，如果BIOS本身被篡改，Secure Boot 可能也会被绕过。
测量启动
这是信任链的另一个重要环节，它是一个“只读”的审计功能。
- 测量过程：在BIOS执行和加载每个组件（包括ME、PCH、UEPI模块等）时，系统会计算该组件的哈希值，并将其追加到一个名为 PCR (Platform Configuration Register) 的硬件寄存器中，PCR寄存器位于TPM（可信平台模块）芯片中。
- 创建日志：这个过程会创建一个启动过程的“测量日志”,记录了所有被加载的组件及其哈希值。
- 作用：
- 完整性证明：即使BIOS Guard允许启动，系统管理员或远程服务器也可以通过读取PCR的值，来验证启动过程是否与预期的“黄金镜像”（Golden Image）一致。
- 检测篡改：如果启动过程中有任何组件被篡改，最终的PCR值就会与预期的值不同,从而暴露攻击。
BIOS Guard 的核心优势
- 防止固件Rootkit：这是最主要的目标，即使操作系统被完全攻破，攻击者也无法通过软件手段修改或替换BIOS,因为硬件层会阻止未签名的代码执行。
- 提供硬件根信任：将信任的起点从操作系统提升到了硬件层面,构建了一个从开机到进入操作系统的完整信任链。
- 增强系统完整性：通过测量启动，提供了对整个启动过程进行审计和验证的能力,确保系统状态符合预期。
- 提升供应链安全：帮助OEM（如联想、戴尔、惠普）确保他们提供给用户的BIOS是未经篡改的、安全的。
- 实现远程修复：在某些高级场景下，如果检测到固件损坏或被攻击，企业可以通过管理软件（如Intel Active Management Technology - AMT）远程触发一个安全的固件恢复过程，将BIOS恢复到出厂的、可信的状态。
与相关技术的区别
| 技术 | 层级 | 主要作用 | 与BIOS Guard的关系 |
|---|---|---|---|
| Intel BIOS Guard | 硬件/固件层 | 保护BIOS/UEFI固件本身，建立信任链的起点。 | 核心固件防护技术。 |
| Intel Boot Guard | 硬件/固件层 | BIOS Guard所依赖的底层硬件技术，负责执行固件签名验证和创建可信执行环境。 | BIOS Guard是构建在Boot Guard之上的安全策略和框架。 |
| Secure Boot | 操作系统引导层 | 保护操作系统引导加载程序，确保加载合法的操作系统。 | 在BIOS Guard建立信任之后，作为信任链的下一环。 |
| Intel TXT | 操作系统启动层 | 在操作系统启动时，创建一个隔离的“可信执行环境”（SGX是其演进），保护特定应用程序。 | 功能类似，但作用阶段和目标不同，TXT更偏向于应用层隔离。 |
| TPM (可信平台模块) | 硬件安全芯片 | 提供密码学功能（密钥存储、加密）、随机数生成，并存储PCR（用于测量启动）。 | 是BIOS Guard实现测量启动功能的关键硬件组件。 |
Intel BIOS Guard 是一项至关重要的底层安全技术，它通过硬件强制执行、固件模块验证和测量启动等机制，为计算机的固件建立了一道坚固的防线，它解决了传统安全软件无法触及的固件层安全问题，是构建现代可信计算环境不可或缺的一环，对于企业、数据中心以及对安全性要求极高的个人用户来说，拥有BIOS Guard技术的平台能提供更高级别的安全保障。
