Intel Boot Guard to mechanizm bezpieczeństwa realizowany przez firmware Intel ME, który weryfikuje kryptograficzny podpis BIOS przy każdym uruchomieniu laptopa. Jeśli kod BIOS został zmodyfikowany (przez malware klasy UEFI rootkit, błędne narzędzie flashowania lub niepodpisany moduł), Boot Guard odmawia uruchomienia systemu i wyświetla błąd. Jest to kluczowy element ochrony przed atakami firmware-level, jednak wymaga ścisłej współpracy między firmware ME a BIOS.
Nasz serwis weryfikuje poprawność konfiguracji Intel Boot Guard po aktualizacjach firmware BIOS i ME, diagnozuje problemy z weryfikacją integralności i przywraca poprawną konfigurację Boot Guard w laptopach z tą technologią.
Jak działa Intel Boot Guard
Boot Guard weryfikuje podpis kryptograficzny (RSA-2048 lub RSA-3072) BIOS Initial Boot Block (IBB) – pierwszej części kodu BIOS wykonywanej po resecie. Klucz publiczny (Key Manifest) jest przechowywany w zabezpieczonych fusach OEM w ME, wgranych przez producenta laptopa jednorazowo i niemodyfikowalnych. Jeśli podpis IBB nie pasuje do klucza w fusach, Boot Guard zatrzymuje POST. Implementacja jest transparentna dla użytkownika przy prawidłowych aktualizacjach BIOS dystrybuowanych przez producenta laptopa (zawierają poprawny podpis).
Problemy z Boot Guard po nieautoryzowanym flashowaniu BIOS
Próba wgrania BIOS z nieoficjalnego źródła (np. „unlocked" BIOS z forum overclockerów, BIOS innego modelu lub wersja BIOS bez podpisu OEM) na laptopie z Boot Guard w trybie Enforced skutkuje trwałym „bricem" (odmowa uruchomienia) bez możliwości cofnięcia zmiany przez standardowe metody. W trybie Verified (Audit mode) Boot Guard loguje niezgodność ale nie blokuje uruchomienia. Diagnosotykujemy tryb Boot Guard i ostrzegamy klientów przed ryzykownymi operacjami na firmware BIOS.
Boot Guard a serwis BIOS
Dla naszego serwisu BIOS, Intel Boot Guard jest ważnym ograniczeniem: możemy aktualizować firmware BIOS wyłącznie do wersji dystrybuowanych przez producenta laptopa z odpowiednimi podpisami OEM. Nie przeprowadzamy modyfikacji BIOS naruszających integralność Boot Guard (odblokowanie zaawansowanych ustawień BIOS, usuwanie zabezpieczeń Intel TXT). Jeśli klient potrzebuje specyficznych modyfikacji BIOS, informujemy o ryzyku utraty funkcjonalności Boot Guard i odradzamy operacje mogące trwale zablokować urządzenie.
Weryfikacja Boot Guard i raport bezpieczeństwa
Weryfikujemy status Boot Guard narzędziem MEInfo (pole ACM Policy Status) i potwierdzamy, że tryb jest zgodny z oczekiwaniem producenta laptopa (zazwyczaj Enforced dla urządzeń korporacyjnych). Raport z weryfikacji Boot Guard jest częścią kompleksowego audytu bezpieczeństwa firmware ME oferowanego przez nasz serwis. Audyt z raportem wyceniamy po oględzinach (2–4 godziny), a realizowany razem z aktualizacją firmware ME wchodzi w pakiet aktualizacja plus raport. Gwarancja do 12 miesięcy.
