Intel Mengutamakan Keamanan Pada Chip VPro Terbaru

Diterbitkan Ulang Oleh Plato

Followers: 0

Intel mengambil taktik baru dengan chip PC komersial terbaru yang diumumkan bulan lalu: Alih-alih menggembar-gemborkan kecepatan dan kinerja, perusahaan menekankan fitur keamanan chip tersebut.

Raksasa chip tersebut telah bekerja sama dengan vendor keamanan dalam beberapa tahun terakhir untuk menerapkan perlindungan tingkat perangkat keras pada chip guna melindungi laptop dari serangan ransomware dan malware. Prosesor Intel Core vPro Generasi ke-13 yang baru mencakup peningkatan di bawah kap pada tingkat firmware dan sistem operasi yang meningkatkan perlindungan dan manajemen sistem, kata perusahaan itu.

Penyerang akan merasa lebih sulit untuk mengkompromikan firmware melalui eksploitasi perangkat keras karena banyak pemutakhiran baru ada di firmware dan BIOS chip, dan lapisan keamanan chip berisi kemampuan pencegahan dan deteksi. Misalnya, ada jabat tangan yang lebih baik antara firmware dan Teknologi virtualisasi Microsoft di Windows 11 untuk mencegah intrusi, kata Mike Nordquist, wakil presiden dan manajer umum Perencanaan dan Arsitektur Produk Klien Bisnis Intel. Dia mencatat bahwa Hyper-V pada Windows 11 bekerja dengan vPro untuk menyimpan rahasia dan kredensial dalam wadah virtual.

“Jika Anda hanya memiliki deteksi, Anda tetap membiarkan semua orang masuk ke pintu depan Anda. Anda tidak pernah benar-benar akan mengatasi masalah. Anda harus memikirkan cara menutup pintu depan itu, ”kata Nordquist.

Enklave Aman di Chip

vPro Intel sekarang menyediakan pengait untuk aplikasi penting yang berjalan di Windows 11 untuk dienkripsi dalam memori melalui fitur yang disebut Total Memory Encryption-Multi-Key.

Microsoft menyediakan kemampuan untuk mengenkripsi drive penyimpanan, tetapi baru-baru ini menambahkan kemampuan untuk mengenkripsi data di memori. Chip Intel Core yang lebih baru, dengan nama kode Raptor Lake, siap untuk fitur tersebut; mereka memiliki 16 slot memori di mana aplikasi dapat dienkripsi, dengan kunci terpisah yang diperlukan untuk membuka kunci data.

Fitur ini membantu mencegah serangan saluran samping, yang biasanya melibatkan pembobolan chip dan pencurian data yang tidak terenkripsi dari sumber yang mencakup memori. Peretas memerlukan kunci untuk membuka kunci data, dan mengisolasi aplikasi di 16 slot berbeda menjadikannya tantangan yang lebih besar untuk mencuri data.

Aplikasi dienkripsi di mesin virtual yang dibuat di slot memori, dan administrator sistem dapat mengaktifkan atau menonaktifkan fitur tersebut.

“Kami tidak mengenkripsi keseluruhan memori, karena jika Anda tidak perlu melakukannya, itu pada dasarnya akan memengaruhi kinerja,” kata Venky Venkateswaran, direktur keamanan produk klien dan arsitektur virtualisasi dan definisi untuk Intel's Client Computing Kelompok.

Teknologi vPro baru untuk mencegah ancaman keamanan, TDT (teknologi deteksi ancaman), menggunakan pustaka yang dimasukkan ke dalam chip untuk mengidentifikasi aktivitas abnormal dan ancaman keamanan pada PC. Pustaka menilai telemetri yang berasal dari CPU yang mungkin terkait dengan aktivitas pemrosesan abnormal sebagai akibat dari pelanggaran keamanan.

Misalnya, perpustakaan dapat mengetahui apakah aplikasi penambangan cryptocurrency memanggil instruksi crypto dalam jumlah yang sangat tinggi. Informasi tersebut dikirim ke aplikasi keamanan, yang menggunakan data tersebut di mesin mereka untuk melakukan triase dan menghentikan ancaman.

Perpustakaan memiliki model yang disetel untuk menyingkirkan ransomware dan jenis serangan lainnya.

“Kami memiliki telemetri tingkat rendah dan sejenis mesin AI yang dapat menghilangkan kebisingan… Anda tidak ingin mendapatkan hasil positif palsu,” kata Venkateswaran.

Intel bermitra dengan beberapa vendor antivirus, termasuk Microsoft, CrowdStrike, Eset, dan Check Point Technologies, untuk mengintegrasikan fitur TDT ke dalam perangkat lunak keamanan. Dengan cara ini, vendor mendapatkan akses ke telemetri perangkat keras untuk mendeteksi ancaman di mesin virtual. Misalnya, Eset Endpoint Security akan dapat mendeteksi ransomware melalui unit pemantauan kinerja (PMU) Intel, yang berada di bawah aplikasi di sistem operasi.

Menambal Komponen

Intel bekerja sama dengan pembuat PC untuk menghadirkan metodologi standar untuk menambal PC, dan tidak menempatkan semua telur dalam satu keranjang saat menyangkut sistem pengamanan. Fokusnya adalah membangun pulau keamanan untuk berbagai komponen perangkat keras.

“Tidak ada alasan mengapa BIOS perlu memiliki akses ke memori OS. Tidak ada nilai tambah di dalamnya. Jadi kami benar-benar menghilangkannya di level dasar… dan kami melakukan level yang ditingkatkan di mana kami benar-benar dapat menguncinya dengan baik. Di vPro, itu sedikit lebih baik, ”kata Nordquist.

Vektor serangan untuk PC berbeda dari server dan memerlukan profil keamanan yang berbeda, kata Nordquist. “Sebelumnya, PC dirancang untuk memastikan OS terlindungi. Bagaimana jika saya ingin melindungi sesuatu dari OS? Bagaimana jika saya tidak mempercayai hypervisor? Saya memerlukan tingkat keamanan berikutnya untuk menghadapinya,” kata Nordquist.

Menghancurkan Chip Bug

Sebagai tanda bahwa Intel serius dalam menjadikan keamanan perangkat keras sebagai prioritas, perusahaan tahun lalu memberikan hadiah bug sebesar $935,751 kepada peneliti keamanan yang mengungkapkan kelemahan keamanan dalam chip dan firmware-nya. Perusahaan telah membayar total $4 juta sejak dimulainya program pada tahun 2017, menurut laporan terbarunya. laporan penelitian keamanan tahunan.

“Pembaruan firmware ini biasanya dirilis di situs web Intel, dan vendor perangkat bertanggung jawab untuk mendistribusikannya. Beberapa dari mereka dapat dikirimkan secara otomatis oleh Microsoft Windows Update, tetapi hanya vendor terbatas yang dapat memperbarui perangkat mereka melalui itu, ”kata Alex Matrosov, pendiri Binarly, pembuat platform keamanan firmware yang membantu orang menemukan dan menambal kerentanan perangkat keras.

“CISO harus mulai lebih memperhatikan ancaman dan keamanan perangkat… di bawah sistem operasi. Setiap organisasi perusahaan yang matang harus berinvestasi dalam keamanan firmware dan khususnya manajemen kerentanan untuk padang rumput keamanan perangkat mereka,” kata Matrosov.