![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_TW/52d714626638d3391623c853be0c593b.png)
採用 Intel 架構的 Mac 所具備的 UEFI 韌體安全性
採用 Intel 架構並配備 Apple T2 安全晶片的 Mac 使用 UEFI(Intel)韌體來提供安全性。
概覽
自 2006 開始,配備 Intel CPU 的 Mac 電腦,是根據「可延伸韌體介面」(EFI)開發套件(EDK)第 1 或 2 版來使用 Intel 韌體。以 EDK2 為基礎的程式碼遵循「統一可延伸韌體介面」(UEFI)規格。本節以 UEFI 韌體來稱呼 Intel 韌體。UEFI 韌體是 Intel 晶片上執行的第一個程式碼。
若 Mac 未配備 Apple T2 安全晶片並採用 Intel 架構,UEFI 韌體的信任根則為儲存著韌體的晶片。UEFI 韌體更新是由 Apple 數位簽章,且須由韌體進行驗證後才會更新儲存體。為了協助防止回復攻擊,更新項目的版本必須一律比現有版本新。但是,攻擊者若能實體取用 Mac,便可能連接韌體儲存晶片並更新該晶片來包含惡意內容。同樣地,如果在 UEFI 韌體的舊開機程序中(在其限制寫入儲存晶片之前)發現弱點,也可能導致 UEFI 韌體持續感染。這個硬體架構限制在大部分採用 Intel 架構的 PC 上很常見,且所有未配備 T2 晶片並採用 Intel 架構的 Mac 電腦上均存在此限制。
為了防止破壞 UEFI 韌體的實體攻擊,我們重新設計了 Mac 電腦的架構,以便將信任根放入 T2 晶片中 UEFI 韌體內。在這些 Mac 電腦上,UEFI 韌體的信任根具體來說為 T2 韌體;詳情請參閱:採用 Intel 架構的 Mac 如何進行開機程序。
Intel 管理引擎(ME)子元件
Intel 管理引擎(ME)韌體是儲存在 UEFI 韌體中的子元件。ME 是 Intel 晶片內的獨立處理器和子系統,主要用於只採用 Intel 繪圖晶片的 Mac,以保護音訊和影片的版權。為了縮小此子元件的攻擊面,採用 Intel 架構的 Mac 會執行自訂的 ME 韌體,其中大部分元件都已移除。因為產生的 Mac ME 韌體小於 Intel 提供的預設精簡版組建,過去曾遭受安全研究人員公開攻擊的許多元件已不存在。
系統管理模式(SMM)
Intel 處理器具有與一般作業不同的特殊執行模式。其名稱為「系統管理模式」(SMM),最初引入的目的是處理對時間準確度要求高的作業,例如電力管理。但是為了執行這類作業,Mac 電腦長久以來均使用稱為「系統管理控制器」(SMC)的離散微控制器。SMC 不再是獨立的微控制器,而是已整合到 T2 晶片內。