To s virtualizací nesouvisí, virtualizovat můžete i s read-only BIOSem v SPI ROM, nebo dokonce na platformách které nemají ani jedno. Mám tu RK3399 (arm šestijádro) desku, ta po zapnutí zdroje přečte a spustí u-boot z SPI flashe (read-only pokud nepřepnu jumper) a ten u-boot přečte, autentifikuje a spustí kernel z disku. Nenapadá mě cesta jak by to mohl útočník prolomit, do toho čipu fyzicky nejde zapisovat data pokud mu ten pin nespojím se zemí. Běží mi na to několik mikro VM služeb (firecracker vm).
Na PCčkách chtěli snadno rozšiřitelný firmware se spoustou funkcí, mají ho... i s riziky, které s komplexním softwarem jsou.
Představa že vás WE přes jumper spasí před vším nebezpečím je hodně naivní. I ten u-boot pravděpodobně obsahuje doposud neodhalené chyby, které například mohou značně degradovat bezpečnostní vlastnosti té autnetizace nebo ji i obejít a v takových situacích je Vám i WE jumper prd platný. WE jumper Vás uchrání před zápisem škodlivého kódu, ale to je jen zlomek útoků, které se na low-level systémy jako je BIOS dělají a ani zdaleka ne všechny vyžadují perzistenci.
Však článek je právě o persistentním útoku, proto o tom píšu. Ano, u-boot je jak řešeto, ale útočit na něj lze až po kompromitaci userspace a v takovém případě zůstane u-boot bez změny. Smažu/vyměním disk, obnovím ze zálohy, a mám jistotu že mám opět důvěryhodný systém, což se nedá říct o moderních UEFI monstrech s uživatelsky přepisovatelným firmwarem.