AMD gibt Integration mit der Secured-Core-PC-Initiative von Microsoft bekannt



In today's world, computer security is becoming very important due the exponential increase in malware and ransomware attacks. Various studies have shown that a single malicious attack can cost companies millions of dollars and can require significant recovery time. With the growth of employees working remotely and connected to a network considered less secure than traditional corporate network, employee's computer systems can be perceived as a weak security link and a risk to overall security of the company. Operating System (OS) and independent hardware vendors (IHV) are investing in security technologies which will make computers more resilient to cyberattacks. Microsoft hat kürzlich seine Secured-Core-PC-Initiative angekündigt, die auf gemeinsamen Anstrengungen von OEM-Partnern, Silikonherstellern und sich selbst beruht, um tief integrierte Hardware, Firmware und Software für eine verbesserte Gerätesicherheit bereitzustellen. Als führender Siliziumanbieter auf dem PC-Markt wird AMD bei diesen Bemühungen ein wichtiger Partner für künftige Prozessoren sein, die mit Secured-Core-PCs kompatibel sind.

In einem Computersystem werden Firmware niedriger Stufe und der Bootloader zunächst ausgeführt, um das System zu konfigurieren. Dann wird das Eigentum an dem System an das Betriebssystem übergeben, dessen Aufgabe es ist, die Ressourcen zu verwalten und die Integrität des Systems zu schützen.

In der heutigen Welt werden Cyberangriffe immer ausgefeilter, und Bedrohungen für Firmware auf niedriger Ebene werden immer häufiger. Angesichts dieses sich wandelnden Paradigmas bei Sicherheitsbedrohungen ist es dringend erforderlich, den Endkunden eine integrierte Hardware- und Softwarelösung zur Verfügung zu stellen, die dem System umfassende Sicherheit bietet. Hier kommt die Microsoft Secured-Core-PC-Initiative ins Spiel. Mit einem PC mit gesichertem Kern können Sie sicher booten, Ihr Gerät vor Firmware-Schwachstellen schützen, das Betriebssystem vor Angriffen schützen und den unbefugten Zugriff auf Geräte und Daten mit erweiterten Zugriffskontrollen und Authentifizierungssystemen verhindern.

AMD spielt eine wichtige Rolle bei der Aktivierung von Secure-Core-PCs, da die Hardwaresicherheitsfunktionen von AMD und die zugehörige Software dazu beitragen, Firmware-Angriffe auf niedriger Ebene zu schützen. Bevor wir erklären, wie AMD Secured-Core-PCs in AMD Ryzen-Produkten der nächsten Generation aktiviert, wollen wir zunächst einige Sicherheitsfunktionen und -fähigkeiten von AMD-Produkten erläutern.

Haut
Die Anweisung SKINIT hilft dabei, ausgehend von einem anfangs nicht vertrauenswürdigen Betriebsmodus eine Vertrauenswurzel zu erstellen. SKINIT initialisiert den Prozessor neu, um eine sichere Ausführungsumgebung für eine Softwarekomponente namens Secure Loader (SL) einzurichten, und startet die Ausführung der SL, um Manipulationen zu verhindern. SKINIT erweitert die hardwarebasierte Vertrauensbasis auf den Secure Loader.

Sicherer Lader (SL)
Der AMD Secure Loader (SL) ist für die Validierung der Plattformkonfiguration verantwortlich, indem er die Hardware abfragt und Konfigurationsinformationen vom DRTM-Service anfordert.

AMD Secure Processor (ASP)
AMD Secure Processor ist eine dedizierte Hardware, die in jedem SOC verfügbar ist und das sichere Hochfahren von der BIOS-Ebene in die Trusted Execution Environment (TEE) ermöglicht. Vertrauenswürdige Anwendungen können branchenübliche APIs nutzen, um die sichere Ausführungsumgebung von TEE zu nutzen.

AMD-V mit GMET
AMD-V besteht aus Hardware-Erweiterungen, um die Virtualisierung auf AMD-Plattformen zu ermöglichen. Guest Mode Execute Trap (GMET) ist eine in Ryzen der nächsten Generation hinzugefügte Funktion zur Beschleunigung der Siliziumleistung, mit der Hypervisor die Code-Integritätsprüfung effizient durchführen und zum Schutz vor Malware beitragen kann.

Lassen Sie uns nun das grundlegende Konzept des Firmware-Schutzes in einem PC mit gesichertem Kern verstehen. Die Firmware und der Bootloader können unter der Annahme, dass es sich um ungeschützten Code handelt und dass das System kurz nach dem Start in einen vertrauenswürdigen Zustand übergeht, wobei die Hardware die Firmware auf niedriger Ebene auf einen bekannten und gemessenen Codepfad zwingt, frei zu laden. Dies bedeutet, dass die Firmware-Komponente durch den Sicherheitsblock auf dem AMD-Silizium authentifiziert und gemessen wird und die Messung sicher in TPM gespeichert wird, damit sie von Betriebssystemen einschließlich Verifizierung und Bescheinigung weiter verwendet werden kann. Zu jedem Zeitpunkt nach dem Booten des Systems in das Betriebssystem kann das Betriebssystem den AMD-Sicherheitsblock anfordern, um die alten Werte erneut zu messen und mit ihnen zu vergleichen, bevor weitere Vorgänge ausgeführt werden. Auf diese Weise kann das Betriebssystem dazu beitragen, die Integrität des Systems vom Start bis zur Laufzeit sicherzustellen. Der oben beschriebene Firmware-Schutzablauf wird vom AMD DRTM-Service-Block (Dynamic Root of Trust Measurement) ausgeführt und besteht aus SKINIT-CPU-Anweisungen, ASP und dem AMD Secure Loader (SL). Dieser Block ist für die Erstellung und Aufrechterhaltung einer Vertrauenskette zwischen Komponenten verantwortlich, indem die folgenden Funktionen ausgeführt werden:

Firmware und Bootloader messen und authentifizieren
Erfassen der folgenden Systemkonfiguration für das Betriebssystem, die diese wiederum anhand ihrer Sicherheitsanforderungen überprüft und Informationen zur zukünftigen Überprüfung speichert.
  • Physische Speicherzuordnung
  • Speicherort des PCI-Konfigurationsbereichs
  • Lokale APIC-Konfiguration
  • I / O APIC Konfiguration
  • IOMMU-Konfiguration / TMR-Konfiguration
  • Energieverwaltungskonfiguration
Während die oben genannten Methoden zum Schutz der Firmware beitragen, muss noch eine Angriffsfläche geschützt werden, der System Management Mode (SMM). SMM ist ein spezieller CPU-Modus in x86-Mikrocontrollern, der die Energieverwaltung, die Hardwarekonfiguration, die thermische Überwachung und alles, was der Hersteller für nützlich hält, übernimmt. Immer wenn eine dieser Systemoperationen angefordert wird, wird zur Laufzeit ein Interrupt (SMI) aufgerufen, der den vom BIOS installierten SMM-Code ausführt. SMM-Code wird auf der höchsten Berechtigungsstufe ausgeführt und ist für das Betriebssystem nicht sichtbar. Aufgrund dessen wird es ein attraktives Ziel für böswillige Aktivitäten und kann möglicherweise verwendet werden, um auf den Hypervisor-Speicher zuzugreifen und den Hypervisor zu ändern.

Da der SMI-Handler in der Regel von einem anderen Entwickler bereitgestellt wird als das Betriebssystem und der SMM-Handler-Code, der mit höheren Berechtigungen ausgeführt wird, haben Sie Zugriff auf OS / Hypervisor Memory & Resources. Ausnutzbare Sicherheitslücken in SMM-Code führen zu einer Gefährdung von Windows OS / HV und Virtualization Based Security (VBS). Um SMM besser isolieren zu können, führt AMD ein Sicherheitsmodul namens AMD SMM Supervisor ein, das unmittelbar ausgeführt wird, bevor die Steuerung nach einem SMI an den SMI-Handler übertragen wird. AMD SMM Supervisor befindet sich im AMD DRTM-Serviceblock, und der Zweck von AMD SMM Supervisor besteht darin,
  • Blockieren Sie, dass SMM den Hypervisor- oder Betriebssystemspeicher ändern kann. Eine Ausnahme ist ein kleiner Koordinatenkommunikationspuffer zwischen den beiden.
  • Verhindern Sie, dass SMM zur Laufzeit neuen SMM-Code einführt
  • Blockieren Sie den Zugriff von SMM auf DMA, E / A oder Register, die den Hypervisor oder das Betriebssystem gefährden können
To summarize, AMD will continue to innovate and push boundaries of security in hardware, whether it is DRTM service block to help protect integrity of the system, the use of Transparent Secure Memory Encryption (TSME) to help protect data or Control-flow Enforcement technology (CET) to help prevent against Return Oriented Programming (ROP) attacks. Microsoft is a key partner for AMD and as part of this relationship there is a joint commitment with the Secured-core PC initiative to improve security within software and hardware to offer a more comprehensive security solution to customers. Sources: Microsoft Secured-Core, AMD