NIST SP 800-193: BIOS 平 台 固 件 弹 性 指 南 Post on 12 December 2018 NIST 特 别 出 版 800-193 平 台 固 件 弹 性 指 南 Andrew Regenscheid 著 计 算 机 安 全 分 部 ， 信 息 科 技 实 验 室 此 出 版 物 可 从 此 处 免 费 获 得 ： https://doi.org/10.6028/NIST.SP.800-193 2018 年 五 月 美 国 商 务 部 秘 书 Wilbur L. Ross, Jr. 美 国 国 家 标 准 技 术 研 究 所 NIST 主 任 和 标 准 技 术 商 务 次 长 Walter Copan 权 力 范 围 此 出 版 物 由 NIST 开 发 以 符 合 其 在 2014 年 的 美 国 联 邦 信 息 安 全 现 代 化 法 案 （FISMA ） ， 美 国 法 典 第 44 章 3551 节 及 其 下 的 内 容 ， 公 法 （ P.L. ） 113-283 。 NIST 负 责 为 联 邦 信 息 系 统 开 发 信 息 安 全 标 准 和 指 南 ， 但 是 这 些 标 准 和 指 南 不 应 该 被 应 用 于 国 家 安 全 系 统 ， 如 果 没 有 对 这 些 系 统 行 使 政 策 权 力 的 适 当 的 联 邦 官 员 的 明 确 许 可 。 此 指 南 同 美 国 行 政 管 理 和 预 算 局 （ OMB ） 公 告 A-130 的 要 求 相 一 致 。 此 出 版 物 中 的 任 何 内 容 都 不 应 该 被 带 到 由 美 国 商 务 部 秘 书 在 法 定 权 力 下 规 定 的 对 于 联 邦 政 府 机 构 具 有 强 制 性 和 法 律 约 束 力 的 相 矛 盾 的 标 准 和 指 导 意 见 中 来 。 这 些 指 导 意 见 也 不 应 该 被 解 读 为 更 改 或 者 取 代 商 务 部 秘 书 、 行 政 管 理 和 预 算 局 主 任 ， 或 是 任 何 其 他 联 邦 官 员 的 现 有 权 力 。 此 出 版 物 可 以 在 自 愿 的 基 础 上 被 非 政 府 组 织 使 用 ， 并 且 不 受 美 国 版 权 的 限 制 。 但 是 NIST 要 求 署 名 权 。 美 国 国 家 标 准 技 术 研 究 所 特 别 出 版 800-193Natl. Inst. Stand. Technol. Spec. Publ. 800-193 ， 45 页 （ 2018 年 五 月 ） https://doi.org/10.6028/NIST.SP.800-193 CODEN ： NSPUE2 “此 文 档 中 可 能 会 提 到 某 些 商 业 实 体 、 设 备 或 者 器 材 以 便 充 分 地 描 述 某 种 试 验 程 序 或 者 概 念 。 这 样 的 提 名 的 本 意 并 非 暗 示 NIST 对 其 的 推 荐 或 认 可 ， 也 非 暗 示 这 些 实 体 、 器 材 或 者 设 备 一 定 是 可 用 于 该 目 的 之 最 好 的 。 “此 文 档 中 可 能 会 有 对 于 NIST 的 当 前 正 在 开 发 中 的 其 他 出 版 物 的 引 用 ， 以 便 符 合 其 被 赋 予 的 法 定 责 任 。 此 出 版 物 中 的 信 息 ， 包 括 概 念 和 方 法 论 ， 可 以 被 联 邦 政 府 机 构 使 用 ， 即 使 是 在 这 些 附 带 的 出 版 物 完 成 之 前 。 因 此 ， 直 到 每 部 出 版 物 完 成 之 前 ， 当 前 的 要 求 、 指 导 意 见 和 过 程 在 其 所 存 在 之 处 仍 然 有 效 。 关 于 计 划 和 迁 移 的 目 的 ， 联 邦 政 府 机 构 可 能 想 要 紧 密 跟 踪 由 NIST 提 供 的 这 些 新 出 版 物 的 进 展 。 “我 们 鼓 励 组 织 机 构 在 公 开 评 论 期 间 审 阅 所 有 出 版 物 草 案 ， 并 且 向 NIST 提 供 反 馈 。 除 了 上 述 出 版 物 以 外 ， NIST 的 众 多 计 算 机 安 全 出 版 物 可 以 从 https://csrc.nist.gov/publications 获 取 。 关 于 此 出 版 物 的 评 论 可 以 被 提 交 至 ： 美 国 国 家 标 准 技 术 研 究 所 收 件 人 ： 计 算 机 安 全 分 部 ， 信 息 科 技 实 验 室 ， 办 事 处 大 道 100 号 （ 8930 邮 递 点 ） ， 盖 瑟 斯 堡 ， 马 里 兰 州 20899-8930 邮 件 ：sp800-193comments@nist.gov 所 有 评 论 必 须 在 美 国 信 息 自 由 法 （ FOIA ） 条 款 下 发 布 。 计 算 机 系 统 技 术 报 告位 于 美 国 国 家 标 准 技 术 研 究 所 （ NIST ） 的 信 息 科 技 实 验 室 （ ITL ） 通 过 为 国 家 的 测 定 和 标 准 基 础 设 施 提 供 技 术 领 导 来 提 升 美 国 经 济 和 公 众 福 利 。 ITL 通 过 开 发 测 试 、 测 试 方 法 、 参 考 数 据 、 概 念 实 现 的 证 明 以 及 技 术 分 析 来 推 进 信 息 科 技 的 发 展 及 其 生 产 性 的 使 用 。 ITL 的 职 责 包 括 为 联 邦 信 息 系 统 中 的 国 家 安 全 相 关 信 息 以 外 的 成 本 高 效 的 安 全 性 和 隐 私 性 开 发 管 理 、 行 政 、 技 术 和 物 理 方 面 的 标 准 和 指 导 意 见 。 此 特 别 出 版 800 系 列 报 导 了 ITL 的 研 究 、 指 导 意 见 及 其 在 信 息 系 统 安 全 领 域 的 延 伸 努 力 ， 以 及 与 行 业 、 政 府 和 学 术 组 织 之 间 的 合 作 活 动 。 摘 要 此 文 档 提 供 了 关 于 支 持 平 台 固 件 和 数 据 对 抗 潜 在 地 具 有 破 坏 性 的 攻 击 的 弹 性 的 技 术 指 导 意 见 和 建 议 。 平 台 是 启 动 和 运 行 一 台 系 统 所 需 的 功 能 硬 件 和 固 件 的 集 合 。 针 对 平 台 固 件 的 成 功 攻 击 可 以 使 得 系 统 不 可 运 行 ， 可 能 是 永 久 的 ， 或 者 要 求 由 原 始 制 造 商 重 新 编 程 ， 造 成 对 用 户 的 重 大 妨 碍 。 此 文 档 中 的 指 导 意 见 通 过 描 述 下 列 安 全 机 制 来 提 升 平 台 的 弹 性 ： 保 护 平 台 防 止 非 授 权 更 改 、 检 测 已 发 生 的 非 授 权 更 改 ， 以 及 快 速 和 安 全 地 从 攻 击 中 恢 复 。 包 括 原 始 设 备 制 造 商 （ OEM ） 和 组 件 / 设 备 提 供 商 在 内 的 实 现 者 可 以 利 用 这 些 指 导 意 见 以 便 在 平 台 中 构 建 更 强 的 安 全 机 制 。 系 统 管 理 员 、 安 全 专 业 人 士 和 用 户 可 以 利 用 此 文 档 以 便 为 未 来 的 系 统 指 导 采 购 策 略 和 优 先 级 。 关 键 字 BIOS ； 代 码 签 名 ； 固 件 ； Option ROM ； 平 台 固 件 致 谢 来 自 美 国 国 家 标 准 技 术 研 究 所 （ NIST ） 的 作 者 Andrew Regenscheid 想 要 感 谢 那 些 审 阅 了 此 文 档 草 案 并 且 为 其 贡 献 了 技 术 内 容 的 同 事 。 特 别 地 ， NIST 感 谢 那 些 帮 助 指 导 此 作 品 的 来 自 业 界 和 政 府 的 专 家 所 作 出 的 贡 献 。 这 些 专 家 包 括 来 自 思 科 的 Chirag Schroff ； 来 自 戴 尔 的 Mukund Khatri ； 来 自 慧 与 科 技 的 CJ Coppersmith 、 Gary Campbell 、 Shiva Dasari 和 Tom Laffey ； 来 自 惠 普 公 司 的 Jim Mann ； 来 自 IBM 的 Charles Palmer ； 来 自 Intel 公 司 的 Bob Hale 、 David Riss 和 Vincent Zimmer ； 来 自 微 软 的 Paul England 和 Rob Spiger ， 以 及 Shane Steiger 。 NIST 还 想 要 感 谢 来 自 美 国 国 家 安 全 局 的 Kevin Bingham 、 Cara Steib 和 Mike Boyle ， 他 们 为 此 文 档 作 出 了 实 质 性 的 贡 献 ， 以 及 来 自 Noblis NSP 的 Jeffrey Bruke 。 受 众此 文 档 本 意 中 的 受 众 包 括 计 算 机 系 统 的 系 统 和 平 台 设 备 厂 商 ， 其 中 包 括 客 户 端 、 服 务 器 和 网 络 设 备 制