本页使用了标题或全文手工转换

统一可扩展固件接口

维基百科,自由的百科全书
跳到导航 跳到搜索
可扩展固件接口在软件层次中的位置

统一可扩展固件接口英语:Unified Extensible Firmware Interface,缩写UEFI)是一种个人电脑系统规格,用来定义操作系统与系统固件之间的软件界面,作为BIOS的替代方案[1]。可扩展固件接口负责加电自检(POST)、联系操作系统以及提供连接操作系统与硬件的接口。

UEFI的前身是Intel在1998年开始开发的Intel Boot Initiative,后来被重命名为可扩展固件接口Extensible Firmware Interface,缩写EFI)。Intel在2005年将其交由统一可扩展固件接口论坛(Unified EFI Forum)来推广与发展,为了凸显这一点,EFI也更名为UEFI(Unified EFI)。UEFI论坛的创始者是11家知名电脑公司,包括Intel、IBM等硬件厂商,软件厂商Microsoft,及BIOS厂商AMI英语American MegatrendsInsydePhoenix

规格[编辑]

可扩展固件接口(EFI)最初是由英特尔开发,于2002年12月英特尔释出其订定的版本——1.1版,之后英特尔不再有其他关于EFI的规范格式发布。有关EFI的规范,英特尔已于2005年将此规范格式交由UEFI论坛来推广与发展,后来并更改名称为Unified EFI(UEFI)。UEFI论坛于2007年1月7日释出并发放2.1版本的规格,其中较1.1版本增加与改进了加密编码(cryptography)、网络认证(network authentication)与用户接口架构(User Interface Architecture)。

相关方面的制定[编辑]

2009年5月9日,发布2.3版本。截至今日为止,2.7版是最新的公开的版本。

统一可扩展固件接口(UEFI)的产生[编辑]

EFI引导管理员与 EFI drivers的沟通方式

众所周知,英特尔在近二十年来引领以x86系列处理器为基础的PC技术潮流,其产品如CPU芯片组等在PC生产线中占据绝对领导的位置。因此,不少人认为此举显示英特尔公司欲染指固件产品市场的野心。事实上,EFI技术源于英特尔安腾处理器(Itanium)平台的推出。安腾处理器是英特尔瞄准服务器高端市场投入近十年研发力量设计产生的与x86系列完全不同的64位新架构。在x86系列处理器进入32位的时代,由于兼容性的原因,新的处理器(80386)保留16位的运行方式(实模式),此后多次处理器的升级换代都保留这种运行方式。甚至在包含EM64T技术的至强系列处理器中,处理器加电启动时仍然会切换到16位的实模式下运行(BIOS)。英特尔将这种情况归咎于BIOS技术的发展缓慢。自从IBM PC兼容机厂商通过净室的方式复制出第一套BIOS源程序,BIOS就以16位汇编代码,寄存器参数调用方式,静态链接,以及1MB以下内存固定编址的形式存在十几年。虽然由于各大BIOS厂商近年来的努力,有许多新元素添加到产品中,如PnP BIOS、ACPI、传统USB设备支持等等,但BIOS的根本性质没有得到任何改变。这迫使英特尔在开发新的处理器时,都必须考虑加进使性能大大降低的兼容模式。用一个比喻来讲:这就像保时捷新一代的全自排跑车,被人套上去一个蹩脚打档器。

然而,安腾处理器并没有这样的顾虑,它是一个新生的处理器架构,系统固件和操作系统之间的接口都可以完全重新定义。并且这一次,英特尔将其定义为一个可扩展的,标准化的固件接口规范,不同于传统BIOS的固定的,缺乏文档的,完全基于经验和晦涩约定的一个事实标准。基于EFI的第一套系统产品的出现至今已经有五年的时间,如今,英特尔试图将成功运用在高端服务器上的技术推广到市场占有率更有优势的PC产品线中,并承诺在2006年间会投入全力的技术支持。

比较统一可扩展固件接口(UEFI)和BIOS[编辑]

二者显著的区别就是UEFI是用模块化,C语言风格的参数堆栈传递方式,动态链接的形式构建的系统,较BIOS而言更易于实现,容错和纠错特性更强,缩短了系统研发的时间。它可以运行于x86-64、IA32、IA64等架构上(在个人电脑上通常是x86-64平台),突破传统16位代码的寻址能力,达到处理器的最大寻址。它利用加载EFI驱动程序的形式,识别及操作硬件,不同于BIOS利用挂载真实模式中断的方式增加硬件功能。后者必须将一段类似于驱动程序的16位代码(如RAID卡的Option ROM)放置在固定的0x000C00000x000DFFFF之间存储区中,运行这段代码的初始化部分,它将挂载实模式下约定的中断向量向其他程序提供服务。例如,VGA图形及文本输出中断(INT 10h),磁盘访问中断服务(INT 13h)等等。由于这段存储空间有限(128KB),BIOS对于所需放置的驱动程序代码大小超过空间大小的情况无能为力。另外,BIOS的硬件服务程序都以16位代码的形式存在,这就给运行于增强模式的操作系统访问其服务造成了困难。因此BIOS提供的服务在现实中只能提供给操作系统引导程序或MS-DOS类操作系统使用。而UEFI系统下的驱动程序可以由EFI Byte Code(EBC)编写而成,EFI Byte Code是一组专用于EFI驱动程序的虚拟机器语言,必须在EFI驱动程序运行环境(Driver Execution Environment,或DXE)下被解释运行。采用EBC编写的EFI驱动程序拥有平台无关性,打个比方说,一个带有EBC EFI驱动程序的PCIe设备,既可以将其安装于采用x64 UEFI固件的服务器中,也可以将其安装到采用UEFI固件的ARM系统中,而它的EFI驱动不需要重新编写。实际上绝大部分Intel/AMD电脑的UEFI固件都是x64架构的。另外,由于EFI驱动程序开发简单,所有的PC部件提供商都可以参与,情形非常类似于现代操作系统的开发模式,这个开发模式曾使Windows在短短的两三年时间内成为功能强大,性能优越的操作系统。基于EFI的驱动模型可以使UEFI系统接触到所有的硬件功能,在操作系统运行以前浏览万维网站,实现图形化、多语言的BIOS设置界面,或者无需运行操作系统即可在线更新BIOS等等不再是天方夜谭,甚至实现起来也非常简单。这对基于传统BIOS的系统来说是件难以实现的任务,在BIOS中添加几个简单的USB设备支持都曾使很多BIOS设计师痛苦万分,更何况除了添加对无数网络硬件的支持外,还得凭空构建一个16位模式下的TCP/IP协议栈

BIOS多使用CMOS芯片保存BIOS设置值与硬件侦测数据,CMOS保存数据需要电力供应,如果主板上的CMOS电池已没有电量,那么在电脑断电后,CMOS中存储的数据会丢失,且系统时钟无法运作。UEFI多采用NVRAM存储固件设置及硬件侦测数据。

一些人认为BIOS只不过是由于兼容性问题遗留下来的无足轻重的部分,不值得为它花费太大的升级努力。而反对者认为,当BIOS的出现约制了PC技术的发展时,必须有人对它作必要的改变。

统一可扩展固件接口(UEFI)和操作系统[编辑]

UEFI在概念上非常类似于一个低阶的操作系统,并且具有操控所有硬件资源的能力。不少人感觉它的不断发展将有可能代替现代的操作系统。事实上,EFI的缔造者们在第一版规范出台时就将EFI的能力限制于不足以威胁操作系统的统治地位。首先,它只是硬件和预启动软件间的接口规范;其次,UEFI环境下不提供中断的机制,也就是说每个EFI驱动程序必须用轮询(polling)的方式来检查硬件状态,并且需要以解释的方式运行,较操作系统下的机械码驱动效率更低;再则,UEFI系统不提供复杂的缓存器保护功能,它只具备简单的缓存器管理机制,具体来说就是指运行在x64x86处理器的64位模式或保护模式下,以最大寻址能力为限把缓存器分为一个平坦的段(Segment),所有的程序都有权限访问任何一段位置,并不提供真实的保护服务。当UEFI所有组件加载完毕时,便会启动操作系统启动程序,如果UEFI固件内置EFI Shell,也可以启动EFI Shell命令提示(部分UEFI固件内置EFI Shell),在这里,用户可以调入执行EFI应用程序,这些EFI程序可以是OEM提供的硬件诊断软件,OEM提供的备份软件,操作系统的启动程序等等,也可以加载EFI分区(ESP)中的EFI驱动程序文件(如文件系统驱动程序)。实际上大部分OEM PC的UEFI BIOS会在UEFI引导功能表上提供运行内置诊断程序、内置还原程序的功能。EFI应用程序和EFI驱动程序可以是PE格式的.efi文件,可用C语言编写。在UEFI引导模式下,操作系统的启动程序也是EFI应用程序,启动程序的EFI文件存储在EFI系统分区(ESP)上。操作系统的启动程序将控制权交给操作系统并完成操作系统核心的启动后,绝大部分UEFI的程序将停止工作,由操作系统直接控制硬件,UEFI的少部分运行时服务如Runtime等等则继续工作,为操作系统提供系统时间等功能。

统一可扩展固件接口(UEFI)的组成[编辑]

x64电脑平台的UEFI通常包含以下几个部分:

  1. Pre-EFI初始化模块
  2. EFI驱动程序执行环境
  3. EFI驱动程序
  4. 兼容性支持模块(CSM)
  5. EFI应用程序
  6. GUID磁盘分区表

在实现中,统一可扩展固件接口(UEFI)初始化模块和驱动执行环境通常被集成在一个只读存储器中。Pre-EFI初始化程序在系统开机的时候最先得到执行,它负责最初的CPU,芯片组及存储器的初始化工作,紧接着加载UEFI的驱动程序执行环境(DXE)。当DXE被加载运行时,系统便具有了枚举并加载其他UEFI驱动程序的能力。在基于PCI Express架构的x64电脑系统中,系统会加载UEFI内置的驱动程序模块,完成CPU、存储器、芯片组及主板的进一步初始化,初始化各PCIe控制器、PCIe适配器(如RAID扩展卡或显卡)及芯片组内置PCIe适配器(如芯片组内置的SATAUSB网卡等功能)并加载这些PCIe设备的UEFI驱动程序(如果有的话,也有可能是加载PCIe设备的Legacy Option ROM)。UEFI驱动程序不仅可以包含在PCIe适配器的ROM中(作为PCIe设备的UEFI Option ROM),还可以以.EFI文件的形式被方便的加载。在UEFI规范中,一种突破传统MBR磁盘分区结构限制的GUID磁盘分区系统(GPT)被引入,新结构中,磁盘的主分区数不再受限制(在MBR结构下,只能存在4个主分区),另外UEFI+GPT磁盘分割表结合还可以支持2.1 TB以上硬盘(有测试显示,3TB硬盘使用MBR磁盘分割表,并且安装Windows 64位系统,Windows只能识别到2.1TB),并且分区类型将由GUID来表示。在众多的分区类型中,EFI系统分区(ESP)可以被UEFI固件访问,可用于存放操作系统的引导程序、EFI应用程序(如OEM的备份程序和硬件诊断程序)和EFI驱动程序。EFI系统分区采用FAT文件系统,在Windows操作系统下默认是不显示的。UEFI固件通过运行EFI系统分区中的启动程序文件(扩展名为.EFI的UEFI应用程序)启动操作系统。CSM是在x86平台UEFI系统中的一个特殊的模块,它将为不具备UEFI引导能力的操作系统以及16位的传统Option ROM(即非EFI的Option ROM)提供类似于传统BIOS的系统服务。Secure Boot功能要求原生UEFI(即关闭CSM),因此在UEFI固件设置中打开CSM前,需要在UEFI固件设置中关闭Secure Boot。

统一可扩展固件接口(UEFI)的发展[编辑]

英特尔无疑是推广EFI的积极因素,近年来由于业界对其认识的不断深入,更多的厂商正投入这方面的研究。包括英特尔,AMD在内的一些PC生产厂家联合成立了UEFI论坛。另外各大BIOS提供商如Insyde,Phoenix,AMI等,他们原先被认为是EFI发展的阻碍力量,现在也不断的推出各自的解决方案。分析人士指出,这是由于BIOS厂商在EFI架构中重新找到了诸如Pre-EFI启动环境之类的市场位置,然而随着EFI在PC系统上的成功运用,以及英特尔新一代芯片组的推出,这一部分市场份额将会不出意料的在英特尔的掌控之中。2011年以前大部分个人电脑并不支持UEFI引导,最早采用EFI固件的电脑之一是Apple的Intel Mac(Apple自推出Intel Mac后,所有采用Intel处理器的麦金塔电脑都使用EFI固件,Mac的macOS系统以EFI及GPT磁盘分割表引导。Intel Mac采用Boot Camp作为CSM的实现,以支持在Mac上安装Windows等操作系统)。随后微星科技推出了少数支持UEFI的主板,2009年IBMDell也推出了采用UEFI固件的服务器,同时期HP等电脑厂商也推出了少量支持UEFI引导的高端个人电脑。部分采用EFI技术的BIOS并不支持EFI引导,尤其是许多早年的OEM PC BIOS(尤其是笔记本电脑),这些BIOS虽然采用EFI规范,但是只支持Legacy引导。从2011年的Intel Sandy Bridge平台(第二世代英特尔酷睿i系列处理器)及AMD Llano平台(初代AMD APU)开始,大多数零售主板采用UEFI技术并支持UEFI引导,但在2011年时大部分显卡(包括Intel处理器的Intel HD Graphics内显)未支持UEFI GOP规范,需要UEFI固件的CSM才可以识别显卡,该时期大部分的PC主板的UEFI BIOS也不能关闭CSM。英特尔的Ivy Bridge平台(第三世代英特尔酷睿i系列处理器)进一步完善UEFI支持,比如改善Intel HD Graphics内显的UEFI GOP支持,支持原生UEFI(即没有CSM的UEFI),支持Secure Boot,从Ivy Bridge平台开始,大部分PC主板的UEFI BIOS可以关闭CSM(虽然UEFI BIOS提供关闭CSM的选项,但是如果显卡不支持UEFI GOP规范,则无法关闭CSM,或者关闭CSM后系统无法引导),随后,微软又要求,预装Windows 8的电脑,必须采用UEFI引导模式,以及Secure Boot。从2014年开始,大部分零售独立显卡开始逐步支持UEFI GOP及Secure Boot。

操作系统支持[编辑]

Linux内核自2000年开始,已经支持EFI启动。早期使用ELILO作为EFI下的启动程序。现在,GRUB的EFI版本已代替ELILO,大多数Linux发行版已使用GRUB作为UEFI下的启动程序。从Linux版本3.15起,来自英代尔的工程师Matt Fleming将64位核心提供了支持32位UEFI固件的可能,前提只需要UEFI操作系统启动程序支持EFI handover协议[2] ,譬如流行的GRUB2。同样流行的32位版Linux,譬如Ubuntu 16.04.3 LTS,也可以使用这类启动程序在64位版UEFI固件的机器上使用。

安腾版本的Windows 2000已于2002年加入对EFI 1.10的支持。安腾版本的Windows Server 2003Windows XP 64-Bit Edition(以IA-64架构作为运行平台)已支持EFI。

Windows Vista SP1开始,x86-64架构的Windows操作系统已支持UEFI。但是,若在UEFI模式下安装和启动Windows Vista SP1(或Windows Server 2008)或Windows 7(或Windows Server 2008 R2)通常需要在UEFI固件设置中打开CSM[3],因为Windows 7/Windows Server 2008 R2并不支持原生UEFI显示使用的UEFI GOP协议。32位的Windows Vista和Windows 7不支持UEFI启动。从Windows 8开始,支持Secure Boot,UEFI模式下的启动亦无须CSM(支持原生UEFI),32位版本的Windows 8亦支持32位的UEFI(不支持64位的UEFI)。

现在,x86-64架构的FreeBSDOpenBSDNetBSD已支持UEFI。

虚拟机对UEFI的模拟[编辑]

VMware Workstation支持对UEFI的模拟,但是在VMware Workstation 11以前,VMware Workstation并未正式支持UEFI,需要手动编辑虚拟机的.vmx文件以打开虚拟机的UEFI。VMware Workstation 11及以后的版本正式支持对UEFI的模拟。从VMware Workstation 14开始支持Secure Boot。

VirtualBox支持对UEFI的模拟,但是VirtualBox的UEFI并不支持Windows Vista和Windows 7。

QEMU/KVM可通过OVMF支持对UEFI的模拟。

微软Hyper-V英语Hyper-V的第二代虚拟机支持对UEFI的模拟,以及Secure Boot。

采用UEFI固件的x86/x64系统类别[编辑]

类别0,这类系统使用x86 BIOS固件,只支持传统操作系统。

类别1,这类系统采用支持UEFI和Pi规范的固件,激活CSM层功能,只支持传统操作系统。

类别2,这类系统采用支持UEFI和Pi规范的固件,激活CSM层功能,同时支持传统和UEFI启动的操作系统。

类别3,这类系统采用支持UEFI和Pi规范的固件,不再提供或完全关闭CSM层功能,只支持由UEFI启动的操作系统。

类别3+,在类别3的系统基础上提供并激活Secure Boot功能。

微软公司的Windows 8及之后的操作系统适用于上述所有类别的电脑,之前支持UEFI固件的操作系统适用于类别0至类别2型电脑,不支持UEFI固件的操作系统仅可用于类别0和类别1的电脑。所有支持UEFI启动的Linux操作系统适用于类别0至类别3型电脑,多数现行分发版也支持类别3+中的Secure Boot功能,譬如Ubuntu等。 Intel计划将于2020年推出的UEFI Class 3规范中,将Legacy BIOS界面完全舍弃,Intel旗下的所有产品将使用UEFI Class 3(有一部分产品可能是3+)[4]

批评[编辑]

Ronald G. Minnich(coreboot的共同作者)和 Cory Doctorow(科幻小说家)和数字权利运动者批评EFI是企图借由禁止用户完整控制他们的电脑,来保护知识产权[5][6]它并没有解决BIOS长期以来对多数硬件需要两种不同驱动程序的问题--一个给固件,一个给操作系统[7]

TianoCore(一个提供制作基于UEFI自由固件工具的开放源代码项目)[8]缺乏用来启动芯片组的专门的驱动程序,因此需要芯片组厂商提供额外的功能。TianoCore是coreboot的一个附加选项,它包含了启动芯片组的代码。

由于UEFI比起原先的BIOS技术可以对远程网上引导提供更高的弹性,因此在标准的安全规定有一些疑虑。[9]

Secure Boot[编辑]

在UEFI 2.3.1 Errata C规范中定义了一项名为“Secure Boot”的协议,Secure Boot只允许加载有适当数字签名的EFI驱动程序和EFI启动程序,操作系统核心也只加载有特定有效数字签名的驱动程序(尤其是Windows 10,当打开UEFI Secure Boot后,对驱动程序数字签名的检查更严格),因此Secure Boot可让引导过程更安全。但是Red Hat开发者Matthew Garrett在他的文章"UEFI secure booting"中忧虑UEFI的Secure Boot功能可能会影响Linux(贴有Windows 8认证贴纸的机器,默认Secure Boot启动,只预载了OEM微软密钥,可能无法以Linux引导)。[10][11]微软回应称顾客可以停用UEFI固件中的secure boot。[12][13]然而,某些OEM厂商仍然可能在其产品中省略这项功能。稍晚,报告指出微软显然禁止在ARM系统上实现停用Secure Boot的功能。[14][15]

自由软件基金会(FSF)的Josh Gay对UEFI的"Secure Boot"实现提出忧虑,并发表公开声明及连署说:

我们—连署者—敦促所有实现了UEFI中称为"Secure Boot"的电脑制造商立即允许自由的操作系统可以被安装。基于尊重用户的自由权以及确切保护用户安全,制造商必须允许电脑拥有者停用引导限制,或是提供一个确切可能的方法让他们安装并运行自由的操作系统。我们承诺我们将不会购买、也不会推荐剥夺用户重要自由的电脑,并且,我们将积极地敦促社会大众避免如此禁锢用户的系统。[16][17]

2012年1月,微软释出一份关于OEM硬件认证的文件,指出所有的x86x86-64设备应该将UEFI Secure Boot启动,不过可以改用一个可让用户增加数字签名的自定义secure boot模式。然而,在运行Windows的ARM设备上使用自定义secure boot模式或停用都是不可能的[18]。这份称为Windows硬件认证需求(英语:Windows Hardware Certification Requirements[19]证实了运行Windows 8、基于ARM的设备被禁止了任何安装其他操作系统的可能性。现在,UbuntuFedoraopenSUSERHEL(从RHEL 7开始)、CentOS(从CentOS 7开始)等Linux发行版已经支持Secure Boot。大部分PC/x86服务器也可以关闭Secure Boot(包括微软Surface)。Windows 8以后的微软Windows操作系统可支持Secure Boot,Windows 10在打开Secure Boot的情况下更可使用Device Guard等功能。Secure Boot要求原生UEFI环境,即不能打开CSM,也就是打开Secure Boot的系统不支持Legacy引导及Legacy Option ROM。

安全性[编辑]

针对UEFI进行攻击的可行性已经被证实,不过首支被确认的感染UEFI的rootkit恶意程序在2018年9月底才被发现。[20]该恶意程序在东欧、巴尔干地区甚至到中欧均有被感染案例,去除该恶意程序的唯一方法是重新灌写UEFI固件,欲防止再次被感染则是要额外打开Secure Boot或依靠主板禁止更新固件的功能,Intel 5 系列 PCH 以后的设备也许不受影响,但不少政府部门、公司机构中仍保有大量的旧型且使用UEFI固件的电脑,仍有大规模爆发的危险。[21]

注释[编辑]

  1. ^ Kinney, Michael. Solving BIOS Boot Issues with EFI (PDF). Intel DeveloperUPDATEMagazine: 1. 
  2. ^ Linux kernel 3.15, Section 1.3. EFI 64-bit kernels can be booted from 32-bit firmware. kernelnewbies.org. 2014-06-08 [2014-06-15]. 
  3. ^ UEFI 的 Windows 支援, Microsoft, [2017-11-25], (原始内容存档于2017-12-01) 
  4. ^ Richardson, Brian. "Last Mile" Barriers to Removing Legacy BIOS (PDF). 30 October 2017 [22 November 2017]. 
  5. ^ Interview: Ronald G Minnich. Fosdem. 2007-02-06 [2010-09-14]. [永久失效链接]
  6. ^ Cory Doctorow, The Coming War on General Purpose Computation, 2011-12-27 [2013-07-11] 
  7. ^ coreboot (aka LinuxBIOS): The Free/Open-Source x86 Firmware. YouTube. 2008-10-31 [2010-09-14]. 
  8. ^ Welcome, TianoCore, SourceForge, (原始内容存档于2012-04-23) .
  9. ^ Risks, UK: NCL .
  10. ^ Garrett, Matthew. UEFI secure booting. [2011-09-20]. 
  11. ^ Garrett, Matthew. UEFI secure booting. [2011-09-23]. 
  12. ^ MS denies secure boot will exclude Linux. The Register. 2011-09-23 [2011-09-24]. 
  13. ^ Protecting the pre-OS Environment with UEFI. Microsoft. 2011-09-22 [2011-09-24]. 
  14. ^ http://www.softwarefreedom.org/blog/2012/jan/12/microsoft-confirms-UEFI-fears-locks-down-ARM/
  15. ^ 存档副本. [2017-03-07]. (原始内容存档于2012-03-09).  已忽略文本“2012-03-09” (帮助)
  16. ^ Gay, Josh. Will your computer's "Secure Boot" turn out to be "Restricted Boot"?. www.fsf.org. Free Software Foundation. [2011-10-25]. 
  17. ^ Stand up for your freedom to install free software. www.fsf.org. Free Software Foundation. [2011-10-25]. 
  18. ^ http://www.softwarefreedom.org/blog/2012/jan/12/microsoft-confirms-UEFI-fears-locks-down-ARM/
  19. ^ 存档副本 (PDF). [2014-04-24]. (原始内容 (PDF)存档于2014-06-11).  已忽略文本“2014-06-11” (帮助)
  20. ^ ESET 发现第一个 UEFI rootkit 恶意程式 LoJax,感染后连重灌系统也没辙. techbang.com. 2018-09-28 (中文(台湾)‎). 
  21. ^ LoJax: First UEFI rootkit found in the wild, courtesy of the Sednit group. WeLiveSecurity. 2018-09-27. 

参看[编辑]

外部链接[编辑]