Процесс загрузки компьютера Mac с процессором Intel
Компьютеры Mac с процессором Intel и чипом безопасности Apple T2
При включении компьютера Mac с процессором Intel и чипом безопасности Apple T2 чип выполняет безопасную загрузку из своего загрузочного ПЗУ так же, как на iPhone, iPad и компьютере Mac с чипом Apple. Этот этап, на котором проверяется загрузчик iBoot, представляет собой первое звено цепочки доверия. iBoot проверяет ядро и код расширения ядра на чипе T2, который затем проверяет прошивку Intel UEFI. Прошивка UEFI и связанная подпись изначально доступны только чипу T2.
После проверки образ прошивки UEFI переносится в раздел памяти чипа T2. Доступ к памяти предоставляется процессору Intel через расширенный последовательный периферийный интерфейс (eSPI). При первой загрузке процессора Intel он извлекает прошивку UEFI через eSPI из проверенной на целостность копии прошивки, расположенной в памяти чипа T2.
Оценка цепочки доверия продолжается в процессоре Intel: прошивка UEFI оценивает подпись файла boot.efi, который является загрузчиком macOS. Подписи безопасной загрузки macOS в процессоре Intel хранятся в том же формате Image4, который используется для безопасной загрузки iOS, iPadOS и чипа T2, а для анализа файлов Image4 используется тот же защищенный код, который используется в текущей реализации безопасной загрузки iOS и iPadOS. Boot.efi в свою очередь проверяет подпись нового файла, называемого неизменяемым ядром. Если включена безопасная загрузка, файл неизменяемого ядра представляет собой полный набор расширений ядра Apple, необходимых для загрузки macOS. Действие политики безопасной загрузки завершается при переходе к неизменяемому ядру, после чего в действие вступают политики безопасности macOS (такие как защита целостности системы и подписанные расширения ядра).
Если во время этого процесса происходят какие-либо ошибки или сбои, Mac переходит в режим восстановления, режим восстановления чипа безопасности Apple T2 или режим обновления прошивки устройства (DFU) чипа безопасности Apple T2.
Microsoft Windows на компьютере Mac с процессором Intel без чипа T2
По умолчанию компьютер Mac с процессором Intel, который поддерживает безопасную загрузку, доверяет только контенту, подписанному Apple. Однако для повышения безопасности установок Boot Camp компания Apple также поддерживает безопасную загрузку для Windows. Прошивка унифицированного расширяемого интерфейса (UEFi) включает копию сертификата Microsoft Windows Production CA 2011, используемого для аутентификации загрузчиков Microsoft.
Примечание. В настоящее время Microsoft Corporation UEFI CA 2011 не считается доверенным и не позволяет подтверждать код, подписанный партнерами Microsoft. Этот сертификат UEFI CA обычно используется для проверки подлинности загрузчиков для других операционных систем, таких как различные версии Linux.
Поддержка безопасной загрузки Windows не включена по умолчанию; она включается с помощью Ассистента Boot Camp (BCA). Когда пользователь запускает BCA, происходит перенастройка macOS на доверие коду, подписанному непосредственно Microsoft, во время загрузки. Затем во время безопасной загрузки для macOS выполняется оценка доверия к коду, подписанному первой стороной. Если в результате оценки получен отрицательный ответ, прошивка UEFI пытается оценить доверие к объекту в соответствии с форматом безопасной загрузки UEFI. Если оценка доверия пройдена успешно, Mac продолжает процедуру и загружает Windows. Если нет, Mac переходит в среду recoveryOS и сообщает пользователю о том, что оценка доверия не пройдена.
Компьютеры Mac с процессором Intel без чипа T2
Компьютер Mac с процессором Intel без чипа T2 не поддерживает безопасную загрузку. Следовательно, прошивка унифицированного расширяемого интерфейса (UEFi) без проверки скачивает загрузчик macOS (boot.efi) из файловой системы, а затем загрузчик без проверки скачивает ядро (prelinkedkernel) из файловой системы. Чтобы защитить целостность последовательности загрузки, пользователи должны включить все перечисленные ниже механизмы безопасности.
Защита целостности системы (SIP). Эта функция включена по умолчанию и защищает загрузчик и ядро от вредоносных операций записи изнутри запущенной macOS.
FileVault. Эту функцию может включить либо пользователь, либо администратор системы управления мобильными устройствами (MDM). Это не позволит злоумышленнику, у которого есть физический доступ к компьютеру, использовать режим внешнего диска для замены загрузчика.
Пароль прошивки. Эту функцию может включить либо пользователь, либо администратор MDM. Это также не позволит злоумышленнику, у которого есть физический доступ к компьютеру, запустить другие режимы загрузки, такие как recoveryOS, однопользовательский режим или режим внешнего диска, из которых можно заменить загрузчик. Это мера также помогает предупредить загрузку с другого носителя, чтобы злоумышленник не мог запустить код для замены загрузчика.
