35、保障系统安全：从启动过程到镜像部署

保障系统安全：从启动过程到镜像部署

1. 启动、BIOS与固件安全

在保护数据方面，我们已经了解了TPM和LUKS磁盘加密。现在，让我们深入探讨硬件的基本功能和启动系统本身的安全。需要注意的是，这里要讨论的设置是一把双刃剑，它们既能保护系统，也可能给客户现场的系统支持带来极大困难。

1.1 深入剖析启动系统组件

当你开启Linux系统时，背后究竟发生了什么？下面为你详细解读。

现代x86_64平台大多采用统一可扩展固件接口（UEFI）BIOS，它是操作系统与所控制硬件之间的固件接口。而旧平台则使用特定于供应商或传统的BIOS类型，不同系统遵循的标准有限。为了便于理解传统BIOS和新的UEFI BIOS的差异，以下是它们的特性对比表：
| 关注点 | 传统BIOS | UEFI BIOS |
| ---- | ---- | ---- |
| 标准化 | 每个供应商有自己的特性/功能 | 无论供应商如何，均为行业标准功能 |
| 数字签名 | 无 | 安全启动 |
| 分区表支持 | 仅支持MBR分区表 | 增加了对GUID分区表的支持 |
| 平台 | 有限 | x86、X86_64、ARM、ARM64、PowerPC等 |
| 模块化 | 无 | 模块化 - 供应商可添加额外支持（如网络、存储等） |

启动过程始于按下电源按钮，系统固件BIOS/UEFI随即启动，进行加电自检（POST）。自检完成后，它会搜索并启动主引导记录（MBR）。MBR启动引导加载程序（如GRUB2），GRUB2加载定义的内核可执行文件，接着Initramfs开始工作，处理解密、软件RAID和文