英特尔电脑台式怎么样开机(基于 Intel 的 Mac 的启动过程)

基于Intel的Mac的启动过程基于Intel且搭载AppleT2安全芯片的Mac

基于Intel且搭载AppleT2安全芯片的Mac电脑开机后，芯片会通过与iPhone、iPad和搭载Apple芯片的Mac相同的方式从BootROM执行安全启动。此步骤会验证iBoot引导载入程序，是信任链的第一步。iBoot会检查T2芯片上的内核和内核扩展代码，之后T2芯片会检查IntelUEFI固件。UEFI固件和相关的签名最初只能被T2芯片使用。

通过验证后，UEFI固件映像会映射到T2芯片内存的某个部分。此内存通过增强的串行外设接口(eSPI)供IntelCPU访问。IntelCPU首次启动时，它会通过eSPI从T2芯片上进行了完整性检查和内存映射的固件副本中获取UEFI固件。

信任链的评估会在IntelCPU中继续：UEFI固件会评估作为macOS引导载入程序的boot.efi的签名。Intel芯片中驻留的macOS安全启动签名使用Image4格式储存，该格式与用于iOS、iPadOS和T2芯片安全启动的格式相同；而解析Image4文件的代码与当前实施iOS和iPadOS安全启动的强化代码相同。Boot.efi又会验证称为immutablekernel的新文件的签名。安全启动启用后，immutablekernel文件表示启动macOS所需的一系列完整的Apple内核扩展。进入immutablekernel阶段后，安全启动策略便会告一段落；之后macOS安全性策略（如“系统完整性保护”和签名的内核扩展）便会实施。

如果在这个过程中发生了任何错误或失败，Mac会进入恢复模式、AppleT2安全芯片恢复模式或AppleT2安全芯片设备固件升级(DFU)模式。

基于Intel且搭载T2芯片的Mac上的MicrosoftWindows

基于Intel且支持安全启动的Mac默认只信任由Apple签名的内容。但是为了提高“启动转换”安装的安全性，Apple也支持Windows安全启动。统一可扩展固件接口(UEFi)固件包括了用于认证Microsoft引导载入程序的MicrosoftWindowsProductionCA2011证书副本。

【注】目前尚未提供针对MicrosoftCorporationUEFICA2011的信任，该信任允许对由Microsoft合作伙伴签名的代码进行验证。此UEFICA通常用于验证其他操作系统（如Linux变体）中引导载入程序的真实性。

对Windows安全启动的支持默认处于未启用状态，需要通过“启动转换助理”(BCA)启用。用户运行BCA时，macOS会重新配置以在启动过程中信任Microsoft第一方签名的代码。BCA完成后，如果macOS在安全启动过程中未能通过Apple第一方信任评估，UEFI固件会尝试根据UEFI安全启动格式评估对于对象的信任。如果信任评估成功，Mac会继续并启动Windows。如果失败，Mac会进入recoveryOS并通知用户信任评估失败。

基于Intel且不搭载T2芯片的Mac电脑

基于Intel且不搭载T2芯片的Mac不支持安全启动。因此统一可扩展固件接口(UEFi)固件会在未经验证的情况下从文件系统载入macOS引导程序(boot.efi)，而引导程序会在未经验证的情况下从文件系统载入内核(prelinkedkernel)。为了保护启动链的完整性，用户应该启用以下所有安全性机制：

系统完整性保护(SIP)：默认启用；此功能会保护引导程序和内核免受来自正在运行的macOS的恶意写入。文件保险箱：可通过两种方式启用：由用户启用或由移动设备管理(MDM)管理员启用。此功能可防止处于电脑前的攻击者使用“目标磁盘模式”改写引导程序。固件密码：可通过两种方式启用：由用户启用或由MDM管理员启用。此功能可帮助防止处于电脑前的攻击者启动备选启动模式，如recoveryOS、“单用户模式”或者“目标磁盘模式”，在这些模式下，引导程序可被改写。它还可帮助防止从备选介质启动；攻击者可以通过这种方式运行代码来改写引导程序。