17、计算机启动安全：保障系统完整性的关键

计算机启动安全：保障系统完整性的关键

1. 启动相关的攻击类型

在计算机安全领域，启动过程的安全性至关重要。早期曾出现过如CIH病毒这类对启动造成严重破坏的案例。CIH病毒以其作者台湾大同大学学生陈盈豪命名，它会向BIOS区域写入垃圾数据，导致数百万台计算机在20世纪90年代末无法启动。不过在如今的操作系统中，没有物理访问权限很难对闪存或引导加载程序进行写入操作，而且新计算机通常配备了备份BIOS镜像和可恢复的引导加载程序，大多数知名的杀毒软件也能监测引导加载程序的完整性并查杀感染它的病毒，因此单纯针对启动路径的破坏攻击影响较小。

除了这种破坏式攻击，还有“邪恶女仆”攻击。2009年10月，Invisible Things Lab的Joanna Rutkowska首次描述了这种攻击。攻击者使用包含可引导精简Linux操作系统的USB设备启动无人看管的笔记本电脑，利用POSIX命令 dd 安装恶意引导套件。该套件会替换合法的引导加载程序，添加一个钩子用于识别和记录用户在启动时输入的驱动器加密密码。它还会重新计算主引导记录（MBR）的某些字段，使其看起来像合法的MBR。记录的密码会存储在硬盘上，攻击者可以通过网络获取或再次使用USB设备启动时读取。一旦获得加密密码，攻击者就能克隆加密驱动器并窃取数据。

需要注意的是，“邪恶女仆”攻击只对关机的笔记本电脑有效，因为它利用了启动完整性保护的缺失，而用户仅在启动时输入驱动器加密密码。不过，普通用户外出短时间就餐时通常不会关闭笔记本电脑，但听说过“冷启动”攻击的专业用户可能会关机。研究发现，即使在室温下，动态随机存取存储器（DRAM）在断电后的一段时间内仍能保留数据，较冷的环境会延长数据保留时间，这使得经验丰富的