amd annonce son intégration à l'initiative des ordinateurs sécurisés de Microsoft - Amd

AMD annonce son intégration avec l'initiative PC à cœur sécurisé de Microsoft



In today's world, computer security is becoming very important due the exponential increase in malware and ransomware attacks. Various studies have shown that a single malicious attack can cost companies millions of dollars and can require significant recovery time. With the growth of employees working remotely and connected to a network considered less secure than traditional corporate network, employee's computer systems can be perceived as a weak security link and a risk to overall security of the company. Operating System (OS) and independent hardware vendors (IHV) are investing in security technologies which will make computers more resilient to cyberattacks.

Microsoft a récemment annoncé son initiative PC à cœur sécurisé qui s'appuie sur un effort combiné de partenaires OEM, de fournisseurs de silicium et d'eux-mêmes pour fournir du matériel, des micrologiciels et des logiciels profondément intégrés pour une sécurité renforcée des appareils. En tant que principal fournisseur de silicium sur le marché des PC, AMD sera un partenaire clé dans cet effort avec les processeurs à venir qui sont compatibles avec les PC à cœur sécurisé.

Dans un système informatique, un micrologiciel de bas niveau et le chargeur de démarrage sont initialement exécutés pour configurer le système. La propriété du système est ensuite transférée au système d'exploitation dont la responsabilité est de gérer les ressources et de protéger l'intégrité du système.

Dans le monde d'aujourd'hui, les cyberattaques deviennent de plus en plus sophistiquées, les menaces ciblant les micrologiciels de bas niveau devenant de plus en plus importantes. Avec ce paradigme changeant en matière de menaces de sécurité, il est impératif de fournir aux clients finaux une solution matérielle et logicielle intégrée qui offre une sécurité complète au système. C'est là que l'initiative PC à cœur sécurisé Microsoft entre en scène. Un PC à cœur sécurisé vous permet de démarrer en toute sécurité, de protéger votre appareil contre les vulnérabilités du micrologiciel, de protéger le système d'exploitation contre les attaques et d'empêcher tout accès non autorisé aux appareils et aux données avec des contrôles d'accès et des systèmes d'authentification avancés.

AMD joue un rôle essentiel dans l'activation de Secure-Core PC, car les fonctionnalités de sécurité matérielle d'AMD et les logiciels associés aident à protéger les attaques de micrologiciel de bas niveau. Avant d'expliquer comment AMD active le PC à cœur sécurisé dans les produits AMD Ryzen de prochaine génération, expliquons d'abord certaines fonctionnalités et capacités de sécurité des produits AMD.

peaux
L'instruction SKINIT permet de créer une «racine de confiance» commençant par un mode de fonctionnement initialement non approuvé. SKINIT réinitialise le processeur pour établir un environnement d'exécution sécurisé pour un composant logiciel appelé le chargeur sécurisé (SL) et démarre l'exécution du SL de manière à empêcher toute falsification. SKINIT étend la racine de confiance matérielle au chargeur sécurisé.

Secure Loader (SL)
AMD Secure Loader (SL) est chargé de valider la configuration de la plate-forme en interrogeant le matériel et en demandant des informations de configuration au service DRTM.

Processeur sécurisé AMD (ASP)
AMD Secure Processor est un matériel dédié disponible dans chaque SOC qui permet d'activer le démarrage sécurisé du niveau du BIOS dans le Trusted Execution Environment (TEE). Les applications fiables peuvent tirer parti des API standard de l'industrie pour tirer parti de l'environnement d'exécution sécurisé du TEE.

AMD-V avec GMET
AMD-V est un ensemble d'extensions matérielles permettant la virtualisation sur les plateformes AMD. GMET (Guest Mode Execute Trap) est une fonction d'accélération des performances du silicium ajoutée dans Ryzen de nouvelle génération qui permet à l'hyperviseur de gérer efficacement la vérification de l'intégrité du code et de protéger contre les logiciels malveillants.

Maintenant, comprenons le concept de base de la protection du firmware dans un PC à cœur sécurisé. Le micrologiciel et le chargeur de démarrage peuvent se charger librement en supposant qu'il s'agit de code non protégé et en sachant que peu de temps après le lancement, le système passera à un état de confiance avec le matériel forçant le micrologiciel de bas niveau sur un chemin de code bien connu et mesuré. Cela signifie que le composant du micrologiciel est authentifié et mesuré par le bloc de sécurité sur le silicium AMD et la mesure est stockée en toute sécurité dans TPM pour une utilisation ultérieure par les systèmes d'exploitation, y compris la vérification et l'attestation. À tout moment après le démarrage du système dans le système d'exploitation, le système d'exploitation peut demander au bloc de sécurité AMD de remesurer et de comparer avec les anciennes valeurs avant d'exécuter d'autres opérations. De cette façon, le système d'exploitation peut aider à garantir l'intégrité du système du démarrage à l'exécution. Le flux de protection du micrologiciel décrit ci-dessus est géré par le bloc de service AMD Dynamic Root of Trust Measurement (DRTM) et est composé des instructions CPU SKINIT, ASP et AMD Secure Loader (SL). Ce bloc est chargé de créer et de maintenir une chaîne de confiance entre les composants en effectuant les fonctions suivantes:

Mesurer et authentifier le firmware et le chargeur de démarrage
Pour rassembler la configuration système suivante pour le système d'exploitation, qui à son tour les validera par rapport à ses exigences de sécurité et stockera des informations pour une vérification future.
  • Carte de mémoire physique
  • Emplacement de l'espace de configuration PCI
  • Configuration APIC locale
  • Configuration d'E / S APIC
  • Configuration IOMMU / Configuration TMR
  • Configuration de la gestion de l'alimentation
Bien que les méthodes ci-dessus aident à protéger le micrologiciel, il existe toujours une surface d'attaque qui doit être protégée, le mode de gestion du système (SMM). SMM est un mode CPU à usage spécial dans les microcontrôleurs x86 qui gère la gestion de l'alimentation, la configuration matérielle, la surveillance thermique et tout ce que le fabricant juge utile. Chaque fois qu'une de ces opérations système est demandée, une interruption (SMI) est invoquée lors de l'exécution qui exécute le code SMM installé par le BIOS. Le code SMM s'exécute au niveau de privilège le plus élevé et est invisible pour le système d'exploitation. De ce fait, il devient une cible attrayante pour les activités malveillantes et peut être potentiellement utilisé pour accéder à la mémoire de l'hyperviseur et changer l'hyperviseur.

Étant donné que le gestionnaire SMI est généralement fourni par un développeur différent, le système d'exploitation et le code du gestionnaire SMM s'exécutant avec des privilèges supérieurs ont accès à la mémoire et aux ressources du système d'exploitation / hyperviseur. Des vulnérabilités exploitables dans le code SMM conduisent à la compromission de Windows OS / HV & Virtualization Based Security (VBS). Pour aider à isoler SMM, AMD présente un module de sécurité appelé AMD SMM Supervisor qui s'exécute immédiatement avant le transfert du contrôle au gestionnaire SMI après qu'un SMI s'est produit. AMD SMM Supervisor réside dans le bloc de service AMD DRTM et le but d'AMD SMM Supervisor est de:
  • Empêche SMM de pouvoir modifier la mémoire de l'hyperviseur ou du système d'exploitation. Une exception est un petit tampon de communication de coordonnées entre les deux.
  • Empêcher SMM d'introduire un nouveau code SMM au moment de l'exécution
  • Empêcher SMM d'accéder aux DMA, aux E / S ou aux registres qui peuvent compromettre l'hyperviseur ou le système d'exploitation
To summarize, AMD will continue to innovate and push boundaries of security in hardware, whether it is DRTM service block to help protect integrity of the system, the use of Transparent Secure Memory Encryption (TSME) to help protect data or Control-flow Enforcement technology (CET) to help prevent against Return Oriented Programming (ROP) attacks. Microsoft is a key partner for AMD and as part of this relationship there is a joint commitment with the Secured-core PC initiative to improve security within software and hardware to offer a more comprehensive security solution to customers. Sources: Microsoft Secured-Core, AMD