Also...
Zwei Beispiele für ein Einspielen von Daten über das Betriebssystem:
- Neuerer Microcode für die CPU.
Im Bootprozess, während der Kernel-Initialisierungsphase, wenn der Bootloader, z.B. der Windows Boot Manager, den Kernel in den Speicher lädt,
wird u.a. auch ein temporärer Speicher eingerichtet, die Initial RAM Disk und in diesem temporären Speicher liegt u.U. ein durch den Windows Boot Manager bereitgestellter CPU Microcode. Es wird also eine temporäre RAM-Disk eingerichtet und dort bestimmte Daten bereitgestellt.
Durch ein WIndows-Update kann für den Boot Manager in dieses Datenpaket u.a. ein neuerer Microcode integriert werden.
Es wird dann abgeglichen, ob diese Version neuer ist als die, die im BIOS/UEFI bzw. in der CPU selber vorhanden ist. Dann wird dieser Microcode über ein bestimmtes Register in den SRAM Bereich der CPU geschrieben und ersetzt den ab Werk fest und unveränderlich einprogrammierten Microcode. Das passiert logischerweise bei jedem Kaltstart.
- Neuere Secure Boot Zertifikate.
Secure Boot Zertifikate können nicht während des Bootvorgangs eingespielt werden, sondern müssen bereits bei Rechnerstart vorliegen.
Ohne gültige Zertifikate würde bei aktiviertem Secure Boot der Bootloader nicht mal starten.
Diese liegen im NVRAM Bereich des Mainboards bzw. BIOS/UEFI-Chips. Non-Volatile Random Access Memory.
Den nennt man auch UEFI-Variablenspeicher. Dort liegen u.a. die Werte zu allen Einstellungsmöglichkeiten des BIOS/UEFI und diese werden z.B. gelöscht bzw. mit fest eingespeicherten Default-Werten ersetzt, wenn man das BIOS resettet. Und da können dann auch durch Windows-Update neue Zertifikate hinzugefügt werden.
Startet man einen Rechner, beginnt das BIOS/UEFI mit dem Startprozess.
Es beginnt mit der sogenannten SEC oder Security Phase. Dabei wird die CPU initialisiert, ein Cache und die Initial RAM Disk eingerichtet.
Dann kommt die Pre-EFI Initialization Phase, wo z.B. der Chipsatz initialisiert wird, Arbeitsspeicher-Erkennung usw.
Danach käme die DXE Phase, Driver Execution Environment. Das ist der Moment wo die eigentliche Hardware des Rechners gestartet wird, wo Treiber geladen werden, Schnittstellen bereitgestellt werden, wie USB, Laufwerke, Bildschirm, Tastatur usw.
Secure Boot Zertifikate können durch das Betriebssystem in den NVRAM Bereich geschrieben werden, aber nicht ins BIOS/UEFI.
Als letztes könnte man noch USB BIOS Flashback erklären.
Dazu gibt es auf dem Mainboard einen speziellen Controller-Chip, der von der immer anliegenden 5V Standby Spannung des Netzteils versorgt wird.
Dieser Controller überschreibt über den SPI-Bus das BIOS/UEFI mit einer über einen bestimmten USB-Anschluss bereitgestellten Version.
PS: Durch ein BIOS-Update oder ein Aufrufen der BIOS-Werkseinstellungen werden die Zertifikate im NVRAM natürlich nicht gelöscht.
Wäre ja auch schwer blöd, wenn alleine dadurch der Rechner wegen alter, abgelaufener Zertifikate nicht mehr starten würde...
Zertifikate, Schlüssel usw. werden erst gelöscht, wenn du das im BIOS in den Secure Boot Optionen explizit auswählst.
