Epic 的 Linux 反作弊 EAC2 v2 看起来很容易被绕过

📋 概述

Matthew Garrett 分析 Epic 即将发布的 Linux 反作弊第二版：它基于 Linux 的 eBPF 安全模块监控运行状态，并用一整套配套基础设施防止绕过，核心链条是要求开启 Secure Boot（防止修改内核）、用 measured boot 验证 Secure Boot 是否开启、用了哪些密钥（防止自签内核），再做远程证明——由 TPM 生成一份签名的启动度量交给服务器校验。作者指出问题恰恰出在「证明度量确实来自真 TPM」这一步。他给出两条可操作路径：其一，许多主板上的 TPM 是可插拔小模块且引脚中带复位脚，短接到地即可让 TPM 回到初始状态，随后用户态就能写入任意度量，只要重放一次「安全启动 + 可信内核」的日志，校验方就会满意；其二，即使 TPM 焊在板上或集成进芯片组，证明所需的也只是一个 TPM，而非你主板上那个——用 USB 转 SPI 桥接器插上现成 TPM 模块，再让内核忽略板载 TPM 即可。他的结论是：在无法把特定 TPM 与特定系统绑定的环境里，PC 上的远程证明效果都不好。