Seguridad del firmware UEFI en una Mac basada en Intel
Las computadoras Mac basadas en Intel con el chip de seguridad T2 de Apple ofrecen seguridad mediante el firmware UEFI (Intel).
Descripción general
Desde 2006, las computadoras Mac con CPU basado en Intel utilizan un firmware de Intel basado en el kit de desarrollo (EDK) de la interfaz de firmware extensible (EFI) versión 1 o versión 2. El código basado en EDK2 cumple con la especificación de la interfaz de firmware extensible unificada (UEFI). Esta sección se refiere al firmware de Intel como el Firmware UEFI. El firmware UEFI fue el primer código que se ejecutó en el chip de Intel.
En las computadoras Mac basadas en Intel que no tienen el chip de seguridad T2 de Apple, la raíz de confianza del firmware UEFI es el chip en donde está almacenado el firmware. Las actualizaciones del firmware UEFI están firmadas digitalmente por Apple, y verificadas por el firmware antes de actualizar el almacenamiento. Para evitar ataques de retroceso, las actualizaciones siempre deben tener una versión más reciente que la existente. Sin embargo, un atacante con acceso físico a la Mac podría potencialmente adjuntar hardware al chip de almacenamiento del firmware y actualizar el chip para integrarle contenido malicioso. De forma similar, si se encuentran vulnerabilidades en el proceso temprano de arranque del firmware UEFI (antes de que el chip de almacenamiento restrinja la escritura), esto también podría ocasionar infecciones persistentes en el firmware UEFI. Esta es una limitación arquitectónica del hardware común en la mayoría de las PC basadas en Intel, y está presente en todas las computadoras Mac basadas en Intel que no tienen el chip T2.
Para ayudar a prevenir ataques físicos que alteran el firmware UEFI, se realizó una reestructuración en las computadoras Mac para arraigar la confianza en el firmware UEFI en el chip T2. En estas computadoras Mac, la raíz de confianza del firmware UEFI es específicamente el firmware T2, como se describe en la sección Proceso de arranque de computadoras Mac basadas en Intel.
Subcomponente Intel Management Engine (ME)
Uno de los subcomponentes que se almacena en el firmware UEFI es el firmware de Intel Management Engine (ME). El ME, un procesador y subsistema separados dentro de los chips Intel, se usa principalmente para la protección de derechos de autor de contenido de audio y video en las Mac que sólo tienen gráficos basados en Intel. Para reducir la superficie de ataque de este subcomponente, las computadoras Mac basadas en Intel ejecutan un firmware ME personalizado del cual se han retirado la mayoría de los componentes. Debido a que el firmware ME de Mac resultante es más pequeño que la versión mínima predeterminada que Intel pone a disposición, muchos componentes que han sido objeto de ataques públicos por parte de investigadores de seguridad en el pasado ya no están presentes.
Modo de administración del sistema (SMM)
Los procesadores Intel tienen un modo especial de ejecución, distinto de la operación normal, llamado modo de administración del sistema (SMM), que originalmente se introdujo para manejar las operaciones en las que el tiempo es muy importante, como la gestión de la energía. Sin embargo, para realizar tales acciones, las computadoras Mac históricamente han utilizado un microcontrolador discreto conocido como el controlador de administración del sistema (SMC). El SMC se ha integrado en el chip T2, por lo que ya no es un microcontrolador separado.