“为什么要费心去了解暗网？你的电脑反正都已经被NSA植入后门了！”——这个在安全圈经常听到的说法，反映了深刻的偏执和真实的、实质的担忧。虽然很容易将这种观点视为阴谋论，但现实是复杂的：硬件后门是当今最重大的网络安全威胁之一。
在这篇文章中，我们将从基础知识开始——什么是硬件后门，为什么你应该关心——一直到检测、减轻甚至禁用硬件后门的高级技术。我们将剖析已知事件，打破神话并澄清事实，同时提供可操作的工具、命令行技巧和Python/Bash脚本，你可以现在就用于基本的硬件取证。
后门，是任何一种获得系统未授权访问的方法（无论是故意还是偶然），可以绕过正常的身份验证、加密或安全控制。传统上，后门是在软件中实现的——通常是由开发者为了调试目的添加的，或者在最坏的情况下，由攻击者为保持访问而植入。
爱德华·斯诺登的泄密文件揭示了国家行为体在全球范围内强力监控数字通信的努力，包括但不限于与硬件供应商合作植入后门。关于硬件层次妥协的详细信息稀少且通常被列为机密，但一直有关于供应商（如根据NSA供应链阻断文件）合作的传闻。
2018年，彭博社发表了一篇耸人听闻的报道，称中国在Supermicro主板上植入了微型芯片。虽然大多数厂商和美国情报机构正式否认这些硬件后门的存在，但这一事件突显了供应链攻击的真实风险以及检测这种植入的难度。
硬件设计和组装是全球化的。组件在到达您的设备之前会经过很多人的手。在每个阶段都有可能出现故意或偶然的妥协，这增加了攻击面，特别是在消费级硬件中。
flashrom或SPI编程器转储固件，将其与已知良好的镜像进行比较。tcpdump、wireshark或专门的IDS寻找未授权连接，特别是来自系统管理引擎（例如Intel ME，AMD PSP）的连接。2011年哥伦比亚大学的一篇论文[pdf]介绍了通过使用硬件设计策略阻止/检测恶意触发器的方法来“消音”数字硬件后门。
即使你不怀疑遇到政府级供应链攻击，任何人都可以并且应该采取一些基本步骤来保护自己。以下是一些方法：
使用lspci，lsusb，dmidecode（Linux）或设备管理器（Windows）列出所有连接的组件。
示例（Linux，终端）：
lspci -nn
lsusb -v
sudo dmidecode | less
查找未知或意外的设备。
sudo flashrom -p internal -r bios_dump.bin
sha256sum bios_dump.bin
将此哈希与厂商发布的固件或已知良好的社区转储进行比较。
可以使用lsusb探测USB设备的描述符：
lsusb -v
检查意外的出站流量或使用脚本捕获数据包元数据：
sudo tcpdump -i any -w /tmp/full.pcap
# 分析可疑连接
或使用Python进行简单扫描：
import psutil
for conn in psutil.net_connections():
print(f"Local: {conn.laddr}, Remote: {conn.raddr}, Status: {conn.status}")
过滤已知可疑IP或异常端口的连接。
# 将BIOS哈希与参考进行比较
sudo flashrom -p internal -r my_bios.bin
sha256sum my_bios.bin
# 将输出与REFERENCE_HASH进行比较
lspci | grep -v -E 'Intel|AMD|NVIDIA|Realtek|ASMedia'
import psutil
for conn in psutil.net_connections(kind='inet'):
if conn.status == psutil.CONN_LISTEN:
print(f"PID {conn.pid}: {conn.laddr}")
sudo netstat -tulpan
ps -eaf | grep -iE 'hidden|unknown|suspect'
优先选择可审核设计的平台：开放CPU和固件，免费和开源的BIOS（如coreboot），RISC-V处理器或开放参考板如Purism Librem或System76 Thelio。
对于真正敏感的数据：
对于大多数用户：软件、网络钓鱼和简单的错误配置比假设的硬件后门带来的风险要大得多。但对于活动人士、记者、组织——保持防御警惕是合理的。
如果你关心隐私或从事网络安全工作，了解硬件后门并不是“戴锡纸帽子”级别的事情。这是现代风险管理的必要部分。