EFI Preboot Guidelines for HP Business Notebooks / Desktops and UEFI Secure Boot for Windows 8

ManualsBrandsHP ManualsComputersD8C54UT

テクニカルホワイトペーパー

HP ビジネスノートブック/デスクトップ

における EFI プリブートのガイドライン

および Windows 8 の UEFI セキュア

ブート

PPS ビジネスノートブック/デスクトップ

EFI プリブートのガイドライン .......................... 2

サポート対象モデル ........................................ 2

HP EFI およびプリブートアプリケーション用の

HP_TOOLS ........................................................ 2

EFI とカスタムイメージング .............................. 3

EFI アーキテクチャー ....................................... 3

BIOS から EFI アプリケーションを起動する方

法 ...................................................................... 5

ハードドライブでの HP_TOOLS パーティション

の作成または復元 .......................................... 5

プリブートアプリケーション起動時のエラー ... 5

プリブートに関するセキュリティ要件 .............. 6

セキュアブート ............................................. 7

ファームウェアポリシー ................................... 7

セキュアブートキーの管理 .............................. 9

BIOS 署名キー ............................................... 10

TPM とメジャーブート ..................................... 11

POST ............................................................... 12

Win8 ハイブリッドブートとフラッシュ ............. 12

BitLocker ........................................................ 12

ブート順序 ...................................................... 12

OA3 ................................................................. 15

Computrace .................................................... 16

F10 による既定値の復元動作 ...................... 17

付録 .......................................................... 20

UEFI の一般要件 ........................................... 20

詳細情報 ................................................... 21

お問い合わせ ............................................. 21

Summary of content (21 pages)

PAGE 1
テクニカルホワイトペーパー HP ビジネスノートブック/デスクトップにおける EFI プリブートのガイドラインおよび Windows 8 の UEFI セキュアブート PPS ビジネスノートブック/デスクトップ目次 EFI プリブートのガイドライン .......................... 2 サポート対象モデル ........................................ 2 HP EFI およびプリブートアプリケーション用の HP_TOOLS ........................................................ 2 EFI とカスタムイメージング .............................. 3 EFI アーキテクチャー ....................................... 3 BIOS から EFI アプリケーションを起動する方法......................................................................
PAGE 2
EFI プリブートのガイドラインコンピューターテクノロジーの進化に伴い、BIOS は、新しいコンポーネント、大規模化や複雑化が進むチップセット、アドインカードなど、各種の機能強化に対応するために拡張され続けており、こうした拡張が BIOS のさらなる複雑化を招いています。コンピューター業界が BIOS の制限を解消しようと開発したのが、Extensible Firmware Interface (EFI) です。EFI は、OS とプラットフォームファームウェア間の従来の BIOS インターフェイスに代わるモジュラーインターフェイスセットです。 EFIは高水準のC言語に基づくもので、ドライバーベース、優れた拡張性、デバッグやアップグレードが簡単といった特徴があります。また、プラットフォームに依存しないモジュラーアーキテクチャーを使用し、ブートをはじめとした各種の BIOS機能を実行できます。HPではこのテクノロジーを採用し、すべてのビジネスノートブック/デスクトップコンピューターにEFIパーティションを実装しています 1。HP EFIパーティションは従来のBIOSインターフェイスに代わるだけでなく
PAGE 3
HP EFI アプリケーションおよびプリブートアプリケーションにより、フラッシュ ROM のシステム BIOS に広範なプリブート機能が加わります。GUID パーティションテーブル (GPT) フォーマットディスクについては、本書の 4 ページをご覧ください。注記: HP_TOOLS パーティションは、Windows BitLocker や HP ProtectTools 用の Full Volume Encryption といったソフトウェア暗号化プログラムで暗号化しないでください。パーティションを暗号化すると、HP プリブートアプリケーションが動作しません。起動時の HP System Diagnostics コンピューターの起動時にアクセス可能な HP System Diagnostics により、プライマリハードドライブやシステムメモリモジュールのテストを実行できます。また、このツールを使用すると、モデル番号、プロセッサータイプ、総メモリ容量、シリアル番号といったコンピューター関連情報を取得できます。 BIOS リカバリ BIOS リカバリユーティリティは、BIOS イメージが破損した
PAGE 4
ションがパーティションをマウントします。HP CASL にマウント/アンマウント用のインターフェイスがあります。ディレクトリと説明 HP_TOOLS EFI パーティションのファイルおよびフォルダー構造は、Windows のファイルおよびフォルダー構造と類似しています。EFI アプリケーションのインストールは、次のように進行します。 HP EFI アプリケーションの SoftPaq が、C:\swsetup ディレクトリに展開されます。続いて EFI ソフトウェアのインストールプロセスで、HP_TOOLS というラベルの付いた FAT32 パーティションが検出され、次のディレクトリへのインストールが実行されます。 :\Hewlett-Packard\softwarename ディスクレイアウト GPT のディスクレイアウトは次のようになります。 EFI システムパーティション (ESP): プライマリ OS パーティション: ファイルシステム: FAT32 ファイルシステム: NTFS データパーティション 1～n (該当する場合): ファイルシステム: NTFS HP_TOOLS パ
PAGE 5
UEFI Win8 のプリインストールイメージは、2012 年モデルのプラットフォームから使用できます。いくつかの HP コンポーネントは、HP_TOOLS パーティションに代わって ESP に格納されるようになりました。HP_TOOLS パーティションではなく ESP パーティションに格納するメリットは、HP のプリインストールイメージを使用しないときでもコンポーネントを利用できる点にあります。ただし、ESP のデフォルトサイズは 100MB であるため、HP コンポーネント全体のサイズが制限されます。これらの EFI コンポーネントのインストールソフトウェアでは、すべての FAT32 パーティションを列挙した後、ファームウェアパッケージを ESP にコピーする必要があります。ESP の場所は、パーティションの GUID と ESP の GUID 定義を照合して決定できます (詳細については、UEFI 仕様バージョン 2.3.
PAGE 6
アプリケーションの署名を検証できません。) BIOS フラッシュにアプリケーションのバックアップバージョンがあれば (たとえば、HP System Diagnostics など)、BIOS からバックアップが起動されます。バックアップがない場合は、BIOS でエラーメッセージが表示されます。プリブートに関するセキュリティ要件署名付きプリブートアプリケーションプリブートアプリケーションを起動すると、BIOS と同様にシステムリソースを制御できます。こうしたアプリケーションは、簡単にアクセス可能な (そのため、不正侵入されやすい) 一般のハードドライブパーティションに置かれるため、BIOS では HP の署名が付いたプリブートアプリケーションのみを起動する必要があります。プリブート環境に関するその他の F10 ポリシー (ノートブックのみ) BIOS の F10 にある複数のポリシーにより、F9 を押したときに表示される Boot Manager の[Boot from EFI File]オプション (詳細は、「BIOS から EFI アプリケーションを起動する方法」を参照) を使用できるかどうかが
PAGE 7
セキュアブートここでは、Win8 ロゴの要件に適合する UEFI BIOS の設計要件を説明するとともに、HP のプリインストールとサービスに必要な条件についても紹介します。セキュアブートとは、認証済みのコードのみをプラットフォームで実行できるようにする機能で、ファームウェアがポリシーに基づいて OS ローダーのパブリッシャーを検証し、信頼できない OS の起動を防止する役割を担います。これはルートキット攻撃を軽減することを目的としています。図 1: UEFI セキュアブートのフローネイティブUEFI 検証済みOS ローダー (例: Win 8) OS起動  ファームウェアは、ポリシーに基づいて信頼できる署名付き OS ローダーのみを起動します。  OS ローダーは以降の OS コンポーネントの署名検証を実行します。図 2: Win8 セキュアブートのフロー UEFI Win8 OS ローダーカーネルインストールマルウェア対策ソフトウェア起動サードパーティ製ドライバー  BIOS がエンティティに制御を引き渡す前に、ブート可能なすべてのデータの認証が必要
PAGE 8
Win7 以前のデスクトップでは、F10 で[Legacy Support (レガシーサポート)]を[Enabled (有効)]、[Secure Boot (セキュアブート)]を[Disabled (無効)]、および[Fast Boot (高速ブート)]を[Disabled (無効)]に設定すると、CSM サポートが適用されます。このデスクトップの設定は、ノートブックの「レガシー」設定に相当します (デスクトップ BIOS には「レガシーサポート」設定が実際に存在します)。セキュアブートを使用する Win8 デスクトップでは、F10 で[Legacy Support (レガシーサポート)]を[Disabled (無効)]、 [Secure Boot (セキュアブート)]を[Enabled (有効)]、および[Fast Boot (高速ブート)]を[Enabled (有効)]に設定すると、 CSM サポートが適用されません。デスクトップ BIOS には明確な「UEFI ネイティブ」設定はありませんが、このデスクトップの設定は、ノートブックの「UEFI ネイティブ」に相当します。セキュアブートを使用し
PAGE 9
セキュアブートキーの管理図 3: HP プラットフォームキーの管理 (ノートブック) 図 4: HP プラットフォームキーの管理 (デスクトップ) 工場出荷時の HP BIOS には、HP PK、MS KEK、MS db、および空の dbx が格納され、システムはユーザーモードになっています。PK の新規登録は行えません。この HP プラットフォームキーは HP ファームウェア署名キーとは異なります。最初の実装 (2012 年以降) では、HP PK は「Hewlett-Packard UEFI Secure Boot Platform Key」という名前の証明書で、HP IT が発行します。BIOS 署名キーは RAW-CMIT-BIOS2012 です。MS KEK は「Microsoft Corporation KEK CA 2011」という名前の証明書です。[User Mode (ユーザーモード)]セクションはグレーアウトされ、情報は一覧表示されますが、変更できません。また、[Clear Secure Boot Keys (セキュアブートキーの消去)]オプションもグレーアウトされます。 [
PAGE 10
セキュアブートを無効にするだけではモードは変わりません。ユーザーモードの間は、システムに登録されている現在のキーが保持され、他のセクションはグレーアウトされます。次に、[Clear Secure Boot Keys (セキュアブートキーの消去)]を選択すると、BIOS が「ユーザーモードのセットアップ」に移り (図 5)、モードセクションが使用できるようになります。図 5: BIOS のユーザーモードのセットアップの選択 (ノートブック) これでシステムがセットアップモードになり、HP ファクトリキーまたはカスタマーキーを選択できます。カスタマーキーを選択した場合、実際には BIOS データベースにキーが存在しないため、OS のアプリケーションを使用して、キー (PK、 KEK、dbs) を BIOS に取り込む必要があります。注記: カスタマーキーを選択しているときに、もう一度 HP PK をインポートしようとすると、BIOS は PK を受け付けません。セキュアブートを再び有効にするまで、BIOS はカスタムモードの状態を維持します。セキュアブートに戻ると、BIOS はユーザーモードに
PAGE 11
TPM とメジャーブート Trusted Platform Module (TPM) ハードウェアチップを搭載したシステムでは、ブートプロセス中に Win8 が広範囲に及ぶ一連の測定を実行 (メジャーブート) し、測定値をブートプロセスの認証に使用することで、オペレーティングシステムがルートキットなどのマルウェアの危険にさらされないようにします。ファームウェアからブートスタートドライバーまでの各コンポーネントが測定され、測定値はマシンの TPM に保存されます。また、このログをリモートから使用して、クライアントのブート状態を確認することも可能です。 Win8 BitLocker による PCR のシール  Win8 ハードウェアの認定要件として、ネイティブ UEFI ブートが必要です。  ネイティブ UEFI ブートシステムの場合、BitLocker はデフォルトで PCR[0]、[2]、[4]、および[11]に対してシールを行います。  接続されているスタンバイシステムの場合、BitLocker は PCR[7]と[11]に対してシールを行います。注記: 接続されているスタンバイシステムの
PAGE 12
POST POST には、次のようなツールや情報が含まれています。  インストールしたソフトウェアのドライバーとファームウェアのバージョン  (Smart アレイコントローラーではなく) チップセットに直接接続されたディスクドライブの情報 POST のロゴに関する要件  ネイティブ解像度を使用  ロゴの設計: - 左右中央揃え - 画面上方から 38.
PAGE 13
 レガシーサポートを有効にすると表示されるレガシーブート順序  レガシーサポートを無効にすると表示される UEFI ブート順序 UEFI F10 の静的なブート順序では、BIOS からシステムの固定デバイスに特定のブート番号が割り当てられます。たとえば、Boot0000 はハードドライブの OS Boot Manager、Boot0001 は PXE IPV4、Boot0002 は内蔵 DVD などに割り当てることができます。また、HP UEFI Diagnostics など、HP がサポートする特定の UEFI アプリケーションも一覧に表示されます。Win8 では、「OS ブートマネージャー」、ハードドライブ、および USB ディスク対応の「Windows To Go」のブート番号が加わります。レガシーサポートを無効にすると、BIOS はネイティブ UEFI モードに入り、POST 時間が重要となります。汎用 USB デバイスまたは USB ハードドライブがブート順序リストの 1 番目ではなく、OS の次回起動が[USB Hard Drive (USB ハードドライブ)]または[Gener
PAGE 14
Windows Vista、Windows 7、および Linux の各システムは UEFI セキュアブートをサポートしていません。これらのシステムについては、レガシーサポートを有効、セキュアブートを無効にしてください。セキュアブートを無効にしてレガシーサポートを有効にすると、UEFI とレガシー両方のブートソースをブートに使用できます。このような構成ではセキュアブートは動作しないものの、各種デバイスからブートする際に最も高い柔軟性が得られます。 BIOS はブート順序リストのブートシーケンスに基づいて起動を進め、ブート順序リストの 1 番目のデバイスをブートできない場合は、次のデバイスのブートを試みます。ブート順序は F10 ブート順序を変えることで永続的に変更できます。ブート順序を 1 回限りで変更する場合は、Win8 インターフェイスを使用して、次回ブートを特定のデバイスに設定できます。この設定は次回ブート時にのみ有効です。 POST 中に F9 を押すと、BIOS はその時点でシステムに接続されているすべての USB デバイスの一覧を作成し、動的な F9 ブート順序リストを表示します。た
PAGE 15
OA3 Win8 には、OEM アクティベーションメカニズムの新しいバージョンである OEM Activation 3.0 (OA 3.
PAGE 16
HP BIOS の構成 (REPSET) 機能 HP BIOS コンフィギュレーションユーティリティは、Windows キーの挿入について次の機能をサポートします。  英語  MS デジタルマーカー  「値」値には次のものがあります。  ロック解除 – 書き込み時のキーのロック解除に使用 - リブートと物理プレゼンスチェックが必要 - MPM モード、または再フラッシュ直後の書き込みでは不要  キー – Windows キーの文字列表現 - ALL FFh により ACPI MSDM テーブルのキーを消去物理プレゼンスチェック悪意あるソフトウェアからの攻撃を防ぐために、「新しい」キーを挿入するか、キーを「消去」する際に物理プレゼンスチェックを実行する必要があります。パブリック WMI で新しいキーの書き込みを行うと、次回リブート時に次のメッセージが表示されます。製造モードのシステムの場合、または BIOS の再フラッシュを完了してキーを消去してからキーを設定していない場合、物理プレゼンスチェックは必要ありません。新しいキーを挿入するプロセスを完了するには、メッセージが表示されている
PAGE 17
詳細については、Microsoft の Windows プラットフォームバイナリテーブル (WPBT) をご確認ください。Computrace プリブートモジュールの動作は次のようになります。 F10 による既定値の復元動作表 7: [Restore Default (既定値を復元)]オプションタブオプション既定値の復元 Update System BIOS (システム BIOS を更新) あり Create a backup image of the System BIOS (システム BIOS のバックアップイメージを作成) あり File: (ファイル:) Security: (セキュリティ:) Administrator Tools (管理者ツール) System Management Command (システム管理コマンド) あり HP SpareKey (HP スペアキー) あり Fingerprint Reset on Reboot (再起動時に指紋認証をリセット) あり User Tool (ユーザーツール) Intel® Anti Theft (イン
PAGE 18
タブオプション既定値の復元 Require acknowledgment of battery errors (バッテリエラーの確認を要求) あり Fast Boot (高速ブート) あり CD-ROM boot (CD-ROM ブート) あり SD card boot (SD カードブート) あり Floppy boot (フロッピーディスクブート) あり PXE Internal NIC boot (PXE 内蔵 NIC ブート) あり USB device boot (USB デバイスブート) あり Upgrade Bay Hard Drive boot (アップグレードベイハードドライブブート) あり eSATA boot (eSATA ブート) あり Boot Mode (ブートモード) なし UEFI Boot Order (UEFI ブート順序) あり Legacy Boot Order (レガシーブート順序) あり Device Configurations (デバイス構成) USB Legacy support (USB レガシーサ
PAGE 19
タブオプション既定値の復元 Wake on LAN on DC mode (DC モード時のウェイクオン LAN) あり Notebook Upgrade Bay (コンピューター本体のアップグレードベイ) あり Power Monitor Circuit (電源モニター回路) あり Audio Device (オーディオデバイス) あり Microphone (マイク) あり Speakers and Headphones (スピーカーとヘッドフォン) あり Wake unit from sleep when lid is opened (カバーオープン時のスリープからのユニットの復帰) あり Power on unit when lid opened (カバーオープン時の電源オンユニット) あり Boost Converter (ブーストコンバーター) あり Port Options (ポートオプション) Serial Port (シリアルポート) あり Parallel Port (パラレルポート) あり Flash media reader (フ
PAGE 20
付録表 A1: PCR 測定値 PCR BNB (予定) BNB (実際) PCR 0 イベントタイプ EV_S_CRTM_VERSION を使用する S-CRTM のバージョン ID イベントタイプ EV_S_CRTM_VERSION を使用する S-CRTM のバージョン ID イベントタイプ EV_POST_CODE を使用するすべてのホストプラットフォームファームウェアイベントタイプ EV_POST_CODE を使用するすべてのホストプラットフォームファームウェアイベントタイプ EV_EFI_HANDOFF_TABLES を使用する ACPI データ PCR 1 未使用 PCR 2 未使用現在測定中の FV (??) 非製造業管理オプション/UEFI ドライバー PCR 3 未使用 PCR 4 ブートを試みるデバイスを記録しないように BIOS が設定または設計されている場合、 EV_OMIT_BOOT_DEVICE_EVENTS イベントを 1 回測定する必要があります。詳細については、「11.3.
PAGE 21
詳細情報その他の詳細情報については、下記の Web サイトでご確認ください。資料の説明 Web アドレス UEFI 仕様バージョン 2.3.1 http://www.uefi.org/specs/download (英語) 無料のレガシーOS 向け Windows Compatibility Support Module オプトアウトメカニズム v1.1 (Microsoft) Windows Authenticated Portable Executable Signature Format 仕様 HP OA3 サービススクリプトファイル (CMIT BIOS チーム) (必要のある対象者のみ) Microsoft Windows プラットフォームバイナリテーブル PC クライアントワークグループプラットフォームリセット攻撃の軽減に関する仕様、バージョン 1.0 TCG EFI プロトコルバージョン 1.20、リビジョン 1.0 従来の BIOS 向け PC クライアントワークグループ用実装仕様バージョン 1.2 http://msdn.microsoft.