Google想干掉服务器上的Intel ME和私有UEFI

NERF 是一个基于 Linux 内核的变种作为 coreboot 的 payload 运行在固件启动阶段，借鉴了之前另外一个名为 HEADS 的 coreboot payload 实现，因此 NERF 在固件阶段可以非常灵活的定制各类操作。coreboot 是一个完全开放源代码的固件项目所以不存在不可审计的问题（闭源固件的二进制审计成本过高），另一方面，coreboot 相比私有 UEFI 大大降低了攻击平面。

Intel ME 方面，虽然今天很多应用是运行于 ME 平台上，但其安全方面不仅存在漏洞的风险，更存在后门的风险，所以一般核运行核心业务的机器都会禁用，这也是为什么 NSA 在作为可信保障规划的 HAP 项目中也禁用了 Intel ME。HardenedLinux 社区的基础平台防御方案 Hardening the COREs 在最极端的场景下不仅开启 HAP bit（学习 NSA 的做法）禁用 Intel ME，同时也删除必要代码模块以外的所有模块包括 AMT 和 SGX，云计算场景中诱人的 feature 比如基础资产管理和 remote attestation 可以通过 OS 层面的实现和 meansuredboot+TPM 来实现，虚拟化层面则配合 PaX/Grsecurity 和定制 SMI 实现联动防御对抗逃逸和测信道，内核本身的加固可以参考 PaX/Grsecurity 的特性根据业务场景和威胁建模进行适配，只有当 RING 0 到 RING -3 的基础防御问题得到有效解决时我们才有精力真正意义上去 hacking RING -4 的世界，这次是真的应该给 Google 点个赞了;-)