Dell 用戶端產品未經授權的 BIOS 密碼重設工具

DSA 參考：DSA-2020-119：Dell 用戶端產品未經授權的 BIOS 密碼重設工具漏洞

詳細資料： 

特定 Dell 用戶端商用與消費者平台支援密碼重設功能，旨在協助忘記密碼的經授權客戶。Dell 知道可產生 BIOS Recovery 密碼的密碼產生工具。這些未經 Dell 授權的工具可被實體存在的攻擊者用來重設 BIOS 密碼和 BIOS 管理的 (硬碟) HDD 密碼。可實體存取系統的未經驗證攻擊者可能會利用此漏洞，繞過 BIOS 設定組態、HDD 存取及 BIOS 開機前驗證的安全限制。

解決方案： 

Dell 為在商業平台上使用未經授權的重設密碼提供了多項緩解措施和限制措施。我們建議客戶遵循安全性最佳實務，並防止對裝置進行未經授權的實體存取。客戶也可以從 BIOS 設定啟用主密碼鎖定功能 (適用於商用平台 – 自 2024 年 3 月起隨附 Insyde BIOS 版本的所有平台以及自 2011 年起所有其他平台)，以保護管理員、系統和 HDD 密碼，防止遭人重設。

如需詳細資訊，請參閱 Dell 的安全性諮詢：DSA-2020-119：Dell 用戶端產品未經授權的 BIOS 密碼重設工具漏洞

常見問題：    

問：哪些型號會受到影響？

答：這會影響大多數 Dell 用戶端商用系統和特定消費者系統。在 BIOS 開機前密碼提示上顯示下列識別碼的任何平台 (Dell Security Manager)

• <產品服務編號或 HDD SN>-D35B
• <產品服務編號或 HDD SN>-1F5A
• <產品服務編號或 HDD SN>-595B
• <產品服務編號或 HDD SN>-2A7B
• <產品服務編號或 HDD SN>-1D3B
• <產品服務編號或 HDD SN>-1F66
• <產品服務編號或 HDD SN>-6FF1
• <產品服務編號或 HDD SN>-BF97
• <產品服務編號或 HDD SN>-E7A8

B: Insyde BIOS 平台 - 要檢查您的平台是否根據 Insyde BIOS，

1. 開啟電腦。
2. 在 Dell 標誌畫面中，按下 F2 鍵數次，直到進入 BIOS 或系統設定。
3. 或者，按下 F12 鍵數次，直到看見「一次性開機功能表」，然後從功能表中選取「BIOS 設定」或「系統設定」。
4. Insyde BIOS 平台會在設定頁面頂端顯示「InsydeH2O Setup Utility」。

問：如何保護我的平台免受未經授權的密碼重設？

答：客戶應遵循幾種緩解措施和最佳實務來幫助保護其平台。

• 主密碼鎖定。這可以從「BIOS 設定」中啟用。啟用後，管理員、系統及 HDD 密碼將受到保護，以防止使用復原密碼重設。(適用於商用平台 – 自 2024 年 3 月起隨附 Insyde BIOS 版本的所有平台以及自 2011 年起所有其他平台)  
• 使用者必須實體存在系統旁，才能使用復原密碼。因此，應始終對平台進行實體保護。

警告：如果選取了「主密碼鎖定」選項，且客戶隨即忘記密碼，Dell 將無法協助復原密碼。平台將無法復原，並需要更換主機板或硬碟。

問：此工具可以用於遠端重設我的密碼嗎？

答：否，使用者必須實體存在系統旁，才能使用復原密碼。因此，應始終對平台進行實體保護。

問：如何確定此工具已在我的平台上使用？

答：可以偵測到復原密碼的使用，因為使用復原密碼會導致移除適用的 BIOS 密碼 (管理員/系統或 BIOS 管理的 HDD)。

問：使用復原密碼是否允許存取 HDD 上的資料？

答：設定 HDD 密碼時，如果使用 HDD 復原密碼，會出現強制執行 HDD 抹除的選項。如果在設定 HDD 密碼時選取此選項，則使用 HDD 復原密碼時會將 HDD 抹除。  因此，不允許任何資料存取。如果未選取此選項，則會保留 HDD 上的資料。但是，如果使用 HDD 加密 (例如 BitLocker)，則可存取資料，但磁碟機上的資訊會受到保護，以防止洩漏。

問：使用復原密碼是否允許存取作業系統？

答：使用復原密碼不允許略過作業系統登入資料。

問：這是否會影響使用外部 SED 管理應用程式在我的磁碟機上設定密碼的自我加密磁碟機？

答：  此工具不會影響由外部 SED 管理應用程式佈建和管理的自我加密磁碟機。重設工具只會影響由 BIOS 設定管理的 BIOS 密碼。

問：這個工具是否會破壞我的 BIOS 韌體完整性和平台信任的根本？

答：使用復原密碼不會影響 BIOS 韌體的完整性。BIOS 韌體受到 NIST 800-147 簽名驗證保護，另外也有 Intel BootGuard、Intel BIOSGuard 和晶片組韌體寫入保護等其他功能的保護。使用此工具可允許存取 BIOS 設定介面，這可以變更平台的安全性設定，例如「安全開機啟用」和 TPM 設定。  

建議的文章

以下是一些與本主題相關的建議文章，您可能會感興趣。

• 遺失 BIOS 密碼的 Dell 支援
• Dell Command PowerShell Provider BIOS 密碼功能
• 如何重設或清除 BIOS 密碼
• 一般硬碟和 BIOS 密碼資訊
• 在系統上將 BIOS 重設為預設組態可能與原廠設定的 BIOS 設定不相符