统一可扩展固件接口
 | 此条目可参照英语维基百科相应条目来扩充。 (2020年7月28日) |
统一可扩展固件接口（英语：Unified Extensible Firmware Interface，缩写UEFI）是一种个人电脑系统规格，用来定义操作系统与系统固件之间的软件界面，作为BIOS的替代方案[1]。可扩展固件接口负责加电自检（POST）、联系操作系统以及提供连接操作系统与硬件的接口。
UEFI的前身是Intel在1998年开始开发的Intel Boot Initiative，后来被重命名为可扩展固件接口（Extensible Firmware Interface，缩写EFI）。Intel在2005年将其交由统一可扩展固件接口论坛（Unified EFI Forum）来推广与发展，为了凸显这一点，EFI也更名为UEFI（Unified EFI）。UEFI论坛的创始者是11家知名电脑公司，包括Intel、IBM等硬件厂商，软件厂商Microsoft，及BIOS厂商安迈科技、Insyde、Phoenix。
规格
[编辑]可扩展固件接口（EFI）最初是由英特尔开发，于2002年12月英特尔释出其订定的版本——1.1版，之后英特尔不再有其他关于EFI的规范格式发布。有关EFI的规范，英特尔已于2005年将此规范格式交由UEFI论坛来推广与发展，后来并更改名称为Unified EFI（UEFI）。UEFI论坛于2007年1月7日释出并发放2.1版本的规格，其中较1.1版本增加与改进了加密编码（cryptography）、网络认证（network authentication）与用户接口架构（User Interface Architecture）。
相关方面的制定
[编辑]2009年5月9日，发布2.3版本。截至今日为止，2.9版是最新的公开的版本。
产生
[编辑]
众所周知，英特尔在近二十年来引领以x86系列处理器为基础的PC技术潮流，其产品如CPU，芯片组等在PC生产线中占据绝对领导的位置。因此，不少人认为此举显示英特尔公司欲染指固件产品市场的野心。事实上，EFI技术源于英特尔安腾处理器（Itanium）平台的推出。安腾处理器是英特尔瞄准服务器高端市场投入近十年研发力量设计产生的与x86系列完全不同的64位新架构。在x86系列处理器进入32位的时代，由于兼容性的原因，新的处理器（80386）保留16位的运行方式（实模式），此后多次处理器的升级换代都保留这种运行方式。甚至在包含EM64T技术的至强系列处理器中，处理器加电启动时仍然会切换到16位的实模式下运行（BIOS）。英特尔将这种情况归咎于BIOS技术的发展缓慢。自从IBM PC兼容机厂商通过净室的方式复制出第一套BIOS源程序，BIOS就以16位汇编代码，寄存器参数调用方式，静态链接，以及1MB以下内存固定编址的形式存在十几年。虽然由于各大BIOS厂商近年来的努力，有许多新元素添加到产品中，如PnP BIOS、ACPI、传统USB设备支持等等，但BIOS的根本性质没有得到任何改变。这迫使英特尔在开发新的处理器时，都必须考虑加进使性能大大降低的兼容模式。用一个比喻来讲：这就像保时捷新一代的全自排跑车，被人套上去一个蹩脚打档器。
然而，安腾处理器并没有这样的顾虑，它是一个新生的处理器架构，系统固件和操作系统之间的接口都可以完全重新定义。并且这一次，英特尔将其定义为一个可扩展的，标准化的固件接口规范，不同于传统BIOS的固定的，缺乏文档的，完全基于经验和晦涩约定的一个事实标准。基于EFI的第一套系统产品的出现至今已经有五年的时间，如今，英特尔试图将成功运用在高端服务器上的技术推广到市场占有率更有优势的PC产品线中，并承诺在2006年间会投入全力的技术支持。
与BIOS的比较
[编辑]二者显著的区别就是UEFI是用模块化，C语言风格的参数堆栈传递方式，动态链接的形式构建的系统，较BIOS而言更易于实现，容错和纠错特性更强，缩短了系统研发的时间。它可以执行于x86-64、IA32、ARM等架构上（在个人电脑上通常是x86-64平台），突破传统16位代码的寻址能力，达到处理器的最大寻址。它利用加载UEFI驱动程序的形式，识别及操作硬件，不同于BIOS利用挂载实模式中断的方式增加硬件功能。后者必须将一段类似于驱动程序的16位代码（如RAID卡的Option ROM）放置在固定的0x000C0000至0x000DFFFF之间存储区中，运行这段代码的初始化部分，它将挂载实模式下约定的中断向量向其他程序提供服务。例如，VGA图形及文本输出中断（INT 10h），磁盘访问中断服务（INT 13h）等等。BIOS以实模式执行，因此这段存储器空间很有限（在实模式下仅能寻址最多1MB的存储器），BIOS对于所需放置的驱动程序代码大小超过空间大小的情况无能为力。另外，BIOS的硬件服务程序都以16位代码的形式存在，这就给运行于保护模式或长模式的操作系统访问其服务造成了困难。因此BIOS提供的BIOS中断调用在现实中只能提供给操作系统的启动程序或MS-DOS类操作系统使用[2]。而UEFI系统下的驱动程序可以由EFI Byte Code（EBC）编写而成，EFI Byte Code是一组专用于EFI驱动程序的虚拟机器语言，必须在UEFI驱动程序运行环境（Driver Execution Environment，DXE）下被解释运行。由于UEFI驱动程序开发简单，所有的PC部件提供商都可以参与，情形非常类似于现代操作系统的开发模式，这个开发模式曾使Windows在短短的两三年时间内成为功能强大，性能优越的操作系统。基于UEFI驱动模型（UEFI driver model，UDM）可以使UEFI系统接触到所有的硬件功能，在操作系统执行以前浏览万维网站，实现图形化、多语言的BIOS设置界面，或者无需执行操作系统即可在线更新BIOS等等不再是天方夜谭，甚至实现起来也非常简单。这对基于传统BIOS的系统来说是件难以实现的任务，在BIOS中添加几个简单的USB设备支持都曾使很多BIOS设计师痛苦万分，更何况除了添加对无数网络硬件的支持外，还得凭空构建一个16位模式下的TCP/IP协议栈。
一些人认为BIOS只不过是由于兼容性问题遗留下来的无足轻重的部分，不值得为它花费太大的升级努力。而反对者认为，当BIOS的出现约制了PC技术的发展时，必须有人对它作必要的改变。
与操作系统的关系
[编辑]UEFI在概念上类似于一个低阶的操作系统，并且具有操控所有硬件资源的能力。不少人感觉它的不断发展将有可能代替现代的操作系统。事实上，EFI的缔造者们在第一版规范出台时就将EFI的能力限制于不足以威胁操作系统的统治地位。首先，它只是硬件和预启动软件间的接口规范；其次，UEFI环境下不提供中断的机制，也就是说每个UEFI驱动程序必须用轮询（polling）的方式来检查硬件状态，并且需要以解释的方式运行，较操作系统下的机械码驱动效率更低；再则，UEFI系统不提供复杂的缓存器保护功能，它只具备简单的缓存器管理机制，具体来说就是指运行在x64或x86处理器的长模式或保护模式下，以最大寻址能力为限把缓存器分为一个平坦的段（Segment），所有的程序都有权限访问任何一段位置，并不提供真实的保护服务。当UEFI所有组件加载完毕时，便会启动操作系统的启动程序，如果UEFI固件内置UEFI Shell，也可以启动UEFI Shell命令提示。UEFI应用程序（UEFI Application）和UEFI驱动程序（UEFI driver）是PE格式的.efi文件，可用C语言编写。在UEFI开机模式下，操作系统的启动程序也是UEFI应用程序，启动程序的EFI文件存储在EFI系统分区（ESP）上[3]。
UEFI固件区分架构，在UEFI开机模式下，通常只能执行特定架构的UEFI操作系统和特定架构的EFI应用程序（EBC程序除外）。比如，采用64位UEFI固件的PC，在UEFI开机模式下只能执行64位操作系统启动程序；而在Legacy开机模式（即BIOS兼容开机模式）下，既可以执行16位的操作系统（如DOS），也可以执行32位操作系统和64位操作系统。
组成
[编辑]一般认为，UEFI由以下几个部分组成：
- Pre-EFI初始化模块（PEI）
- UEFI驱动程序执行环境（DXE）
- UEFI驱动程序（UEFI driver）
- 兼容性支持模块（CSM）
- UEFI高层应用（UEFI Application）
- GUID磁盘分区表
- 系统管理模式（SMM）
Pre-EFI初始化程序在系统开机的时候最先得到执行，它负责最初的CPU，芯片组及主存储器的初始化工作，紧接着加载UEFI的驱动程序执行环境（DXE）。当DXE被加载运行时，系统便具有了枚举并加载其他UEFI驱动程序的能力。DXE枚举并加载各种总线（包括PCI、SATA、USB、ISA）及硬件的UEFI驱动程序。例如一个具PCI-E总线接口的RAID存储适配器，其UEFI驱动程序一般会放置在这个设备的Option ROM中。在UEFI规范中，一种突破传统MBR磁盘分区结构限制的GUID磁盘分区系统（GPT）被引入，新结构中，磁盘的主分区数不再受限制（在MBR结构下，只能存在4个主分区），另外UEFI+GPT结合还可以支持2.1 TB以上硬盘。在众多的分区类型中，EFI系统分区可以被UEFI固件访问，可用于存放操作系统的引导程序。UEFI固件通过执行EFI系统分区中的启动程序启动操作系统。CSM是在x86平台UEFI系统中的一个特殊的模块，它将为不具备UEFI引导能力的操作系统以及16位的传统Option ROM提供类似于传统BIOS的系统服务。在加载操作系统后，UEFI的SMM程序继续执行，提供ACPI等服务[4]。
发展
[编辑]英特尔无疑是推广EFI的积极因素，近年来由于业界对其认识的不断深入，更多的厂商正投入这方面的研究。包括英特尔，AMD在内的一些PC生产厂家联合成立了UEFI论坛。另外各大BIOS提供商如Insyde，Phoenix，AMI等，他们原先被认为是EFI发展的阻碍力量，现在也不断的推出各自的解决方案。分析人士指出，这是由于BIOS厂商在EFI架构中重新找到了诸如Pre-EFI启动环境之类的市场位置，然而随着EFI在PC系统上的成功运用，以及英特尔新一代芯片组的推出，这一部分市场份额将会不出意料的在英特尔的掌控之中。2011年以后生产的零售主板大多数采用UEFI技术。随后，微软又要求，预装Windows 8的电脑，必须采用UEFI开机模式，以及Secure Boot。部分采用EFI技术的BIOS并不支持EFI开机。
操作系统支持
[编辑]Linux内核自2000年开始，已经支持EFI启动。早期使用ELILO作为EFI下的启动程序。现在，GRUB的EFI版本已代替ELILO，大多数Linux发行版已使用GRUB作为UEFI下的启动程序。从Linux版本3.15起，来自英代尔的工程师Matt Fleming将64位核心提供了支持32位UEFI固件的可能，前提只需要UEFI操作系统启动程序支持EFI handover协议[5] ，譬如流行的GRUB2。同样流行的32位版Linux，譬如Ubuntu 16.04.3 LTS，也可以使用这类启动程序在64位版UEFI固件的机器上使用。
安腾版本的Windows 2000已于2002年加入对EFI 1.10的支持。安腾版本的Windows Server 2003和Windows XP 64-Bit Edition（以IA-64架构作为执行平台）已支持EFI。
从Windows Vista SP1开始，x86-64架构的Windows操作系统已支持UEFI。但是，若在UEFI模式下安装和启动Windows Vista SP1或Windows 7，需要在UEFI固件设置中开启CSM[6]，因为在Windows 8之前的版本中，均不支持UEFI标准的“图形输出协议”（GOP），只支持用于传统BIOS的VESA BIOS Extension。32位的Windows Vista和Windows 7不支持UEFI启动。从Windows 8开始，支持Secure Boot，UEFI模式下的启动亦无须CSM。
现在，x86-64架构的FreeBSD、OpenBSD和NetBSD已支持UEFI。
虚拟机对UEFI的模拟
[编辑]VMware Workstation支持对UEFI的模拟，但是在VMware Workstation 11以前，VMware Workstation并未正式支持UEFI，需要手动编辑虚拟机的.vmx文件以开启虚拟机的UEFI。VMware Workstation 11及以后的版本正式支持对UEFI的模拟。从VMware Workstation 14开始支持Secure Boot。
VirtualBox支持对UEFI的模拟，但是VirtualBox的UEFI并不支持Windows Vista和Windows 7。
微软Hyper-V的第二代虚拟机支持对UEFI的模拟，以及Secure Boot。
Parallels Desktop不仅提供全规格的UEFI支持，并支持在操作系统不支持“图形输出协议”（GOP）的情况下回退至传统BIOS
采用UEFI固件的x86/x64系统类别
[编辑]类别0，这类系统使用x86 BIOS固件，只支持传统操作系统。
类别1，这类系统采用支持UEFI和Pi规范的固件，激活CSM层功能，只支持传统操作系统。
类别2，这类系统采用支持UEFI和Pi规范的固件，激活CSM层功能，同时支持传统和UEFI启动的操作系统。
类别3，这类系统采用支持UEFI和Pi规范的固件，不再提供或完全关闭CSM层功能，只支持由UEFI启动的操作系统。
类别3+，在类别3的系统基础上提供并激活Secure Boot功能。
微软公司的Windows 11仅可用于类别3+型电脑[7]，Windows 8及Windows 10适用于上述所有类别的电脑，x64型版的Windows Vista SP1和Windows 7，以及不支持UEFI固件的操作系统仅可用于类别0至类别2型电脑。所有支持UEFI启动的Linux操作系统适用于类别0至类别3型电脑，多数现行分发版也支持类别3+中的Secure Boot功能，譬如Ubuntu等。 Intel计划将于2020年推出的UEFI Class 3规范中，将CSM层功能舍弃，不再支持由当年IBM公司制定的BIOS平台，Intel旗下的所有产品将遵循UEFI类别3（有一部分产品可能是3+）型规范[8]。
批评
[编辑]Ronald G. Minnich（coreboot的共同作者）和 Cory Doctorow（科幻小说家）和数字权利运动者批评EFI是企图借由禁止用户完整控制他们的电脑，来保护知识产权。 [9][10]它并没有解决BIOS长期以来对多数硬件需要两种不同驱动程序的问题－－一个给固件，一个给操作系统。[11]
TianoCore（一个提供制作基于UEFI自由固件工具的开放源代码项目）[12]缺乏用来启动芯片组的专门的驱动程序，因此需要芯片组厂商提供额外的功能。TianoCore是coreboot的一个附加选项，它包含了启动芯片组的代码。
由于UEFI比起原先的BIOS技术可以对远程网络开机提供更高的弹性，因此在标准的安全规定有一些疑虑。[13]
Secure Boot
[编辑]中文名又译作“安全启动”，该协议定义在UEFI 2.3.1 Errata C规范中。Secure Boot只允许加载有适当数字签名的EFI驱动程序和EFI启动程序，因此Secure Boot可让开机过程更安全。
但是Red Hat开发者Matthew Garrett在他的文章"UEFI secure booting"中忧虑UEFI的Secure Boot功能可能会影响Linux（贴有Windows 8认证贴纸的机器，默认Secure Boot启动，只预载了OEM和微软密钥，可能无法以Linux开机）。[14][15]微软回应称顾客可以停用UEFI固件中的secure boot。[16][17]然而，某些OEM厂商仍然可能在其产品中省略这项功能。不久，报告指出微软显然禁止在ARM系统上实现停用Secure Boot的功能。[18][19]
自由软件基金会（FSF）的Josh Gay对UEFI的"Secure Boot"实现提出忧虑，并发表公开声明及连署说：
我们—连署者—敦促所有实现了UEFI中称为"Secure Boot"的电脑制造商立即允许自由的操作系统可以被安装。基于尊重用户的自由权以及确切保护用户安全，制造商必须允许电脑拥有者停用开机限制，或是提供一个确切可能的方法让他们安装并执行自由的操作系统。我们承诺我们将不会购买、也不会推荐剥夺用户重要自由的电脑，并且，我们将积极地敦促社会大众避免如此禁锢用户的系统。[20][21]
2012年1月，微软发布一份关于OEM硬件认证的文件，指出所有的x86和x86-64设备应该将UEFI Secure Boot启动，不过可以改用一个可让用户增加数字签名的自定义Secure Boot模式。然而，无法在运行Windows的ARM设备上修改或禁用Secure Boot。[18]。这份称为Windows硬件认证需求（英语：Windows Hardware Certification Requirements）[22]证实了执行Windows 8、基于ARM的设备被禁止了任何安装其他操作系统的可能性。现在，Ubuntu、Fedora、openSUSE、RHEL（从RHEL 7开始）、CentOS（从CentOS 7开始）、Debian（从Debian 10开始）等Linux发行版已经支持Secure Boot。Windows 8、Windows 8.1、Windows 10支持Secure Boot。
注释
[编辑]- ^ Kinney, Michael. Solving BIOS Boot Issues with EFI (PDF). Intel DeveloperUPDATEMagazine: 1. [2008-02-18]. （原始内容存档 (PDF)于2007-11-28）.
- ^ 存档副本. [2020-09-12]. （原始内容存档于2021-04-17）.
- ^ 存档副本. [2020-09-12]. （原始内容存档于2021-04-17）.
- ^ 存档副本. [2020-09-12]. （原始内容存档于2017-05-26）.
- ^ Linux kernel 3.15, Section 1.3. EFI 64-bit kernels can be booted from 32-bit firmware. kernelnewbies.org. 2014-06-08 [2014-06-15]. （原始内容存档于2018-06-11）.
- ^ UEFI 的 Windows 支援, Microsoft, [2017-11-25], （原始内容存档于2017-12-01）
- ^ Windows 11 規格 - Microsoft. Windows. [2021-07-08]. （原始内容存档于2021-11-18） （中文（台湾））.
- ^ Richardson, Brian. "Last Mile" Barriers to Removing Legacy BIOS (PDF). 30 October 2017 [22 November 2017]. （原始内容存档 (PDF)于2019-02-01）.
- ^ Interview: Ronald G Minnich. Fosdem. 2007-02-06 [2010-09-14]. （原始内容存档于2011-01-29）.
- ^ Cory Doctorow, The Coming War on General Purpose Computation, 2011-12-27 [2013-07-11], （原始内容存档于2013-02-10）
- ^ coreboot (aka LinuxBIOS): The Free/Open-Source x86 Firmware. YouTube. 2008-10-31 [2010-09-14]. （原始内容存档于2020-11-21）.
- ^ Welcome, TianoCore, SourceForge, （原始内容存档于2012-04-23）.
- ^ Risks, UK: NCL, [2012-01-19], （原始内容存档于2021-03-14）.
- ^ Garrett, Matthew. UEFI secure booting. [2011-09-20]. （原始内容存档于2021-04-27）.
- ^ Garrett, Matthew. UEFI secure booting. [2011-09-23]. （原始内容存档于2021-04-27）.
- ^ MS denies secure boot will exclude Linux. The Register. 2011-09-23 [2011-09-24]. （原始内容存档于2020-04-22）.
- ^ Protecting the pre-OS Environment with UEFI. Microsoft. 2011-09-22 [2011-09-24]. （原始内容存档于2012-08-10）.
- ^ 18.0 18.1 存档副本. [2012-01-19]. （原始内容存档于2021-04-19）.
- ^ 存档副本. [2017-03-07]. （原始内容存档于2012-03-09）.
- ^ Gay, Josh. Will your computer's "Secure Boot" turn out to be "Restricted Boot"?. www.fsf.org. Free Software Foundation. [2011-10-25]. （原始内容存档于2021-04-27）.
- ^ Stand up for your freedom to install free software. www.fsf.org. Free Software Foundation. [2011-10-25]. （原始内容存档于2021-04-19）.
- ^ 存档副本 (PDF). [2014-04-24]. （原始内容 (PDF)存档于2014-06-11）.