我已经成为一个相当痴迷密码的人。我用密码保护我的硬盘驱动器、我的文件，现在甚至是我拥有的各种系统上的 BIOS/EFI。
但是我发现，如果您忘记了 BIOS 密码，很容易（足够）通过物理访问机器内部来简单地重置/禁用它，或者在某些情况下，例如现代 Apple 硬件的 EFI，Apple 甚至可以如果他们愿意，可以通过一些“主密钥”覆盖代码覆盖它，甚至不需要在物理硬件级别重置它（这非常令人不安）。
那么，考虑到这一点，那么 BIOS/EFI 密码有什么用呢？
它对什么威胁模型有效，以及其他措施（例如将笔记本电脑存放在保险箱中/用钥匙/挂锁/组合锁锁定桌面机箱，也许还有一些强大的“入侵检测”通知或日志系统）每次重新启动计算机时，这个额外的密码更值得吗？
是不是有点像房子前门的锁，即使旁边的玻璃窗可以被一个无论如何都想进去的坚定的窃贼砸碎，它仍然有它的位置？
出于安全原因，BIOS/EFI 密码只能被认为是有效的。攻击者可以通过类似这样的方式仅通过键盘和电源按钮访问，或通过对 PC 内部的物理访问来轻松覆盖 BIOS 密码。
那有什么用呢？好吧，它让你感到安全，但它实际上只会阻止那些不知道如何绕过它的人，尽管你真正需要的只是一个密钥生成器，而且它甚至是开源的。我的意思是，带有开源密钥生成器的内置后门不可能是安全的。只是因为它仍然存在不是常识。
所以它不像房子前门上的锁那样具有威慑力，也许更像是一个写着“小心狗”的标志，因为绕过大多数系统并不需要太多努力，但就像这个标志，可爱的贵宾犬的想法不会阻止任何试图闯入的人。
如果您已经对硬盘驱动器和文件进行了加密，那么这就是您可以合理获得的安全性。即使没有办法轻松绕过 BIOS 密码，攻击者也可以轻松交换硬盘驱动器以获取数据访问权限，前提是他们具有物理访问权限。
软件无法抵御物理攻击。安全需要分层的方法。大多数情况下都可以使用物理锁。更安全的系统机箱还可以隐藏电缆连接并防止更换键盘或其他外围设备连接。
BIOS/引导密码只是系统更强大的安全计划的一部分。也可以对全盘加密使用邪恶的女仆攻击——但是，这仍然需要一个具有物理访问权限的高级对手，并且能够足够隐蔽地隐藏他们进行了物理访问。
此外，如果有人禁用密码机制，这与他们猜测密码不同。攻击者可能对一次性访问感兴趣，但在许多情况下，他们不希望受害者知道他们受到了攻击。在大多数情况下，删除 BIOS 密码会清除它，因此不可能只翻转开关并重新打开它。当受害者再次启动时，受害者会看到有人入侵了系统，这可能会导致采取对策，使攻击者未来的访问更加困难。
砸玻璃（如您的前门示例）是不可逆的，会弄得一团糟，而且很吵。在某些情况下，这无关紧要。然而，加密/密码通常仍然有用，即使它们经常会在橡胶软管攻击中失败。
固件中密码的另一种用法：UEFI 有一个网络堆栈，要执行 PXE，它可能会使用身份验证（CHAP？）。IPSec 也可用。因此，UEFI 的某些网络使用将需要登录名/密码。UEFI 有一个 User Identification 驱动模型，UEFI 2.5 还增加了智能卡驱动模型。HTH，李 http://firmwaresecurity.com/feed