教师：在本课中, 我们将探索BIOS和UEFI内部的一些安全功能｡
除了在我们的网络和操作系统环境中提供保护外,
我们还需要考虑预操作系统环境的安全性｡
这是计算机在启动阶段可能受到攻击的区域,
因此必须考虑引导加载程序保护,
包括BIOS和UEFI密码, 安全启动过程以及主板USB端口上的权限设置｡
请记住, BIOS和UEFI是两种不同类型的固件,
用于我们的计算机, 以帮助我们在加载和启动我们的操作系统｡
每台计算机都可以有BIOS或UEFI,
但不能两者都有｡
BIOS是基本的输入/输出系统,
它是一个固件接口, 为操作系统配置硬件,
以便它启动｡
依赖BIOS的计算机将使用主引导记录（MBR）来保存其引导信息,
并识别包含要加载的操作系统的给定硬盘驱动器的分区｡
BIOS是较旧的, 更传统的固件类型｡
另一方面, UEFI或统一可扩展固件计划是一种较新类型的固件｡
UEFI是一种系统固件, 在引导时提供对64位CPU操作的支持,
在引导时提供完整的图形用户界面和鼠标操作, 以及更好的引导安全性｡
依赖UEFI的计算机将使用一个名为GPT的分区表来保存它们的引导信息｡
UEFI提供了从大小超过2TB的磁盘访问和引导的能力,
并提供了独立于CPU的架构和驱动程序,
以及可以包括网络功能和Web浏览访问的预操作系统环境｡
总体而言, UEFI比BIOS更新和更先进,
并在引导过程中提供额外的安全性和完整性检查,
包括安全引导｡
现在, BIOS和UEFI也可以使用几种不同类型的密码进行保护｡
这包括主管､ 管理员或设置密码､
用户或系统密码以及存储或硬盘驱动器密码｡
管理员､ 管理员或设置密码是您在使用BIOS或UEFI时要找到的第一种密码｡
此密码用于保护对BIOS或UEFI配置程序的访问,
并防止未经授权的用户访问此敏感配置工具｡
如果您设置了此密码, 则每当有人试图进入BIOS或UEFI时,
都会要求他们在授予访问权限之前输入密码, 但这不会阻止某人打开计算机并启动到正常的操作系统环境｡
此密码几乎总是在公司或企业网络中的计算机上设置,
因此您的最终用户无法访问BIOS或UEFI,
但您的系统管理员和技术人员可以（如果他们有正确的密码）｡
用户或系统密码是可以在BIOS或UEFI中配置的第二种密码｡
此密码用于锁定对整个计算机的访问｡
每当电脑开机时, 它就会停下来并要求输入密码｡
如果最终用户输入正确的密码, 计算机将继续加载操作系统并启动｡
虽然这是一种非常安全的保护计算机的方法,
但它几乎从未在公司或企业网络中使用过,
因为这个密码必须与访问该计算机的所有用户共享,
而这个共享密码则会否定我们试图获得的一些安全性｡
相反, 您通常会看到仅在某人的计算机上使用的用户或系统密码,
当他们是该计算机上的唯一用户时｡
这是一个单独的密码, 与用于访问Windows､
Linux或MacOS系统的用户密码不同,
而是授予用户在该预操作系统环境中访问系统的权限｡
第三种类型的密码称为存储或硬盘驱动器密码｡
在现代计算机中包含可信平台模块或硬件安全模块之前,
这种类型的密码曾经非常流行｡
此密码将锁定对连接到系统的硬盘驱动器的访问,
并要求最终用户输入密码, 以便从该硬盘读取并加载操作系统｡
不像用户或系统密码, 锁定用户的整个系统,
直到正确的密码输入, 存储或硬盘驱动器密码将只锁定他们的硬盘驱动器和能力,
从它启动该操作系统｡
我们需要介绍的下一个安全特性是安全引导｡
可以在UEFI界面和设置中启用安全启动,
BIOS不支持｡
如果启用, 它将在Windows或其他支持此功能的操作系统的启动过程中执行三种不同的验证,
以确保计算机没有被注入操作系统的某种恶意代码劫持｡
让我们来看看正常Windows系统上的完整启动过程｡
该过程的第一步发生在Windows计算机启动､
加载固件引导组件和启动引导管理器时｡
接下来, Windows加载程序将开始,
Windows内核将启动,
启动关键驱动程序安装将发生｡
现在, 任何额外的操作系统初始化都将发生,
最后, 用户将看到Windows登录屏幕｡
现在, 当在安全引导期间加载固件引导组件时,
固件首先要验证所有UV可执行文件和OS加载程序本身的完整性是否完好, 并且它们没有受到任何类型的恶意软件的危害｡
这意味着他们可以安全地装货｡
接下来, Windows引导组件将在加载它们之前验证每个组件的数字签名｡
如果任何组件未通过此签名检查,
则不会加载该组件, 并且会向最终用户触发警报｡
最后, 引导关键驱动程序将根据其已知的良好散列进行检查,
如果它们通过此检查, 则将作为安全引导过程的最后一部分加载｡
现在, 当涉及到安全启动时, 我希望你记住这是一个将用于确保我们的操作系统本身可以信任的过程,
它不会成为一种特殊类型的恶意软件的受害者,
这种恶意软件被称为root kit｡
为了使安全启动工作, 它必须在UEFI系统内部启用,
并且您的操作系统也必须支持它｡
我们需要在BIOS或UEFI中涵盖的最后一个安全功能是为主板上的USB端口设置权限｡
现在, 大多数现代系统都可以配置为启用或禁用主板上的USB端口,
有些甚至允许您限制USB端口, 以便它们不支持某些类型的USB设备,
但仍允许使用其他设备｡
现在, 这里最大的问题通常是恶意软件和数据丢失｡
在恶意软件方面, USB端口可以为试图闯入您系统的人提供一个很好的攻击途径｡
例如, 如果我在一个U盘上加载了一些恶意软件,
我可以把它放在办公楼外的停车场, 如果有人好奇,
把它捡起来, 插入他们的机器, 然后就可以把恶意软件安装到你的系统上｡
因此, 我们希望通过禁用USB从大容量存储设备读取和写入的能力来防止这种情况｡
你可以通过完全阻止USB来做到这一点,
但这样你就不能使用耳机和网络摄像头,
鼠标和键盘等东西｡
因此, 我们可能只想限制将它们用作大容量存储设备的能力,
这将阻止USB拇指驱动器或闪存驱动器或外部硬盘驱动器等任何东西连接到系统｡
这可以帮助我们防止恶意软件被引入我们的系统｡
但除此之外, 它还可以帮助我们防止数据流出我们的系统｡
例如, 假设你为政府内部的一个绝密组织工作｡
你不会希望有人能够带着一个小小的USB拇指驱动器走进来,
把它插到电脑上, 下载你所有的信息, 然后带着它走出前门｡
因此, 为了防止这种情况发生, 您实际上可以配置UEFI来阻止这些USB端口或防止它们用于大容量存储设备,
并再次阻止使用拇指驱动器和外部硬盘驱动器的能力, 这将使人们无法带着您的关键信息走出前门｡
所以请记住, 当涉及到安全性时, BIOS或UEFI可以为您提供三个主要方面｡
第一个是设置密码以控制对系统不同部分的不同访问的能力｡
第二个是启用安全启动的能力,
以确保您的操作系统在加载之前没有受到损害｡
第三是能够限制或禁用主板上的USB端口,
以防止恶意软件被引入系统, 或防止数据从系统中泄露｡