固件已成为现代网络安全中一个关键的攻击向量。随着组织越来越依赖于连接的复杂硬件系统，确保平台固件——嵌入在硬件组件中的基础代码——变得前所未有的重要。NIST 特别出版物 (SP) 800-193：平台固件弹性指南提供了全面的指南，以增强各种计算平台的固件安全性和弹性。
在本文中，我们将带您从平台固件弹性 (PFR) 的基础知识到高级用例及实际实施。超越理论，我们将深入研究现实世界的案例和动手代码示例（使用 Bash/Python）。不论您是初学者还是经验丰富的网络安全专业人士，您都能找到可操作的建议以提升您的固件安全水平。
平台固件弹性 (PFR) 是一个网络安全框架和一套技术，旨在保护计算平台的基础固件免受网络威胁。根据 Lattice Semiconductor 公司的定义：
“平台固件弹性 (PFR) 是一个安全框架，旨在保护、检测和恢复计算平台的网络威胁。”
简单来说，PFR 为固件提供了一层保护屏障——即为您的硬件（主板、网络卡、磁盘控制器等）提供动力的低级代码，确保其不易成为对手的目标。
固件攻击可以是隐蔽且毁灭性的，国家级别的攻击者或高水平黑客可能安装持久性的恶意软件、后门或 rootkit。此类攻击可以绕过操作系统的安全性，存活于重启/擦除后，并威胁一个组织的长远安全。
随着供应链攻击变得越来越复杂，固件保障必须成为头等安全问题。
NIST Special Publication 800-193 建立了增强平台固件和关键数据安全性和弹性的指导方针。该出版物概述了：
SP 800-193 的关键目标：
这些指南针对系统固件（例如，UEFI/BIOS，基板管理控制器——BMC，选项 ROM 和嵌入式控制器），常见于服务器、台式电脑、笔记本和类似平台。
NIST SP 800-193 定义了一种核心弹性机制的三位一体：
目标： 防止对平台固件或配置数据的未经授权或恶意修改。
保护策略：
示例：UEFI 安全启动在启动时强制签名的固件和操作系统加载程序，从而降低引导级恶意软件的风险。
目标： 识别固件或配置数据何时被篡改、损坏或被恶意版本替换。
检测策略：
示例：基于 TPM 的完整性证明在引导时测量固件，并向系统管理员报告违规行为。
目标： 在攻击或故障后将固件和相关平台数据恢复到已知的、值得信赖的良好状态。
恢复策略：
示例：现代服务器将已验证的系统固件副本存储在隐藏区域中，如果主要固件损坏，会自动恢复。
场景： 在一个超大规模的数据中心里，每个服务器主板都装有一个运行嵌入式 Linux 固件的基板管理控制器 (BMC)。攻击者试图通过远程攻击破坏 BMC 固件，从而在电源管理、传感器和系统成像上获得持久控制。
通过 PFR 进行缓解：
场景： 恶意分子渗透供应链，在设备到达客户之前加载未经授权或含后门的固件。
通过 PFR 进行缓解：
让我们看看如何在 Linux 环境中，利用 fwupd 和 chipsec 这些流行的开源固件安全工具，进行扫描 UEFI/BIOS 固件的基础。
安装并使用 fwupd 列出设备并更新固件：
sudo apt-get install fwupd -y
sudo fwupdmgr get-devices
sudo fwupdmgr get-updates
假设您拥有系统的“已知良好”UEFI 固件转储 (golden_fw.bin)。使用 sha256sum 与当前固件转储进行比较：
# 使用 flashrom 转储当前固件
sudo flashrom -p internal -r current_fw.bin
# 计算并比较哈希值
sha256sum golden_fw.bin current_fw.bin
diff golden_fw.bin current_fw.bin || echo "固件不匹配：警报！"
此基本检查标记未经授权的更改。
CHIPSEC 是一个强大的命令行工具和 Python 库，用于平台安全性评估。
安装 CHIPSEC：
git clone https://github.com/chipsec/chipsec
cd chipsec
sudo python3 setup.py install
运行固件完整性检查：
sudo chipsec_main.py -m modules.common.bios_wp
这将测试 BIOS 写保护。
假设您的工具输出日志为纯文本或 JSON 格式。可以通过 Python 解析结果来实现自动告警。
假设 chipsec 生成的输出类似于：
[ INFO ] BIOS 区域写保护已启用 (0x6)
[ INFO ] BIOS 区域已写保护。
[ WARNING ] SMM/BMC 配置不安全！
我们希望检测‘WARNING’或‘FAILED’行。
import re
def parse_chipsec_log(logfile):
alerts = []
with open(logfile, "r") as f:
for line in f:
if re.search(r'\[ (WARNING|FAILED) \]', line):
alerts.append(line.strip())
return alerts
alerts = parse_chipsec_log("/var/log/chipsec_scan.txt")
if alerts:
print("检测到固件安全警报：")
for alert in alerts:
print(alert)
else:
print("未检测到关键固件安全问题。")
“测量引导”结合了固件和引导加载程序测量与受信任平台模块（TPM）硬件：
sudo apt install tpm2-tools
sudo tpm2_pcrread
检查反映引导时间测量的平台配置寄存器（PCR）值。
一些平台使用专用 PFR 设备（例如，Lattice 的 MachXO3D，英特尔的 PFR 解决方案）作为硬件信任根（HRoT）：
现代平台固件可以实施内存保护（例如，SMM 代码的 MMU、栈饼干）和反利用缓解措施。
如 NIST SP 800-193 中所述，平台固件弹性 (PFR) 是抵御最持久和隐蔽的网络攻击之一的关键防御。通过从一次性“即装即用”的固件部署演变为保护、检测和恢复循环，组织可以为其硬件构建强大的“免疫系统”。
忽视固件安全不再是一个选择。通过 PFR 和对 SP 800-193 的调整，您的硬件基础设施现在可以像您的软件堆栈一样具有弹性。
NIST SP 800-193 官方出版物：
https://csrc.nist.gov/pubs/sp/800/193/final
NIST PDF（完整特别出版物）：
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-193.pdf
什么是平台固件弹性（Lattice Semiconductor）：
https://www.latticesemi.com/en/What-is-Platform-Firmware-Resilience
CHIPSEC 固件安全框架：
https://chipsec.github.io
fwupd Linux 固件安全工具：
https://fwupd.org
可信计算组（TPM 信息）：
https://trustedcomputinggroup.org
本文是系列文章的一部分，介绍如何将 NIST 网络安全指南转化为实战。欲了解更多深入的安全指南，请订阅或关注我们的博客！