数智化时代，随着算力设备的规模化应用，底层安全挑战也在同步升级。其中，BIOS 作为设备启动链路的首个执行单元，是整机安全的底层基石，直接决定终端、服务器等设备的可靠性。然而，传统上层防护机制目前很难覆盖固件层安全盲区。
近年来，LoJax、MoonBounce 等 UEFI 底层持久化攻击频发，固件后门驻留、底层隐性渗透等安全风险持续暴露。在此背景下，BIOS 专项安全国家标准开始加速完善落地，固件安全从可选技术能力，升级为设备合规准入的硬性要求。
作为 BIOS 安全国标参编单位，光合组织核心成员海光依托芯片内生安全与固件防护领域的技术积累，率先推出覆盖启动、更新、运行、管理四位一体的 BIOS 安全体系，从 CPU 可信根出发填补固件层安全薄弱环节，助力各类算力设备筑牢全生命周期可信底座。
▍启动安全：以 CPU 物理可信根为基础，构建全链路国密可信启动链
固件安全的核心问题在于信任根的部署位置。
行业过往二十年普遍采用外置 TPM / TCM 模块方案，海光 BIOS 在兼容这一标准方案的同时，提供另一种架构选择 —— 以 CPU 物理可信根为基础的可信启动方案（TSB）。
TSB 将信任根置于 CPU 内部，实现芯片一体化封装，物理上不可分离，该设计消除了信任根被移除或旁路的可能，相较于外挂可信模块更安全；无需外接可信模块，减少主板元件数量，有效降低硬件成本；验证过程在 CPU 内部完成，避免了跨芯片总线通信开销，具有更高性能。
基于这颗物理可信根，信任链逐级延伸：CPU 可信根 → BIOS 固件 → Bootloader → OS Kernel。每一级均采用 SM2 国密算法进行验证，前一级验证通过后，后一级方可解锁。从硬件到 OS 加载，全流程运行于国密体系之内。
该方案无需后期适配外挂模块，亦无需为合规进行额外补课。CPU 原生信任根与全栈国密体系的组合，从根本上回应了行业对“底层可信、自主可控”的核心诉求。
信任根从主板转移至 CPU 内部，使信任链的起点不再依赖一颗可被移除的芯片，也不再依赖外部授权。这是一次架构层面的跨越，也是底层安全能力的质变。
▍更新安全：首创 " 签名密钥与 CPU 可信根绑定 " 的固件交付链闭环
启动安全解决首次开机可信问题，更新安全则确保每一次升级过程均可信。
BIOS 更新是固件安全中易被忽视但影响严重的攻击面。典型威胁场景包括：供应链投毒，即攻击者伪造合法更新包批量植入后门；固件降级攻击，即缺乏回滚保护的设备被刷入存在已知漏洞的旧版本 BIOS；发版权限失控，即固件签名依赖第三方签名密钥，无法自主控制发版权限。
行业现有方案依赖软件级签名验证，其信任根签名公钥及公钥 HASH 校验值通常存放于 BIOS 代码中，攻击者获取固件镜像后可通过逆向提取密钥、伪造签名包。
海光首创签名密钥与 CPU 固化可信根绑定机制。这一机制的核心突破在于，验证锚点的归属权从软件转移至硬件。签名验证的信任锚点置于 CPU 芯片内部，固件更新包须使用与 CPU 可信根绑定的私钥签名，验证由芯片内部硬件执行。试图绕过授权、强行刷入或篡改固件的操作，将被芯片硬件直接拦截。
海光 BIOS 据此构建三层防护：可信签名，写入 Flash 前即进行验证，伪造固件在落盘前被拒绝；安全传输，固件在供应链流转全程加密，防止中间人篡改；防回滚，版本号记录于固件保护区，即便物理获取 Flash 也无法降级。
海光同时提供固件签名工具链，厂商集成后可向海光申请自有证书，自主管理发版权限 ———— 以自有密钥签名的固件包仅限目标设备刷入。
信任根存放于代码中，存在泄露风险；固化于芯片内部，方可从根源杜绝泄露。
▍运行安全："BIOS-BMC 固件层直接联动 " 的运行期防御闭环
BIOS 出厂时的安全配置无法完全覆盖设备上线后的运行期风险。
在实际攻击场景中，攻击者进入设备后的典型路径包括：关闭安全启动、篡改 BIOS 运行时配置、刷新非授权固件、植入持久化 Rootki。上述操作均在固件层完成，OS 层无法感知。
传统方案在 BIOS 层操作日志缺失或不完整，安全事件发生后，团队仅能在 OS 层以上溯源，固件层的现场信息已被覆盖。
海光 BIOS 的应对方案为运行时写保护、BIOS 审计日志、BMC 联动告警三层防御。运行时写保护可拦截攻击者非法写入 BIOS 关键区域；BIOS 审计日志对固件刷新、配置变更、策略修改、密码鉴权四类操作进行记录，并存储于固件保护区，不可篡改；BIOS 层日志实时推送至 BMC，高危操作可即时报警。
固件层事件发生后，安全团队可从 BIOS 底层获取不可篡改的证据，实现有痕可查、有源可溯。
审计日志填补了固件层监控的空白，BMC 联动使安全团队首次获得固件层的实时可见性。从启动、更新到运行，海光将信任根贯穿每个环节，固件层首次具备完整的可视与管控能力。当固件层可被看见、可被追溯时，整个系统的可信才算形成闭环。
▍管理安全：让固件安全可视化、可追溯、可管控
当上游组件曝出 CVE 漏洞时，安全团队常面临“哪些设备受影响”的定位难题。
传统 SBOM 仅覆盖 OS 和应用层，BIOS 内部的 UEFI Driver、SMM 模块、PEIM 等固件组件缺乏资产台账。某 SMM 模块漏洞披露后，往往需要数天甚至数周人工排查涉及设备及 BIOS 版本，而攻击者可能在数小时内即完成漏洞利用。
海光 BIOS 的解决方案为固件级 SBOM 出厂即固化。在构建阶段将固件组件物料清单写入 BIOS 镜像，随 ROM 出厂。从开发构建、BOM 生成、封装、镜像固化、ROM 上传、云端解析、资产仓库建立到持续监控，全流程自动化。漏洞爆发时，云端一键检索可秒级定位受影响设备和 BIOS 版本，将应急响应时间从数周压缩至分钟级。
设备端同时构筑三道防线：双轨认证，指纹加密码双重验证，单一认证被攻破亦无法获取控制权；硬盘加密，兼容 ATA / OPAL 协议，物理拆卸后数据不可读取；USB 管控，BIOS 与 OS 跨层同步，无管控漏洞。
从启动、更新、运行到管理，海光 BIOS 的四道防线覆盖设备全生命周期的固件安全管控。
行业趋势与实践表明，将安全功能下沉至硬件层面，是应对固件层高级威胁的有效路径之一。海光所实践的，正是这条从硬件底层重新设计信任关系的技术路线。目前，海光 BIOS 安全体系依托 CPU 原生硬件安全能力，已通过多项国家级权威资质认证与合规华体会官方注册-华体会(中国) ，全方位满足了信创、政府终端、服务器等安全准入标准。
安全没有捷径，信任始于底层。让每一台设备的每一次开机，都始于可信。
免责声明：本文为本网站出于传播商业信息之目的进行转载发布，不代表本网站的观点及立场。本文所涉文、图、音视频等资料之一切权力和法律责任归材料提供方所有和承担。本网站对此咨询文字、图片等所有信息的真实性不作任何保证或承诺，亦不构成任何购买、投资等建议，据此操作者风险自担。
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。