Seguridad del firmware de UEFI en un ordenador Mac basado en Intel
Un Mac basado en Intel con un chip de seguridad T2 de Apple ofrece seguridad gracias al firmware de UEFI (Intel).
Descripción general
Desde 2006, los ordenadores Mac con una CPU Intel utilizan un firmware de Intel basado en la versión 1 o la versión 2 del kit de desarrollo (EDK) de la interfaz de firmware extensible (EFI). El código basado en EDK2 se ajusta a las especificaciones de la interfaz de firmware extensible unificada (UEFI). En esta sección se hará referencia al firmware de Intel como el firmware de UEFI. El firmware de UEFI era el primer código que se ejecutaba en el chip de Intel.
Para un Mac basado en Intel sin el chip de seguridad T2 de Apple, la raíz de confianza del firmware de UEFI es el chip en el que se almacena el firmware. Apple firma digitalmente las actualizaciones del firmware de UEFI, que el firmware verifica antes de actualizar el almacenamiento. Para ayudar a evitar los ataques que intentan restablecer versiones anteriores, las actualizaciones siempre deben tener una versión más reciente que la versión existente. Sin embargo, un atacante con acceso físico al Mac podría usar hardware para atacar el chip de almacenamiento de firmware y actualizarlo para que albergue contenido malicioso. Del mismo modo, si existieran vulnerabilidades en un punto temprano del proceso de arranque del firmware de UEFI (antes de que se restrinja la escritura en el chip de almacenamiento) también podrían provocar una infección persistente del firmware de UEFI. Se trata de una limitación de la arquitectura del hardware común en la mayoría de ordenadores PC basados en Intel y que está presente en todos los ordenadores Mac basados en Intel sin el chip T2.
Para ayudar a impedir ataques físicos que puedan subvertir el firmware de UEFI, se ha modificado la arquitectura de los ordenadores Mac para radicar la confianza en el firmware de UEFI en el chip T2. En estos ordenadores Mac, la raíz de confianza del firmware de UEFI se encuentra específicamente en el firmware del chip T2, tal como se describe en Proceso de arranque para un Mac basado en Intel.
Subcomponente del motor de gestión de Intel (ME)
El firmware del motor de gestión de Intel (ME) es un subcomponente que se almacena dentro del firmware de UEFI. El ME (un procesador y subsistema independiente en los chips de Intel) se usa principalmente para la protección de derechos de autor de audio y vídeo en un Mac que solo tenga gráficos basados en Intel. Para reducir la superficie de ataque de este subcomponente, un Mac basado en Intel ejecuta un firmware de ME personalizado en el que se han eliminado la mayoría de los componentes. Dado que el firmware de ME del Mac resultante es más pequeño que la compilación mínima por defecto publicada por Intel, muchos componentes que han sido objeto de ataques públicos por parte de investigadores de seguridad en el pasado ya no se encuentran presentes.
Modo de gestión del sistema (SMM)
Los procesadores Intel tienen un modo de ejecución especial que difiere del funcionamiento normal. Este se llamó modo de gestión del sistema (SMM) y originalmente se introdujo para gestionar operaciones urgentes, como la gestión de la energía. Sin embargo, para llevar a cabo dichas acciones, los ordenadores Mac han utilizado históricamente un microcontrolador discreto llamado controlador de gestión del sistema (SMC). El SMC, que ya no es un microcontrolador independiente, se ha integrado en el chip T2.