您可能使用必要的安全防御来保护您的PC电脑或服务器、网络、软件和其他明显的资产。在许多设备中有一个元素没有那么明显或可见:固件。根据设备的不同，固件可能存储在电路或闪存中，也可能在启动时由操作系统提供。

但是，如果固件没有签名，也就是说设备制造商没有对其进行保护，那么它就很容易受到安全威胁。一份报告详细说明了使用未签名固件设备的风险。

正如报告中所述，危险的边缘:隐藏的危险。在Windows和Linux PC或服务器内部，分析了不同设备上的未签名固件，包括WiFi适配器、USB集线器、触控板，以及联想(Lenovo)、戴尔(Dell)、惠普(HP)和其他制造商在Windows和Linux PC或服务器上使用的摄像头。研究人员成功地在服务器上安装了一个带有未签名固件的网卡的恶意软件。

据称，在现实世界中，黑客可以通过破解未签名的固件来发起不同类型的攻击。

网络适配器上受感染的固件可能会让攻击者嗅探、复制或改变网络流量，从而导致数据丢失和中间人攻击。基于pci的设备可能允许直接内存访问(DMA)攻击，这将帮助黑客窃取数据或接管系统。带有受感染固件的摄像头可以从用户环境中捕获数据。一个固件损坏的硬盘可以让攻击者隐藏操作系统看不到的代码。

这个问题很复杂，因为每个设备可能包含许多不同的组件，而且每个组件可能有自己的固件。这在一台设备上显示了几个易受攻击的区域。

五年前，安全公司卡巴斯基(Kaspersky)通过描述一个名为“方程式组”(Equation group)的网络攻击企业的活动，揭露了未签名固件的危险。通过访问某些硬盘驱动器的源代码，能够启动恶意软件，重新编写这些驱动器的固件。自那以后，设备制造商在正确签署和保护固件方面进展缓慢。

这里的缺点是许多设备在运行它们的代码之前没有验证它们的固件是否正确地使用了高质量的公钥或私钥进行了签名。因此，设备无法确认固件是合法的，应该是可信的。这意味着黑客可以应用设备或设备上特定组件自动信任的恶意固件映像。由于固件通常是隐藏的，所以任何此类感染都不会被检测到。

问题是针对Windows和Linux系统的。苹果在每次加载驱动程序包(包括固件)之前，都会对其中的所有文件进行签名验证。但是Windows和Linux只在最初安装包时执行这种类型的验证。为了完全防范这种攻击，设备本身需要在允许固件更新之前验证签名，而不是依赖操作系统来完成这项工作。

可能有数千万或数亿个系统拥有未签名的固件组件。而且，这个行业还需要一段时间才能解决这个问题。

不幸的是，这个问题将持续相当长的一段时间，我们很可能会看到下一代产品的改进，但这不会同时发生。作为一个行业，我们需要更多地关注硬件和固件安全。保护用户不受未签名固件的危害需要整个行业的供应商共同努力。具体来说，oem和odm需要一起工作来解决这些问题。通过在风险评估中包括这些类型的问题，企业可以做出明智的决定，哪些外围设备/产品是安全的，哪些是不安全的。

没有任何特定的安全工具可以帮助用户查找未签名的固件问题。但是企业可以采取一些措施来保护自己免受这种类型的脆弱性。

建议企业了解未签名固件的风险，并将已签名固件作为购买决策的选择标准之一。这样做向计算机制造商发出了一个明确的信号，即已签署固件是客户的要求，也是未来产品供应的必要条件。