AMD anuncia la integració amb la iniciativa de PC Secured-Core de Microsoft



In today's world, computer security is becoming very important due the exponential increase in malware and ransomware attacks. Various studies have shown that a single malicious attack can cost companies millions of dollars and can require significant recovery time. With the growth of employees working remotely and connected to a network considered less secure than traditional corporate network, employee's computer systems can be perceived as a weak security link and a risk to overall security of the company. Operating System (OS) and independent hardware vendors (IHV) are investing in security technologies which will make computers more resilient to cyberattacks. Microsoft ha anunciat recentment la seva iniciativa PC de nucli de seguretat que es basa en un esforç combinat dels socis OEM, venedors de silici i ells mateixos per proporcionar hardware, firmware i programari profundament integrats per millorar la seguretat del dispositiu. Com a principal proveïdor de silici en el mercat d’ordinadors, AMD serà un soci clau en aquest esforç amb els processadors propers compatibles amb ordinador de nucli segur.

En un sistema informàtic, el firmware de baix nivell i el carregador d'arrencada s'executen inicialment per configurar el sistema. A continuació, la propietat del sistema es lliura al sistema operatiu que té la responsabilitat de gestionar els recursos i protegir la integritat del sistema.

Al món actual, els ciberataques són cada cop més sofisticats, amb les amenaces dirigides a firmware de baix nivell cada vegada més destacades. Amb aquest canvi de paradigma en les amenaces de seguretat, hi ha una necessitat intensa de proporcionar als clients finals una solució integrada de maquinari i programari que ofereixi una seguretat integral al sistema. Aquí és on es presenta la iniciativa de Microsoft Secure-core PC. Un ordinador de nucli securitzat us permet arrencar de forma segura, protegir el vostre dispositiu de vulnerabilitats del firmware, protegir el sistema operatiu dels atacs i evitar l'accés no autoritzat a dispositius i dades amb controls d'accés i sistemes d'autenticació avançats.

AMD juga un paper fonamental a l’hora d’habilitar Secure-Core PC, ja que les característiques de seguretat del maquinari d’AMD i el programari associat ajuden a salvaguardar els atacs de firmware de baix nivell. Abans d’explicar com AMD està habilitant Secured-Core PC en els propers productes AMD Ryzen, expliquem primer algunes característiques i capacitats de seguretat dels productes AMD.

pells
La instrucció SKINIT ajuda a crear una 'arrel de confiança' començant per un mode operatiu inicialment no confiat. SKINIT reinicialitza el processador per establir un entorn d’execució segura per a un component de programari anomenat loader segur (SL) i inicia l’execució del SL de manera que s’eviti la manipulació SKINIT estén l’arrel de confiança basada en el maquinari al carregador segur.

Carregador segur (SL)
L’AMD Secure Loader (SL) s’encarrega de validar la configuració de la plataforma interrogant el maquinari i sol·licitant informació de configuració del servei DRTM.

Processador AMD Secure (ASP)
AMD Secure Processor és el maquinari dedicat disponible a cada SOC que ajuda a l'arrencada segura des del nivell de BIOS a l'entorn de confiança d'execució (TEE). Les aplicacions de confiança poden aprofitar les API estàndard de la indústria per aprofitar l'entorn d'execució segura del TEE.

AMD-V amb GMET
AMD-V és un conjunt d'extensions de maquinari que permeten la virtualització en plataformes AMD. Guest Mode Execute Trap (GMET) és una característica d’acceleració del rendiment del silici afegida en el següent gen Ryzen, que permet a l’hipervisor manejar de manera eficient la comprovació de la integritat del codi i ajudar a protegir-se contra el malware.

Ara entenem el concepte bàsic de protecció del firmware en un ordinador amb nucli de seguretat. El firmware i el carregador d’arrencada es poden carregar lliurement amb el supòsit que es tracta d’un codi sense protecció i sabent que poc després del llançament el sistema passarà a un estat de confiança amb el maquinari obligant el firmware de baix nivell per un camí de codi conegut i mesurat. Això significa que el component del firmware està autenticat i mesurat pel bloc de seguretat en silici AMD i que la mesura es guarda de forma segura a TPM per a un major ús dels sistemes operatius inclosos la verificació i la certificació. En qualsevol moment després de l'arrencada del sistema al sistema operatiu, el sistema operatiu pot sol·licitar que el bloc de seguretat AMD pugui tornar a mesurar i comparar amb valors antics abans d'executar amb altres operacions. D’aquesta manera, el sistema operatiu pot ajudar a assegurar la integritat del sistema des de l’arrencada fins al temps d’execució. El flux de protecció de firmware descrit anteriorment és gestionat pel bloc de serveis AMD Dynamic Root of Trust Measurement (DRTM) i està format per la instrucció de la CPU SKINIT, ASP i AMD Secure Loader (SL). Aquest bloc s’encarrega de crear i mantenir una cadena de confiança entre components mitjançant les següents funcions:

Mesureu i autentiqueu el firmware i el carregador d’arrencada
Per reunir la configuració del sistema següent per al sistema operatiu, al seu torn, les validarà segons els seus requisits de seguretat i emmagatzemarà informació per a la seva verificació futura.
  • Mapa de memòria física
  • Ubicació de l’espai de configuració PCI
  • Configuració APIC local
  • Configuració APIC d'E / S
  • Configuració IOMMU / Configuració TMR
  • Configuració de gestió d’energia
Si bé els mètodes anteriors ajuden a salvaguardar el firmware, encara hi ha una superfície d'atac que cal protegir, el sistema de gestió del sistema (SMM). SMM és un mode de CPU amb propòsits especials en microcontroladors x86 que gestiona la potència, la configuració del maquinari, la supervisió tèrmica i qualsevol cosa que el fabricant consideri útil. Sempre que es demana una d’aquestes operacions del sistema, s’invoca una interrupció (SMI) en temps d’execució que executa el codi SMM instal·lat per la BIOS. El codi SMM s'executa en el nivell de privilegi més alt i és invisible per al sistema operatiu. A causa d'això, es converteix en un atractiu per a l'activitat maliciosa i es pot utilitzar potencialment per accedir a la memòria d'hipervisor i canviar l'hipervisor.

Com que el gestor SMI és proporcionat normalment per un desenvolupador diferent, el sistema operatiu i el codi de controlador SMM que s’executa en un privilegi superior té accés a OS / Hypervisor Memory & Resources. Les vulnerabilitats explotables en codi SMM condueixen a un compromís del sistema operatiu Windows / HV i la seguretat basada en virtualització (VBS). Per ajudar a aïllar SMM, AMD introdueix un mòdul de seguretat anomenat AMD SMM Supervisor que s'executa immediatament abans que el control es transfereixi al manipulador SMI un cop s'ha produït un SMI. AMD SMM Supervisor resideix en el bloc de serveis AMD DRTM i l'objectiu de AMD SMM Supervisor és:
  • Evita que SMM pugui modificar la memòria d’Hipervisor o SO. Una excepció és un petit buffer de comunicació de coordenades entre tots dos.
  • Eviteu que SMM introdueixi nou codi SMM en temps d'execució
  • Eviteu que SMM accedeixi a DMA, E / S o registres que puguin comprometre l'hipervisor o el sistema operatiu
To summarize, AMD will continue to innovate and push boundaries of security in hardware, whether it is DRTM service block to help protect integrity of the system, the use of Transparent Secure Memory Encryption (TSME) to help protect data or Control-flow Enforcement technology (CET) to help prevent against Return Oriented Programming (ROP) attacks. Microsoft is a key partner for AMD and as part of this relationship there is a joint commitment with the Secured-core PC initiative to improve security within software and hardware to offer a more comprehensive security solution to customers. Sources: Microsoft Secured-Core, AMD