![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/sv_SE/52d714626638d3391623c853be0c593b.png)
Startprocessen för Intel-baserade Mac-datorer
Intel-baserade Mac-datorer med Apple T2-säkerhetskrets
När en Intel-baserad Mac med Apple T2-säkerhetskrets slås på utför kretsen en säker start från sin Boot ROM på samma sätt som iPhone, iPad och Mac-datorer med Apple Silicon. Det här verifierar iBoot-bootloadern och är det första steget i tillförlitlighetskedjan. iBoot kontrollerar kärnan och kärntilläggskoden i T2-kretsen som sedan kontrollerar den fasta Intel UEFI-programvaran. Den fasta UEFI-programvaran och tillhörande signatur är initialt endast tillgängliga för T2-kretsen.
![Den säkra T2-startsekvensprocessen i macOS.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/sv_SE/6c7d124f1c91713744c3ebce5a3d8b9c.png)
Efter verifiering mappas avbilden för den fasta UEFI-programvaran till en del av T2-kretsens minne. Det här minnet görs tillgängligt för Intel-processorn via eSPI (enhanced Serial Peripheral Interface). Första gången Intel-processorn startas hämtar processorn den fasta UEFI-programvaran via eSPI:t från den integritetskontrollerade, minnesmappade kopian av den fasta programvaran som finns i T2-kretsen.
Utvärderingen av tillförlitlighetskedjan fortsätter på Intel-processorn där den fasta UEFI-programvaran utvärderar signaturen för boot.efi, vilket är macOS-bootloadern. De Intel-specifika signaturerna för säker start av macOS lagras i samma Image4-format som används för säker start av iOS, iPadOS och T2-kretsen, och den kod som tolkar Image4-filerna är samma hårda kod från den aktuella säkra iOS- och iPadOS-bootimplementeringen. Boot.efi verifierar i sin tur signaturen för en ny fil som heter immutablekernel. När säker start används representerar filen immutablekernel den fullständiga uppsättningen Apple-kärntillägg som krävs för att starta macOS. Policyn för säker start avslutas vid överlämningen till immutablekernel, och därefter börjar macOS-säkerhetspolicyer (som systemintegritetsskydd och signerade kärntillägg) att gälla.
Om några fel uppstår under den här processen går Mac-datorn in i återställningsläge, återställningsläge för Apple T2-säkerhetskretsen eller DFU-läge (Device Firmware Upgrade) för Apple T2-säkerhetskretsen.
Microsoft Windows på Intel-baserade Mac-datorer med T2-krets
Som förval litar en Intel-baserad Mac som har stöd för säker start endast på innehåll som är signerat av Apple. För att förbättra säkerheten för Boot Camp-installationer har dock Apple även stöd för säker start av Windows. Den fasta UEFI (Unified Extensible Firmware Interface)-programvaran innehåller en kopia av certifikatet Microsoft Windows Production CA 2011 som används till att autentisera Microsoft-bootloaders.
Obs! Det finns för närvarande ingen tillförlitlighetsfunktion för Microsoft Corporation UEFI CA 2011, vilket skulle kunna tillåta verifiering av kod som är signerad av Microsoft-partners. Detta UEFI CA används ofta till att verifiera autenticiteten för bootloaders för andra operativsystem, exempelvis Linux-varianter.
Stöd för säker start av Windows är inte aktiverat som förval, utan det aktiveras istället med Boot Camp-assistent (BCA). När en användare kör BCA konfigureras macOS om till att lita på kod som är signerad av Microsoft som första part vid start. När BCA är slutfört, och om macOS inte godkänns vid Apple-tillförlitlighetsutvärderingen under säker start, försöker den fasta UEFI-programvaran utvärdera objektets tillförlitlighet i enlighet med formateringen för säker UEFI-start. Om tillförlitlighetsutvärderingen lyckas fortsätter Mac-datorn och Windows startas. Om den inte lyckas öppnas recoveryOS och användaren får ett meddelande om att tillförlitlighetsutvärderingen har misslyckats.
Intel-baserade Mac-datorer utan T2-krets
Intel-baserade Mac-datorer utan T2-krets saknar stöd för säker start. Därför läser den fasta UEFI (Unified Extensible Firmware Interface)-programvaran in macOS-bootern (boot.efi) från filsystemet utan verifiering, och bootern läser in kärnan (prelinkedkernel) från filsystemet utan verifiering. För att skydda startsekvensens integritet bör användarna aktivera samtliga följande säkerhetsmekanismer:
Systemintegritetsskydd (SIP) Aktiverat som förval. Skyddar bootern och kärnan mot skadlig skrift från inuti ett macOS som körs.
FileVault: Det här kan aktiveras på två sätt: av användaren eller av en MDM-administratör. Detta skyddar mot en fysiskt närvarande angripare som försöker använda hårddiskläge till att skriva över bootern.
Lösenord för fast programvara: Det här kan aktiveras på två sätt: av användaren eller av en MDM-administratör. Detta förhindrar att en fysiskt närvarande angripare startar ett alternativt startläge, som recoveryOS, enanvändarläge eller hårddiskläge, från vilka bootern kan skrivas över. Detta förhindrar också start från alternativa medier som en angripare kan använda till att försöka köra kod som skriver över bootern.
![Upplåsningsprocessen på Intel-baserade Mac-datorer utan T2-krets](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/sv_SE/ba673dce225bd07f628448061922d44d.png)