Para hacer un arranque seguro necesitamos una clave pública inmutable incorporada en la ROM. Esta clave se utiliza para firmar el cargador de arranque o la clave utilizada para firmar el cargador de arranque. Tengo estas preguntas -
-
¿Qué código comprueba esta firma? ¿Está este código en la ROM?
-
¿Cómo se coloca la clave pública o el hash de la clave pública en la ROM? ¿Se acaba de quemar en la fábrica?
-
¿Cómo funciona si compro un SoC de, por ejemplo, Intel o Qualcomm, y el sistema operativo es suministrado por Redhat o Ubuntu o Windows? Si el sistema operativo desea admitir el arranque seguro, ¿deben estos proveedores de sistemas operativos obtener la clave privada de los proveedores de chipset? Por seguridad, no deben obtener la clave privada, sino que deben firmar su CSR con la raíz. Pero el punto es que la raíz de la confianza está vinculada a Keypair del fabricante del conjunto de chips.
-
Pregunta estúpida, ¿el código ROM es ejecutado directamente por la CPU o se copia primero en la RAM? Como lo veo, la secuencia de operaciones es, la ROM primero lee el cargador de arranque (que está en algún lugar del disco), calcula el hash de la misma, calcula la firma con la clave pública almacenada en la ROM (o una clave firmada con ella) y luego compara la firma con la del cargador de arranque. Si todo está bien, el cargador de arranque se carga y ejecuta. ¿Correcto?
-
¿Mi comprensión sigue siendo relevante en el mundo móvil?
-
Al leer la página de Wiki de arranque seguro de UEFI, dice esto:
BlockquoteCuando el arranque seguro está habilitado, inicialmente se coloca en el modo "configuración", lo que permite que una clave pública conocida como "Clave de plataforma" (PK) se escriba en el firmware. Una vez que se escribe la clave, el arranque seguro ingresa en el modo "Usuario", donde solo los controladores y cargadores firmados con la clave de la plataforma pueden ser cargados por el firmware.
¿La clave de la plataforma está realmente almacenada en el firmware? ¿Cómo se verifica este firmware?
- ¿El inicio seguro de UEFI también usa la verificación que comienza con la verificación de la firma en la ROM?