No mundo hiper-conectado de hoje, quase todo dispositivo—desde sensores de Internet das Coisas (IoT) a servidores empresariais—depende da integridade do seu firmware e do processo de boot. O firmware, o código de baixo nível que facilita a operação do hardware, é um alvo frequente para atores mal-intencionados que buscam controle persistente e furtivo sobre os dispositivos. Se os atacantes comprometem o firmware ou inserem componentes maliciosos no início do processo de boot, eles podem contornar a maioria das ferramentas de segurança tradicionais, causar danos irreversíveis, roubar dados sensíveis e até mesmo sequestrar a funcionalidade do dispositivo para fins criminosos.
Para os fabricantes de dispositivos, a adesão aos princípios fundamentais de segurança de dispositivos não é apenas um requisito regulatório, mas também um aspecto central da engenharia responsável. Entre eles, destaca-se manter a integridade do dispositivo: garantir que cada componente de software crítico, do primeiro bootloader ao sistema operacional principal, seja verificado criptograficamente antes da execução.
Este blog mergulha nos principais princípios e tecnologias que impulsionam a segurança de dispositivos, focando em mecanismos como Boot Seguro, proteção de integridade de firmware e o uso eficaz da atestação criptográfica. Forneceremos exemplos do mundo real, passeios por códigos e práticas recomendadas acionáveis tanto para iniciantes quanto para usuários avançados.
Integridade do dispositivo refere-se à confiança de que um dispositivo está operando exatamente como pretendido por seu fabricante, sem modificações não autorizadas em qualquer estágio de sua operação. Isso inclui o processo de boot—desde o momento em que um dispositivo é ligado, até a execução do sistema operacional e dos aplicativos.
O Centro Nacional de Segurança Cibernética (NCSC) destaca manter a integridade do dispositivo como um pilar central do design de sistema seguro para fabricantes. Em particular, o NCSC enfatiza que:
"Garantir que cada peça do software de boot corresponda a assinaturas boas conhecidas anteriormente oferece a confiança de que o dispositivo está inicializando em um bom estado, e, portanto, confiável para operações subsequentes."
A falha em garantir a integridade do software de boot abre a porta para rootkits e bootkits—códigos maliciosos que podem persistir sem serem detectados, independentemente dos controles de segurança no nível do sistema operacional.
A proteção da integridade do firmware busca garantir que o firmware em execução em um dispositivo seja exatamente como o fabricante pretendia, sem adulterações ou modificações não autorizadas após o lançamento.
Os fabricantes também devem proteger a propriedade intelectual do firmware contra extração e engenharia reversa. Técnicas comuns incluem:
Mecanismos de atestação de dispositivos permitem que outros sistemas verifiquem que um dispositivo está executando apenas o firmware autorizado. Isso é geralmente alcançado via certificados (infraestrutura de chave pública, PKI) ou usando Módulos de Plataforma Confiável (TPM), que armazenam de forma segura medidas criptográficas e atestam o estado atual do firmware.
O processo de boot inicializa o hardware do dispositivo e carrega os componentes de software necessários até que o sistema operacional esteja totalmente operacional. Isso envolve múltiplos estágios ou carregadores, tipicamente:
"Cadeia de Confiança" descreve esta transição segura:
Este processo ajuda a prevenir tanto malware no nível do firmware quanto modificações não autorizadas.
(Fonte: Blog de Segurança da Microsoft)
Introduzido com o Windows 8, o Secure Boot utiliza firmware UEFI (Interface de Firmware Extensível Unificada) e uma raiz de confiança para garantir que apenas código assinado e confiável seja carregado durante o boot.
Abra o PowerShell como Administrador:
Confirm-SecureBootUEFI
Saída:
True: Secure Boot está habilitado e funcionando.False: Secure Boot está desativado ou não suportado.if (Confirm-SecureBootUEFI) {
Write-Output "Secure Boot está HABILITADO"
} else {
Write-Output "Secure Boot está DESATIVADO ou não é suportado"
}
Dispositivos Android (Android 4.4+) incluem o Verified Boot, que verifica a integridade do bootloader e da partição do sistema em cada estágio.
A partir do shell ADB:
adb shell getprop ro.boot.verifiedbootstate
Saída comum:
green: O dispositivo inicializou com imagem de sistema verificadayellow: Chaves personalizadas usadasorange: Verified Boot está desativadoO Chip de Segurança T2 da Apple, encontrado no hardware Mac, fornece uma raiz de confiança baseada em hardware. Apenas firmware assinado pela Apple é carregado, e a assinatura de armazenamento externo impede a inicialização de imagens de SO externas sem aprovação.
Raízes de confiança em hardware (RoT) são componentes de hardware dedicados e imutáveis responsáveis pela verificação inicial de assinaturas na inicialização. Podem assumir a forma de:
Eles aplicam a primeira etapa do processo de boot, medindo e atestando o firmware inicial antes que qualquer coisa seja carregada.
tpm2_getcap properties-fixed | grep -i firmware
O núcleo do Boot Seguro e da integridade do firmware é a criptografia de chave pública. Os fabricantes embutem uma chave pública no ROM de boot, e todas as imagens de firmware legítimas são assinadas com a chave privada correspondente.
import hashlib
from cryptography.hazmat.primitives import serialization, hashes
from cryptography.hazmat.primitives.asymmetric import padding
def verify_firmware_signature(firmware, signature, public_key_file):
with open(public_key_file, "rb") as pkf:
public_key = serialization.load_pem_public_key(pkf.read())
try:
public_key.verify(
signature,
firmware,
padding.PKCS1v15(),
hashes.SHA256()
)
return True
except Exception:
return False
Isso garante que o firmware seja tanto autêntico (assinado pelo fabricante) quanto não adulterado (hash corresponde ao que foi assinado).
O Módulo de Plataforma Confiável (TPM) fornece armazenamento seguro para medidas de boot e chaves criptográficas.
No Linux com tpm2-tools:
tpm2_pcrread
Isso gera uma lista de hashes que representam o estado medido de cada componente no processo de boot (PCR 0-7 tipicamente se referem a fases do BIOS, boot loader, e carregador do SO).
mokutil, efibootmgr, e fwupdVerifique se o Secure Boot está habilitado:
mokutil --sb-state
Saída Exemplo:
SecureBoot enabled
Liste entradas de boot EFI:
efibootmgr
Verifique versões de firmware (usando fwupd):
fwupdmgr get-devices
#!/bin/bash
if mokutil --sb-state | grep -q enabled; then
echo "Secure Boot está HABILITADO"
else
echo "Secure Boot NÃO está habilitado"
fi
echo "Entradas de Boot EFI Atuais:"
efibootmgr
Usando tpm2-tools e Python para analisar medições de boot:
tpm2_pcrread -o pcrs.json
import json
with open('pcrs.json', 'r') as f:
pcrs = json.load(f)
# Exibir PCRs Relacionados ao Boot
for idx in range(8): # PCR 0 a 7
print(f"PCR {idx}: {pcrs['sha256'][str(idx)]}")
Você pode comparar esses hashes com valores "dourados" (conhecidos como bons) armazenados de um dispositivo em seu estado de fábrica.
Os fabricantes de dispositivos têm a responsabilidade de garantir que o hardware saia de suas fábricas imune à vasta gama de ataques como rootkit, bootkit e firmware que existem por aí. Implementar princípios de segurança de dispositivos—especialmente aqueles que protegem o processo de boot e a integridade do firmware—é a pedra angular para construir uma infraestrutura digital confiável.
Desde a validação básica de assinatura criptográfica em cada ciclo de boot até mecanismos avançados de atestação com suporte a TPM, estabelecer uma robusta cadeia de confiança é a maneira mais segura de interromper atacantes que almejam controle persistente. Este post do blog descreveu tanto os princípios fundamentais quanto as ferramentas práticas (com exemplos scriptáveis) que todo engenheiro de segurança ou fabricante deve conhecer.
Garantir o firmware e o processo de boot protege os usuários contra ameaças tanto visíveis quanto invisíveis, elevando a barra para os atacantes e promovendo um ecossistema digital mais seguro para todos.
Se você achou este conteúdo valioso, imagine o que você poderia alcançar com nosso programa de treinamento de elite abrangente de 47 semanas. Junte-se a mais de 1.200 alunos que transformaram suas carreiras com as técnicas da Unidade 8200.