Qual é a diferença entre inicialização segura e inicialização verificada?

Question

Pelo que entendi, tanto o "Boot Seguro" quanto o "Boot verificado" funcionam da mesma maneira. Em particular:

• na inicialização, a primeira coisa que executa é o código encontrado na ROM. Isso garante que ele possa ser "confiável"
• o código da ROM verifica a assinatura da próxima parte do software de inicialização, apenas executando-a se a assinatura for válida
• esse processo de verificação de código continua até o espaço do usuário

Essa visão geral de alto nível perde alguma diferença fundamental? Ou eles são iguais, e nós chamamos de "Inicialização Segura" se o restante do processo de inicialização atender à especificação UEFI?

    

Answer 1

Inicialização confirmada

O Boot verificado se esforça para garantir que todo código executado seja proveniente de uma fonte confiável (geralmente OEMs de dispositivo) e não de um invasor ou corrupção. Ele estabelece uma cadeia completa de confiança, começando de uma raiz de confiança protegida por hardware para o carregador de inicialização, para a partição de inicialização e outras partições verificadas, incluindo partições de sistema, fornecedor e opcionalmente oem. Durante a inicialização do dispositivo, cada estágio verifica a integridade e a autenticidade do próximo estágio antes de entregar a execução. Além de garantir que os dispositivos estejam executando uma versão segura do Android, verifique a inicialização para obter a versão correta do Android com proteção de reversão. A proteção contra reversão ajuda a impedir que uma possível exploração se torne persistente, garantindo que os dispositivos sejam atualizados apenas para versões mais recentes do Android. Além de verificar o sistema operacional, o Boot verificado também permite que dispositivos Android comuniquem seu estado de integridade ao usuário.

Inicialização segura

A inicialização segura é um padrão de segurança desenvolvido por membros da indústria de PCs para ajudar a garantir que um dispositivo inicialize usando somente o software de confiança do fabricante de equipamento original (OEM). Quando o PC é iniciado, o firmware verifica a assinatura de cada parte do software de inicialização, incluindo os drivers de firmware UEFI (também conhecidos como Option ROMs), aplicativos EFI e o sistema operacional. Se as assinaturas forem válidas, o PC é inicializado e o firmware fornece controle ao sistema operacional. O OEM pode usar instruções do fabricante do firmware para criar chaves de inicialização seguras e armazená-las no firmware do PC. Quando você adiciona drivers UEFI, também é necessário certificar-se de que eles estejam assinados e incluídos no banco de dados de inicialização segura.

Para detalhes, podemos consultar os artigos Secure boot e Boot verificado .