電腦製造商Purism為自家筆電加入了新的系統啟動程序PureBoot,這是一個整合眾多軟體,以安全開放為優先考量的高安全性開機程序。

Purism安全長Kyle Rankin提到,不少駭客喜歡從電腦啟動程序下手,因為可以進一步隱藏惡意程式而不被系統發現,雖然多數啟動系統也提供了應有的防護,但許多廠商為了方便,使用軟體簽章金鑰,限制只有供應商認證的啟動軟體才能執行,雖然保護了系統安全,但也限制了使用者控制系統的能力。

而Purism要在不犧牲安全以及便利性的情況下,將這些控制權力還給使用者,因此開發了PureBoot,這是一個綜合多種技術的高安全啟動程序,因為方便起見才以單一名字稱呼,其實PureBoot包含了6大部分,Purism不只關閉了英特爾管理引擎(Intel Management Engine),置換BIOS成開源任體Coreboot,還使用可信任平臺模組(Trusted Platform Module,TPM),並加入防篡改啟動軟體Heads,使用者可以利用Librem USB安全金鑰Librem Key多因素身份認證解鎖磁碟。

Kyle Rankin表示,PureBoot可以防止多種類型的資安風險,像是筆電遭竊而使敏感資料曝光的風險,由於PureBoot預設加密系統,因此在首次啟動時,使用者就必須要設定金鑰進行加密,而且Librem Key與LUKS磁碟加密整合,使用者在首次設置完成後,之後只要插入Librem Key就能啟動系統,並在出現提示時,輸入用於GPG簽章的Librem Key PIN碼就能啟動系統。

而對於BIOS惡意軟體以及核心Rootkit攻擊,PureBoot也能有效防範,使用者只要插入Librem Key,透過上頭閃爍的燈號就能知道系統安全狀況。由於PureBoot啟動從載入自由軟體BIOS Coreboot開始,Kyle Rankin提到,駭客的惡意軟體通常瞄準主流的專有BIOS,因此使用Coreboot已經可以避開多種攻擊。

接著載入Heads防竄改啟動程序,並使用TPM晶片比對BIOS,只要Librem Key閃爍綠燈,便表示BIOS安全沒有遭到竄改,遭竄改則閃爍紅燈。過去Heads僅在一小群的Beta測試計畫中實行,由於效果卓越,因此現在對外公開,釋出Heads公開測試版。

另外,存在於所有使用英特爾晶片電腦上的英特爾管理引擎,是英特爾用來初始化硬體的專有軟體,在部分電腦上,還包含了允許IT人員透過網路遠端存取電腦,查看螢幕內容並控制硬體的功能。由於英特爾管理引擎為閉源程式,外界無法對其安全漏洞或是複雜後門程式進行有效審核,而且資安公司Positive Technologies也發現多個管理引擎的安全漏洞,因此PureBoot採取多種手段對抗管理引擎的漏洞。

Purism選擇使用不包含AMT功能的管理引擎晶片,並禁用英特爾管理引擎,不只如此,Purism還清除管理引擎大部分的程式碼,只留下一小塊模組用來初始化硬體,並以TPM晶片以及Heads防篡改啟動軟體保護系統,免於遭受修改過的管理引擎攻擊。

為了防止所用的硬體被廠商加入後門,Kyle Rankin表示,他們進一步保護供應鏈,並且向客戶提供運送反攔截服務,Purism會向客戶分開送出Librem Key以及筆電,當用客戶收到兩者時,便能使用Librem Key驗證筆電是否遭到竄改。PureBoot皆使用自由軟體,使用者可以隨時進行審核和修改,Purism提到,他們將會在筆電中採用PureBoot,預計在2019年第二季上市。


Advertisement

更多 iThome相關內容