英特爾（Intel）證實，該公司旗下產品代號 Alder Lake 的第 12 代 Core 處理器（2021 年 11 月 4 日發表）相關 BIOS 原始碼，於上週被第三方外洩至 4chan 及 GitHub 上。據專家推斷，外洩原始碼中可能包含未公開特定模型暫存器（Model-Specific Register，MSR）詳細資訊，甚至包括英特爾 Boot Guard 開機啟動程序防護技術的私密簽章金鑰（Private Signing Key）。

針對這起外洩事件，英特爾證實遭第三方外洩的是自家 UEFI 統一可延伸韌體介面（Unified Extensible Firmware Interface）韌體程式碼。然而該公司表示，這不會構成任何惡意攻擊者可以利用的安全漏洞。如果真的有任何能在外洩 BIOS 程式碼中發現漏洞的人，都可以獲得該公司漏洞賞金計畫（Bug Bounty Program）所提供的獎賞。

對於英特爾保守的講法，其他資安專家並不完全認同。有專家指出，在外洩的某個檔案中包含了可生成及優化 BIOS/UEFI 韌體映像檔的工具、程式碼及相關文檔。換言之，外洩原始碼中可能包含未來有心人可用來發動攻擊的安全漏洞。也有人宣稱，該洩漏檔案包含了用於配置或調整 BIOS 映像檔的工具，以及英特爾 Alder Lake UEFI 的參考實作，以及某 OEM 廠商（據說是 Lenovo 聯想）實作。

此外，某安全研究人員已經從文件中識別出英特爾不希望揭露的資訊，包括 Alder Lake MSR 暫存器相關細節，它是 Alder Lake 處理器中未公開的暫存器，專門用來除錯、啟用或禁用該晶片的特定功能。

最嚴重的是，來自資安方案商 Positive Technologies 的硬體大師 Makr Ermolov 宣稱，該檔案包含用於英特爾 Boot Guard 技術的私密簽章金鑰。由於 Boot Guard 為系統提供了硬體信任根（Root of Trust），它同時是 UEFI 安全啟動機制的重要組成部份，這次外洩將導致英特爾合作夥伴供應商平台上的 Boot Guard 機制不再值得信任。因為任何擁有私密簽章金鑰的人都可對惡意或篡改的 Alder Lake 系統 BIOS 映像檔進行數位簽章，並讓其他機台接受這個非官方的惡意版本。

• Intel Alder Lake BIOS code leak may contain vital secrets

（首圖來源：Intel）