软件开发和熬制一锅完美的鲜汤一样难以把握——每个商业产品都经手多人，而总有厨师会把小豆蔻和香叶遗留在汤里。微软的 Secure Boot 便是如此：过去几年间，这项基石安全机制竟因多个过时的 UEFI shim 启动加载器而形同虚设。

攻击者可以利用这些老旧系统镜像绕过主板层面的保护，在系统启动时注入可疑代码。这不仅让 Secure Boot 彻底失效，更恶劣的是，借此植入的恶意固件即使在更换硬盘或重装操作系统后仍能顽固存活。

打开网易新闻 查看精彩图片

网络安全公司 ESET 的研究人员在今年二月发现并报告了 11 个存在漏洞的 shim 启动器。这些 shim 最初是为扩展 Secure Boot 对 Linux 设备的支持而引入的，但同样可能被安装在 Windows 设备上。目前微软已撤销先前授予这些 shim 的签名认证，使攻击者无法再将其作为绕过入口。

简而言之，UEFI 固件架构负责初始化硬件并在启动时将控制权移交给操作系统。作为防范启动套件的安全措施，Secure Boot 要求所有 UEFI 应用必须持有加密签名证书方可运行。而 shim 则充当一座代码桥梁，让原本不被信任的系统顺利交接——正是这座桥梁上长达十年的遗忘，让固件级后门得以悄然潜伏。