Sicurezza del firmware UEFI per i Mac dotati di processore Intel
I Mac dotati di processore Intel con chip di sicurezza Apple T2 offrono la sicurezza tramite il firmware UEFI (Intel).
Panoramica
Dal 2006, i Mac con una CPU Intel usano un firmware Intel basato sull’EFI (Extensible Firmware Interface) Development Kit (EDK) versione 1 o versione 2. Il codice EDK2 è conforme alla specifica UEFI (Unified Extensible Firmware Interface). Questa sezione fa riferimento al firmware Intel come firmware UEFI. Il firmware UEFI è stato il primo codice eseguito sul chip Intel.
Per i Mac dotati di processore Intel e sprovvisti del chip di sicurezza Apple T2, la radice di attendibilità per il firmware UEFI è il chip in cui è archiviato il firmware. Gli aggiornamenti del firmware UEFI vengono firmati digitalmente da Apple e verificati dal firmware prima che venga aggiornato il dispositivo di archiviazione. Per aiutare a impedire gli attacchi rollback, gli aggiornamenti devono avere sempre una versione più nuova di quella esistente. Tuttavia un hacker con accesso fisico al Mac potrebbe potenzialmente utilizzare l’hardware per ottenere accesso al chip di archiviazione del firmware e aggiornarlo con contenuti dannosi. Allo stesso modo, se le vulnerabilità vengono rilevate nel processo di avvio iniziale del firmware UEFI (prima che sia impedita la modifica del chip di archiviazione), anche ciò potrebbe comportare un’infezione persistente del firmware UEFI. Si tratta di un limite dell’architettura dell’hardware comune alla maggior parte dei PC Intel e presente in tutti i Mac dotati di processore Intel e sprovvisti del chip T2.
Per aiutare a impedire attacchi fisici che tentano di sovvertire il firmware UEFI, l’architettura dei Mac è stata ridisegnata in modo da avere la radice dell’attendibilità del firmware UEFI nel chip T2. Su questi Mac, la radice di attendibilità per il firmware UEFI è precisamente il firmware T2, come descritto nella sezione Processo di avvio per i Mac dotati di processore Intel.
Sotto-componente Intel Management Engine (ME)
Un sotto-componente archiviato nel firmware UEFI è il firmware Intel Management Engine (ME). Il firmware ME (un processore e un sottosistema separato all’interno dei chip Intel) viene usato principalmente per la protezione del copyright dei contenuti audio e video sui Mac dotati di scheda grafica solo Intel. Per ridurre la superficie di attacco di tale sottocomponente, i Mac dotati di processore Intel eseguono un firmware ME personalizzato, da cui sono stati rimossi la maggior parte dei contenuti. Dal momento che il firmware ME Mac risultante è più piccolo della dimensione minima di default che Intel mette a disposizione, molti componenti che in passato sono stati oggetto di attacchi pubblici da parte di ricercatori sulla sicurezza non sono più presenti.
Modalità di gestione del sistema (SMM)
I processori Intel hanno una modalità di esecuzione speciale, diversa dal funzionamento normale. È chiamata modalità di gestione del sistema (SMM) ed è stata introdotta originariamente per gestire le operazioni a tempo come la gestione dell’energia. Tuttavia, per realizzare tali azioni, storicamente i computer Mac usavano un micro-controller a parte chiamato SMC (System Management Controller). Tale controller adesso non è più un micro-controller separato, ma è stato integrato nel chip T2.