bputil 命令详解 有大用

bputil:    boot policy util  引导策略工具,,,,,,,,bputil命令是macOS上的一种实用工具，用于管理和操作苹果电脑的引导策略。该工具可以帮助用户管理引导策略，包括识别可引导的卷以及在引导选项中添加、删除或列出项目。,,,,此实用程序不适用于普通用户，甚至不适用于系统管理员。当通过GUI更改安全策略时，它提供了对通常由用户自动处理的功能的无限制访问,,例如macOS Recovery中的Startup Security Utility（“recoveryOS”）。使用此工具可以使您的系统安全性变得更弱，从而更容易妥协。此工具不用于生产环境。使用此工具可以使系统无法启动。它应该只用于了解苹果Silicon Mac的安全性是如何工作的。使用风险自负！bputil通过调用引导策略库来执行操作。这将修改系统的安全配置，该配置存储在名为LocalPolicy的文件中。此文件由Secure进行数字签名,,,Enclave处理器（SEP）。用于对LocalPolicy进行签名的私钥由一个单独的密钥保护，只有当用户在成功的,,,身份验证。这就是为什么该工具必须在命令行或通过交互式提示指定用户名和密码的原因。

-k 选项 

-k, --enable-kexts.

              Because this option automatically downgrades to Reduced Security mode if not already true, selecting this option will make your system easier to compromise!

              The AuxiliaryKernelCache is a SEP-signed boot object which can be verified and loaded into kernel memory before that memory is restricted to being non-writable by a “Configurable Text Read-only Region”

              (CTRR) hardware register. Introducing 3rd party kernel extensions can introduce architectural or implementation flaws into the kernel, which can lead to system compromise. In order to achieve iOS-like

              security properties, 3rd party kexts must be denied by default, and only loadable if the customer consciously opts in to lowering their security from 1TR.

              Boot environment requirements: 1TR.

              Pairing requirements: Paired only.

-k、 --启用kexts。

由于此选项会自动降级到降低安全性模式（如果尚未设置），因此选择此选项将使您的系统更容易受损！

AuxiliaryKernelCache是一个SEP签名的启动对象，在内核内存被“可配置文本只读区域”限制为不可写之前，它可以被验证并加载到内核内存中（CTRR）硬件寄存器。引入第三方内核扩展可能会在内核中引入架构或实现缺陷，从而导致系统崩溃。为了实现类似iOS

安全属性，第三方kexts在默认情况下必须被拒绝，并且只有当客户有意识地选择将其安全性从1TR降低时才可加载。

引导环境要求：1TR。

配对要求：仅配对。

#  bputil -k    # 引导策略工具 ,启用 kext