在 firmwarepasswd Catalina 中禁用 orom

Question

我最近在应用这些时遇到了一些麻烦设置

命令firmwarepasswd -disable-reset-capability返回错误 6。

然后我尝试firmwarepasswd -check / -mode

我意识到奥罗姆已启用，我想禁用它。

我从中国购买了一款售后 SSD，我认为 SSD 的嵌入式控制器有恶意代码，并且在启动时注入，并且通过奥罗姆在ring0特权应该在环3。

操作系统是 macOS卡塔利娜 2016 年 MBP

Answer 1

自 Catalina 以来，macOS 将所有 OROM 放入沙盒并强制它们在第 3 环运行。在此之前，除非用户强制运行，否则它根本不会让它们运行。

从Apple 平台安全 - macOS 中的 Option ROM 安全性

在 macOS 10.15 中，UEFI 固件已更新，包含一种用于对 OROM 进行沙盒处理并剥夺其特权的机制。UEFI 固件通常在最高 CPU 特权级别（称为 ring 0）下执行所有代码（包括 OROM），并为所有代码和数据提供单个共享虚拟内存空间。Ring 0 是 macOS 内核运行的特权级别，而较低特权级别 ring 3 是应用程序运行的级别。OROM 沙盒通过像内核一样使用虚拟内存分离来解除 OROM 的特权，然后让 OROM 在 ring 3 中运行。

沙盒进一步显著限制了 OROM 可以调用的接口（很像内核中的系统调用过滤）和 OROM 可以注册的设备类型（很像应用程序批准）。这种设计的好处是恶意 OROM 无法再直接在 Ring 0 内存中的任何地方写入数据。相反，它们被限制在一个非常狭窄且定义明确的沙盒接口中。这个有限的接口显著减少了攻击面，迫使攻击者首先逃离沙盒并提升权限。

由此无法确定的是，该firmwarepasswd实用程序是否被更改以完全阻止用户交互，或者现在是否是硬编码的。这也许可以解释为什么您尝试取消特权会失败。