A 3mdeb, empresa responsável pelo projeto Dasharo e especialista em desenvolvimento de firmware, revelou uma reformulação profunda em sua infraestrutura de atualizações de UEFI. A introdução da nova arquitetura de cápsulas (chamada internamente de V2) resolve deficiências estruturais herdadas do projeto EDK II relacionadas à autenticação de chaves, expande o alcance do utilitário fwupd para sistemas operacionais além do Linux e implementa melhorias há muito aguardadas na interface gráfica durante o processo de gravação (flashing).
As atualizações de cápsula são o padrão adotado pela indústria para entregar novas versões de firmware diretamente pelo sistema operacional, processo frequentemente orquestrado em distribuições Linux via fwupd e LVFS (Linux Vendor Firmware Service).
O que isso muda na prática
Para o usuário final, a mudança resolve uma das maiores frustrações ao atualizar a placa-mãe: a ausência de resposta visual. Nas implementações anteriores, o computador simplesmente reiniciava para aplicar a atualização em uma tela de texto minimalista (ou nenhuma tela) e reiniciava de novo, muitas vezes deixando o usuário sem saber se a operação foi bem-sucedida ou se falhou silenciosamente.
Com a nova arquitetura, o processo exibe a logo do fabricante com alta qualidade — graças a um novo algoritmo de escalonamento 2D nativo do firmware —, uma barra de progresso suave e, fundamentalmente, uma tela de resultados detalhada informando claramente o sucesso ou o motivo da falha antes do reboot final.
Autenticação real com a arquitetura V2
O maior ganho técnico das novas cápsulas diz respeito à segurança. Segundo a 3mdeb, a forma como o pacote de dispositivo de firmware (FmpDevicePkg) é implementado no código de referência EDK II reduz a autenticação a uma simples checagem de integridade, um problema grave para cadeias de confiança zero (Zero Trust).
A solução adotada pela 3mdeb na versão V2 foi criar um “envelope” criptográfico. A nova implementação exige uma etapa de pré-processamento, onde uma cápsula é embutida dentro de outra. O firmware agora checa se existe apenas uma carga útil e verifica a assinatura contra a chave pública mestre gravada na placa antes de liberar o conteúdo. Isso autentica não apenas a imagem ROM, mas também a ordem dos pacotes, os drivers embutidos e os sinalizadores (flags) da cápsula.
Como o novo sistema é estritamente mais seguro, existe uma quebra de compatibilidade com as cápsulas V1. Segundo os desenvolvedores, firmwares atualizados com suporte à V2 rejeitarão cápsulas V1. Na prática, isso bloqueia downgrades via cápsula para versões antigas que usavam o padrão anterior, exigindo métodos alternativos de gravação caso o usuário precise retroceder.
Intel ME e boot mais rápido
A engenharia da 3mdeb também resolveu problemas específicos de hardware. Em plataformas Intel, gravar no chip flash ao mesmo tempo em que o Intel Management Engine (ME) está operando pode corromper o sistema. A alternativa era desativar o ME temporariamente na memória RAM, mas isso apagava o conteúdo da memória, local onde a própria cápsula ficava armazenada durante o reboot.
A saída foi portar a funcionalidade de “cápsulas de disco” (disk capsules) para o firmware open source. Agora, o firmware consegue puxar o arquivo de atualização diretamente do armazenamento do disco na mesma inicialização em que é descoberto, contornando a necessidade de usar a RAM e evitando conflitos com o Intel ME.
Além disso, a atualização via cápsula agora preserva os dados de treinamento da memória RAM gerados pela versão anterior do firmware. Isso elimina o longo tempo de espera tradicionalmente necessário no primeiro boot após uma atualização de BIOS.
Expansão multiplataforma do fwupd
A adoção das cápsulas só funciona bem quando o sistema operacional possui ferramentas prontas para interagir com a placa-mãe. A equipe conseguiu avanços significativos com o utilitário fwupd:
- FreeBSD: O código necessário foi importado pela equipe de ports do FreeBSD, permitindo que o sistema aceite e processe cápsulas, embora ainda falte suporte no kernel para extrair todas as informações do hardware, segundo a documentação.
- Qubes OS: Foram estendidos os “wrappers” (encapsulamentos) do sistema voltado à segurança extrema, permitindo que as atualizações operem no mesmo patamar de outras distribuições Linux.
- Windows: Em formato de prova de conceito, a empresa conseguiu realizar a atualização contornando o limitador embutido do Windows para aplicar as cápsulas de forma independente, abrindo caminho para uso fora do ecossistema Microsoft convencional.
Próximos passos e ecossistema
A nova infraestrutura está funcional e será ativada progressivamente à medida que as placas suportadas pelo Dasharo (e projetos correlatos do coreboot) receberem atualizações maiores.
O desafio atual é a integração do código principal no TianoCore, repositório central do padrão EDK II. A 3mdeb submeteu as correções de autenticação como primeiro passo, mas aponta que o projeto oficial (upstream) sofre com inatividade, com solicitações de mudança ficando meses paradas sem análise. Apesar da lentidão oficial, projetos baseados no coreboot já podem se beneficiar ativamente dessa arquitetura através dos repositórios da empresa.
