Intel legt bei den neuesten VPro-Chips großen Wert auf Sicherheit

Neuauflage von Plato

Verfolger: 0

Mit den im letzten Monat angekündigten neuesten kommerziellen PC-Chips geht Intel neue Wege: Anstatt mit Geschwindigkeit und Leistung zu werben, betonte das Unternehmen die Sicherheitsfunktionen des Chips.

Der Chipgigant hat in den letzten Jahren mit Sicherheitsanbietern zusammengearbeitet, um Schutzmaßnahmen auf Hardwareebene auf den Chips zu implementieren, um Laptops vor Ransomware- und Malware-Angriffen zu schützen. Die neuen Intel Core vPro-Prozessoren der 13. Generation beinhalten Verbesserungen unter der Haube auf Firmware- und Betriebssystemebene, die den Schutz und die Verwaltung des Systems verbessern, so das Unternehmen.

Für Angreifer ist es schwieriger, die Firmware durch Hardware-Exploits zu kompromittieren, da viele der neuen Upgrades in der Firmware und im BIOS des Chips enthalten sind und die Sicherheitsschicht des Chips Präventions- und Erkennungsfunktionen enthält. Beispielsweise gibt es einen besseren Handshake zwischen der Firmware und Microsofts Virtualisierungstechnologie in Windows 11 um Eindringlinge zu verhindern, sagt Mike Nordquist, Vice President und General Manager von Intel Business Client Product Planning and Architecture. Er stellt fest, dass Hyper-V unter Windows 11 mit vPro zusammenarbeitet, um Geheimnisse und Anmeldeinformationen in einem virtuellen Container zu speichern.

„Wenn Sie nur eine Erkennung haben, lassen Sie ständig alle in Ihre Haustür. Sie werden das Problem nie wirklich ansprechen. Sie müssen herausfinden, wie Sie diese Haustür schließen können“, sagt Nordquist.

Sichere Enklaven auf dem Chip

Intels vPro bietet jetzt die Hooks für kritische Anwendungen, die unter Windows 11 ausgeführt werden, um im Speicher durch eine Funktion namens Total Memory Encryption-Multi-Key verschlüsselt zu werden.

Microsoft bietet die Möglichkeit, Speicherlaufwerke zu verschlüsseln, hat aber kürzlich die Möglichkeit hinzugefügt, Daten im Arbeitsspeicher zu verschlüsseln. Intels neuere Core-Chips mit dem Codenamen Raptor Lake sind bereit für diese Funktion; Sie verfügen über 16 Speicherplätze, in denen Anwendungen verschlüsselt werden können, wobei separate Schlüssel zum Entsperren der Daten erforderlich sind.

Die Funktion hilft Seitenkanalangriffe verhindern, was normalerweise das Einbrechen in einen Chip und das Stehlen unverschlüsselter Daten aus Quellen beinhaltet, die Speicher enthalten. Hacker bräuchten einen Schlüssel, um die Daten zu entsperren, und das Isolieren von Anwendungen in 16 verschiedenen Steckplätzen macht es zu einer noch größeren Herausforderung, Daten zu stehlen.

Anwendungen werden in virtuellen Maschinen verschlüsselt, die in den Speichersteckplätzen erstellt werden, und Systemadministratoren können die Funktion aktivieren oder deaktivieren.

„Wir verschlüsseln nicht den gesamten Speicher, denn wenn Sie es nicht tun müssen, wird es im Grunde genommen die Leistung beeinträchtigen“, sagt Venky Venkateswaran, Director of Client Product Security and Virtualization Architecture and Definition für Intels Client Computing Gruppe.

Eine neue vPro-Technologie zur Verhinderung von Sicherheitsbedrohungen, TDT (Threat Detection Technology), verwendet Bibliotheken, die in die Chips eingebrannt sind, um abnormale Aktivitäten und Sicherheitsbedrohungen auf einem PC zu identifizieren. Die Bibliothek bewertet Telemetriedaten von CPUs, die möglicherweise mit anormalen Verarbeitungsaktivitäten infolge einer Sicherheitsverletzung zusammenhängen.

Beispielsweise können die Bibliotheken feststellen, ob eine Kryptowährungs-Mining-Anwendung eine ungewöhnlich hohe Anzahl von Kryptoanweisungen aufruft. Diese Informationen werden an Sicherheitsanwendungen gesendet, die diese Daten in ihrer Engine verwenden, um Bedrohungen zu selektieren und zu stoppen.

Die Bibliotheken verfügen über Modelle, die darauf abgestimmt sind, Ransomware und andere Arten von Angriffen auszusortieren.

„Wir haben Low-Level-Telemetrie und eine Art KI-Engine, die das Rauschen ausmerzen kann … Sie wollen keine Fehlalarme haben“, sagt Venkateswaran.

Intel arbeitet mit mehreren Antivirus-Anbietern zusammen, darunter Microsoft, CrowdStrike, Eset und Check Point Technologies, um TDT-Funktionen in Sicherheitssoftware zu integrieren. Auf diese Weise erhalten die Anbieter Zugriff auf Hardware-Telemetrie, um Bedrohungen in virtuellen Maschinen zu erkennen. Zum Beispiel wird Eset Endpoint Security in der Lage sein, Ransomware über die Performance Monitoring Unit (PMU) von Intel zu erkennen, die sich unterhalb von Anwendungen im Betriebssystem befindet.

Komponenten patchen

Intel arbeitet mit PC-Herstellern zusammen, um eine Standardmethode zum Patchen von PCs einzuführen, und legt nicht alle Eier in einen Korb, wenn es um die Sicherung von Systemen geht. Der Fokus liegt auf dem Aufbau von Sicherheitsinseln für unterschiedliche Hardwarekomponenten.

„Es gibt keinen Grund, warum das BIOS Zugriff auf den Betriebssystemspeicher haben muss. Es gibt keinen Mehrwert darin. Also haben wir das auf einer Basisebene tatsächlich entprivilegiert … und wir haben eine erweiterte Ebene gemacht, auf der wir es wirklich gut festhalten konnten. Auf vPro ist das etwas besser“, sagt Nordquist.

Angriffsvektoren für PCs unterscheiden sich von Servern und erfordern ein anderes Sicherheitsprofil, sagt Nordquist. „Früher wurden PCs so konzipiert, dass das Betriebssystem geschützt war. Was ist, wenn ich etwas vor dem Betriebssystem schützen möchte? Was ist, wenn ich dem Hypervisor nicht vertraue? Ich brauche die nächste Sicherheitsstufe, um damit fertig zu werden“, sagt Nordquist.

Chip-Bugs zerquetschen

Als Zeichen dafür, dass Intel es ernst meint, der Hardware-Sicherheit Priorität einzuräumen, vergab das Unternehmen im vergangenen Jahr 935,751 US-Dollar an Bug-Prämien an Sicherheitsforscher, die Sicherheitslücken in seinen Chips und seiner Firmware aufdeckten. Das Unternehmen hat laut seinem jüngsten Bericht seit Beginn des Programms im Jahr 4 insgesamt 2017 Millionen US-Dollar gezahlt Jährlicher Sicherheitsforschungsbericht.

„Diese Firmware-Updates werden normalerweise auf der Website von Intel veröffentlicht, und der Gerätehersteller ist für deren Verteilung verantwortlich. Einige von ihnen können automatisch von Microsoft Windows Update bereitgestellt werden, aber nur begrenzte Anbieter können ihre Geräte darüber aktualisieren“, sagt Alex Matrosov, Gründer von Binarly, Hersteller einer Firmware-Sicherheitsplattform, die Menschen hilft, Hardware-Schwachstellen zu entdecken und zu patchen.

„CISOs sollten damit beginnen, Bedrohungen und Gerätesicherheit unterhalb des Betriebssystems mehr Aufmerksamkeit zu schenken. Jede ausgereifte Unternehmensorganisation sollte in Firmware-Sicherheit und insbesondere Schwachstellenmanagement für ihre Gerätesicherheit investieren“, sagt Matrosov.