研究：4.2%Mac电脑仍含有EFI漏洞

资安业者Duo Security于本周警告，在分析7.3万台Mac电脑之后，发现其中4.2%的扩展固件界面（Extensible Firmware Interface，EFI）仍含有安全漏洞，并非是苹果没有修补这些漏洞，而是修补不完全，同时预期这类开机前固件（pre-boot firmware）的安全问题在Windows与Linux中可能更严重。

位于主板上的EFI固件在操作系统启动前便开始运作，它辨识并启动装置上的硬件元件，再将它们提报给操作系统，操作顺序优先于Hypervisor及操作系统。

安全研究人员在2014年底揭露了Mac电脑上的EFI固件漏洞，骇客可借由苹果的Thunderbolt界面将恶意程式植入并常驻于EFI中，2015年即有针对相关漏洞的Thunderstrike与ThunderStrike 2等攻击程式现身，CIA亦设计了锁定Mac EFI漏洞的攻击工具Sonic Screwdriver。

藏匿在EFI中的恶意程式不但可规避操作系统的安全机制、不容易侦测，亦难以移除，不管是重装操作系统或是更换硬盘都无法摆脱它。

从2015年迄今，苹果于更新程式中陆续修补EFI漏洞，然而，当Duo Security检验于生产环境中使用的7.3万台Mac电脑时，却发现有漏网之鱼，约有4.2%比例的EFI固件并未真正被修补。

资安公司Duo Security分析了苹果这三年来随着10.10.0至10.12.6的发表所释出的EFI更新，发现有些Mac的确执行了更新，然而EFI固件却未随之更新，而且未更新EFI固件的比例也因Mac操作系统、硬件配置或版本的不同而相异，只要是采用10.12 Sierra之前版本Mac电脑上的EFI版本都可能没有收到应有的更新，甚至有16款Mac型号从未收到过EFI固件更新，涵盖iMac、MacBook、Macbook Air、MacBook Pro与MacPro。

Duo Security释出了EFIgy工具，也提供了详细的检测说明，来协助Mac用户判断装置上的EFI固件是否为安全的版本。

Duo Security建议Mac用户升级到最新的macOS 10.12.6，也呼吁无法修补EFI漏洞的个人用户不必太担心，因为他们相信锁定EFI固件漏洞的骇客应是针对高价值的目标发动攻击，通常是国家级的攻击行动或是商业间谍。

尽管此一研究是针对苹果的Mac电脑，不过Duo Security解释，这是因为苹果全权负责包含主板在内的整个平台，方便进行研究，但固件安全问题在拥有不同主板及固件供应商的Windows或Linux电脑上可能更严重。