![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/es_ES/52d714626638d3391623c853be0c593b.png)
Proceso de arranque para un Mac basado en Intel
Mac basado en Intel con un chip de seguridad T2 de Apple
Al encender un Mac basado en Intel con un chip de seguridad T2 de Apple, el chip realiza un arranque seguro desde su ROM de arranque, de la misma forma que los iPhone, los iPad y los Mac con chip de Apple. Esto verifica el cargador de arranque de iBoot y es el primer paso de la cadena de confianza. iBoot comprueba el kernel y el código de extensión de kernel del chip T2, que después verifica el firmware de UEFI de Intel. El firmware de UEFI y la firma asociada en un principio solo están disponibles para el chip T2.
![Proceso de la cadena de arranque seguro del chip T2 de macOS.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/es_ES/7a0657cd1f14bf8120fc3df13ec5399c.png)
Después de la verificación, la imagen del firmware de UEFI se asigna a una porción de la memoria del chip T2. Esta memoria pasa a estar disponible para la CPU Intel a través de la interfaz de periféricos serie mejorada (eSPI). Cuando la CPU Intel arranca por primera vez, obtiene el firmware de UEFI a través de eSPI procedente de la copia asignada por la memoria y de integridad probada del firmware ubicado en el chip T2.
La evaluación de la cadena de confianza continúa en la CPU Intel: el firmware de UEFI evalúa la firma de boot.efi, que es el cargador de arranque de macOS. Las firmas de arranque seguro del macOS, que residen en el procesador Intel, se guardan en el mismo formato Image4 que se usa para iOS, iPadOS y el arranque seguro del chip T2. Además, el código que analiza los archivos Image4 es el mismo código bastionado de la actual implementación de arranque seguro de iOS y iPadOS. Boot.efi, a su vez, verifica la firma de un nuevo archivo llamado “immutablekernel”. Cuando se activa el arranque seguro, el archivo immutablekernel representa el conjunto completo de extensiones del kernel de Apple necesarias para el arranque de macOS. La política de arranque seguro termina con el traspaso a immutablekernel y, después de eso, empiezan a aplicarse las políticas de seguridad de macOS (como la protección de la integridad del sistema y las extensiones del kernel firmadas).
Si se produce cualquier fallo o error en este proceso, el Mac entra en el modo de recuperación, en el modo de recuperación del chip de seguridad T2 de Apple o en el modo de actualización del firmware del dispositivo (DFU) del chip de seguridad T2 de Apple.
Microsoft Windows en un Mac basado en Intel con un chip T2
Por defecto, un Mac basado en Intel compatible con el arranque seguro únicamente confía en contenido firmado por Apple. Sin embargo, para mejorar la seguridad de las instalaciones de Boot Camp, Apple también es compatible con el arranque seguro de Windows. El firmware de la interfaz de firmware extensible unificada (UEFI) incluye una copia del certificado de producción CA 2011 de Microsoft Windows, que se usa para autenticar los cargadores de arranque de Microsoft.
Nota: De momento no se ha proporcionado ninguna confianza al certificado CA 2011 de la UEFI de Microsoft Windows, lo que permitiría la verificación del código firmado por los socios de Microsoft. Este certificado de la autoridad de certificación de la UEFI se usa habitualmente para verificar la autenticación de los cargadores de arranque de otros sistemas operativos, como las variantes de Linux.
La compatibilidad con el arranque seguro de Windows no se activa por defecto; se activa mediante Asistente Boot Camp (BCA). Cuando un usuario ejecuta el BCA, macOS se reconfigura para confiar en el código original firmado por Microsoft durante el arranque. Después de completar el BCA, si macOS no puede llevar a cabo la evaluación de la confianza del código original de Apple durante el arranque seguro, el firmware de UEFI intenta evaluar la confianza del objeto según el formato de arranque seguro de la UEFI. Si la evaluación de la confianza se realiza correctamente, el Mac sigue adelante con el proceso de arranque de Windows. Si no, el Mac entra en el sistema operativo de recuperación e informa al usuario del error al evaluar la confianza.
Ordenadores Mac basados en Intel sin chip T2
Un Mac basado en Intel sin chip T2 no admite el arranque seguro. Por lo tanto, el firmware de la interfaz de firmware extensible unificada (UEFI) carga el software de arranque de macOS (boot.efi) desde el sistema de archivos sin verificación y el software de arranque carga el kernel (prelinkedkernel) desde el sistema de archivos sin verificación. Para proteger la integridad de la cadena de arranque, los usuarios deberían activar todos estos mecanismos de seguridad:
Protección de la integridad del sistema (SIP): Activado por defecto, protege el software de arranque y el kernel de escrituras malintencionadas desde el mismo macOS en ejecución.
FileVault: Esto se puede activar de dos formas: por el usuario o por un administrador de una solución de gestión de dispositivos móviles (MDM). Esto protege frente a un atacante presente físicamente que utiliza la modalidad de disco de destino para sobrescribir el software de arranque.
Contraseña de firmware: Esto se puede activar de dos formas: por el usuario o por un administrador de MDM. Esto ayuda a evitar que un atacante presente físicamente inicie modos de arranque alternativos (como el sistema operativo de recuperación, el modo de usuario único o la modalidad de disco de destino) desde los que el software de arranque se puede sobrescribir. Esto también ayuda a evitar el arranque desde soportes alternativos, por los que un atacante podría ejecutar códigos para sobrescribir el software de arranque.
![Proceso de desbloqueo de un Mac basado en Intel sin un chip T2.](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/es_ES/849c6a800e150f7ddaa90cb4e8e19ac0.png)