Intel prioriterer sikkerhed i de nyeste VPro-chips

Genudgivet af Platon

Abonnenter: 0

Intel tager et nyt tag med de seneste kommercielle pc-chips, der blev annonceret i sidste måned: I stedet for at udråbe hastighed og ydeevne, lagde virksomheden vægt på chippens sikkerhedsfunktioner.

Chipgiganten har arbejdet med sikkerhedsleverandører i de seneste år for at implementere beskyttelse på hardwareniveau på chipsene for at beskytte bærbare computere mod ransomware og malware-angreb. De nye 13. generations Intel Core vPro-processorer inkluderer forbedringer under hætten på firmware- og operativsystemniveauer, der øger systembeskyttelse og -styring, siger virksomheden.

Angribere vil finde det sværere at kompromittere firmwaren gennem hardwareudnyttelse, fordi mange af de nye opgraderinger er i chippens firmware og BIOS, og chippens sikkerhedslag indeholder forebyggelses- og detektionsmuligheder. For eksempel er der et bedre håndtryk mellem firmwaren og Microsofts virtualiseringsteknologi i Windows 11 for at forhindre indtrængen, siger Mike Nordquist, vicepræsident og general manager for Intel Business Client Product Planning and Architecture. Han bemærker, at Hyper-V på Windows 11 arbejder med vPro til at gemme hemmeligheder og legitimationsoplysninger i en virtuel container.

"Hvis du kun har detektion, bliver du ved med at lukke alle ind af din hoveddør. Du kommer aldrig rigtig til at løse problemet. Du skal finde ud af, hvordan du lukker den hoveddør,” siger Nordquist.

Sikre enklaver på chip

Intels vPro giver nu krogene til, at kritiske applikationer, der kører på Windows 11, kan krypteres i hukommelsen gennem en funktion kaldet Total Memory Encryption-Multi-Key.

Microsoft giver mulighed for at kryptere lagerdrev, men tilføjede for nylig muligheden for at kryptere data i hukommelsen. Intels nyere Core-chips, kodenavnet Raptor Lake, er klar til den funktion; de har 16 hukommelsespladser, hvor applikationer kan krypteres, med separate nøgler, der er nødvendige for at låse dataene op.

Funktionen hjælper forhindre sidekanalangreb, som typisk involverer at bryde ind i en chip og stjæle ukrypterede data fra kilder, der inkluderer hukommelse. Hackere ville have brug for en nøgle til at låse dataene op, og isolering af applikationer i 16 forskellige slots gør det til en endnu større udfordring at stjæle data.

Applikationer er krypteret i virtuelle maskiner, der er oprettet i hukommelsespladserne, og systemadministratorer kan aktivere eller deaktivere funktionen.

"Vi krypterer ikke hele hukommelsen, for hvis du ikke behøver at gøre det, vil det dybest set påvirke ydeevnen," siger Venky Venkateswaran, direktør for klientproduktsikkerhed og virtualiseringsarkitektur og definition for Intels Client Computing Gruppe.

En ny vPro-teknologi til at forhindre sikkerhedstrusler, TDT (threat detection technology), bruger biblioteker bagt i chipsene til at identificere unormal aktivitet og sikkerhedstrusler på en pc. Biblioteket vurderer telemetri, der kommer fra CPU'er, der kan være relateret til unormal behandlingsaktivitet som følge af et sikkerhedsbrud.

For eksempel kan bibliotekerne fortælle, om en cryptocurrency-mineapplikation kræver et unormalt højt antal kryptoinstruktioner. Disse oplysninger sendes til sikkerhedsapplikationer, som bruger disse data i deres motor til at triage og stoppe trusler.

Bibliotekerne har modeller, der er indstillet til at luge ud ransomware og andre typer angreb.

"Vi har telemetri på lavt niveau og en slags AI-motor, der kan luge støjen ud ... du ønsker ikke at have falske positiver," siger Venkateswaran.

Intel samarbejder med flere antivirus-leverandører, herunder Microsoft, CrowdStrike, Eset og Check Point Technologies, for at integrere TDT-funktioner i sikkerhedssoftware. På denne måde får leverandørerne adgang til hardwaretelemetri til at opdage trusler i virtuelle maskiner. For eksempel vil Eset Endpoint Security kunne detektere ransomware gennem Intels performance monitoring unit (PMU), som sidder under applikationer i operativsystemet.

Patching komponenter

Intel arbejder sammen med pc-producenter for at bringe en standardmetode til at patche pc'er, og det er ikke at lægge alle æggene i én kurv, når det kommer til sikring af systemer. Fokus er på at etablere øer med sikkerhed for forskellige hardwarekomponenter.

"Der er ingen grund til, at BIOS'en skal kunne have adgang til OS-hukommelsen. Der er ingen værditilvækst i det. Så vi deprivilegerede det faktisk på basisniveau … og vi lavede et forbedret niveau, hvor vi virkelig kunne låse det godt ned. På vPro er det en lille smule bedre,” siger Nordquist.

Angrebsvektorer til pc'er er anderledes end servere og kræver en anden sikkerhedsprofil, siger Nordquist. "Før var pc'er designet til at sikre, at operativsystemet var beskyttet. Hvad hvis jeg vil beskytte noget mod operativsystemet? Hvad hvis jeg ikke stoler på hypervisoren? Jeg har brug for det næste niveau af sikkerhed for at håndtere det,” siger Nordquist.

Squashing Chip Bugs

Som et tegn på, at Intel mener det alvorligt med at gøre hardwaresikkerhed til en prioritet, tildelte virksomheden sidste år $935,751 i fejlbelønninger til sikkerhedsforskere, der afslører sikkerhedsfejl i deres chips og firmware. Virksomheden har betalt i alt $4 millioner siden starten af programmet i 2017, ifølge dets seneste årlig sikkerhedsundersøgelsesrapport.

"Disse firmwareopdateringer udgives normalt på Intels hjemmeside, og enhedsleverandøren er ansvarlig for at distribuere dem. Nogle af dem kan leveres automatisk af Microsoft Windows Update, men kun begrænsede leverandører kan opdatere deres enheder gennem det,” siger Alex Matrosov, grundlægger af Binarly, producent af en firmwaresikkerhedsplatform, der hjælper folk med at opdage og rette hardwaresårbarheder.

"CISO'er bør begynde at være mere opmærksomme på trusler og enhedssikkerhed under operativsystemet. Enhver moden virksomhedsorganisation bør investere i firmwaresikkerhed og specifikt sårbarhedsstyring for deres enhedssikkerhedsmark,” siger Matrosov.