如何开发可在计算机操作系统启动前运行的预开机密码验证程序

基础实现逻辑 #

你要做的程序本质是UEFI预启动应用，需要插在固件加载完成、操作系统引导项启动之前的阶段运行，保证开机必触发，不会被系统层面的修改绕过。

• 运行入口：直接把你的程序编译为符合UEFI规范的.efi文件，存放在ESP分区的自定义目录下，将其设置为UEFI启动顺序的第一优先级，每次开机优先加载该程序。
• 密码校验实现：
  • 密码不要明文存储，优先将加盐后的SHA-256哈希值写入UEFI的NV变量（非易失性变量）的只读区域，避免物理读取固件后直接泄露密码。
  • 校验逻辑要做防暴力破解限制，比如连续3次校验失败就触发3分钟的冷却锁定，期间不接受任何输入。
  • 校验通过后，程序直接调用UEFI接口跳转启动原有的操作系统引导项即可，不需要用户额外操作。

开发&调试注意事项 #

不要直接尝试修改刷入主板自带的BIOS固件，操作失误极易导致主板变砖，仅修改UEFI启动项、将自定义程序放在ESP分区的方案调试成本和风险都低很多。

• 开发优先用官方EDK2UEFI开发框架，框架已经封装好了UEFI环境下的键盘输入、屏幕输出、NV变量读写、引导项跳转等常用接口，不需要从零实现底层驱动。
• 要提前做好密码兜底方案：可以提前生成若干一次性恢复码和密码哈希一起存储在UEFI变量中，用户忘记密码时可以通过恢复码解锁，避免用户遗忘密码后完全无法使用设备。
• 注意适配不同硬件的输入设备：UEFI默认兼容通用USB/PS2键盘，部分特殊的外接键盘、笔记本内置自定义键盘可能需要额外适配驱动，避免验证阶段无法输入密码。

内容的提问来源于stack exchange，提问作者Lucas João