Intel daje prednost varnosti v najnovejših čipih VPro

Ponovno objavil Platon

Spremljevalci: 0

Intel ubira nov pristop z najnovejšimi komercialnimi računalniškimi čipi, objavljenimi prejšnji mesec: namesto hlajenja hitrosti in zmogljivosti je podjetje poudarilo varnostne funkcije čipa.

Velikan čipov je v zadnjih letih sodeloval s prodajalci varnosti pri implementaciji zaščite na ravni strojne opreme na čipih za zaščito prenosnikov pred napadi izsiljevalske in zlonamerne programske opreme. Novi procesorji Intel Core vPro 13. generacije vključujejo izboljšave pod pokrovom na ravni strojne programske opreme in operacijskega sistema, ki povečujejo zaščito in upravljanje sistema, pravijo v podjetju.

Napadalci bodo težje ogrozili vdelano programsko opremo z izkoriščanjem strojne opreme, ker je veliko novih nadgradenj v vdelani programski opremi in BIOS-u čipa, varnostna plast čipa pa vsebuje zmožnosti preprečevanja in odkrivanja. Na primer, obstaja boljše rokovanje med vdelano programsko opremo in Microsoftova tehnologija virtualizacije v sistemu Windows 11 za preprečevanje vdorov, pravi Mike Nordquist, podpredsednik in generalni direktor Intel Business Client Product Planning and Architecture. Ugotavlja, da Hyper-V v sistemu Windows 11 deluje z vPro za shranjevanje skrivnosti in poverilnic v virtualnem vsebniku.

»Če imate samo zaznavanje, še naprej spuščate vse do svojih vrat. Nikoli se ne boste zares lotili problema. Ugotoviti morate, kako zapreti ta vhodna vrata,« pravi Nordquist.

Varne enklave na čipu

Intelov vPro zdaj ponuja kljuke za kritične aplikacije, ki se izvajajo v sistemu Windows 11, da se šifrirajo v pomnilniku s funkcijo, imenovano Total Memory Encryption-Multi-Key.

Microsoft ponuja možnost šifriranja pomnilniških pogonov, vendar je pred kratkim dodal možnost šifriranja podatkov v pomnilniku. Intelovi novejši čipi Core s kodnim imenom Raptor Lake so pripravljeni za to funkcijo; imajo 16 pomnilniških rež, v katerih je mogoče šifrirati aplikacije, z ločenimi ključi, potrebnimi za odklepanje podatkov.

Funkcija pomaga preprečite napade stranskega kanala, ki običajno vključuje vdor v čip in krajo nešifriranih podatkov iz virov, ki vključujejo pomnilnik. Hekerji bi potrebovali ključ za odklepanje podatkov, osamitev aplikacij v 16 različnih režah pa naredi krajo podatkov še večji izziv.

Aplikacije so šifrirane v virtualnih strojih, ustvarjenih v pomnilniških režah, sistemski skrbniki pa lahko to funkcijo omogočijo ali onemogočijo.

»Ne šifriramo celotnega pomnilnika, kajti če vam tega ni treba storiti, bo to v bistvu vplivalo na zmogljivost,« pravi Venky Venkateswaran, direktor varnosti odjemalskih izdelkov ter arhitekture in definicije virtualizacije za Intel Client Computing. skupina.

Nova tehnologija vPro za preprečevanje varnostnih groženj, TDT (tehnologija zaznavanja groženj), uporablja knjižnice, vgrajene v čipe, za prepoznavanje neobičajne dejavnosti in varnostnih groženj v osebnem računalniku. Knjižnica ocenjuje telemetrijo, ki prihaja iz procesorjev in je lahko povezana z neobičajno obdelavo zaradi kršitve varnosti.

Knjižnice lahko na primer ugotovijo, ali aplikacija za rudarjenje kriptovalut kliče nenormalno veliko število kripto navodil. Te informacije se pošljejo varnostnim aplikacijam, ki te podatke uporabijo v svojem mehanizmu za preizkušanje in zaustavitev groženj.

Knjižnice imajo modele, prilagojene za izločanje izsiljevalske programske opreme in drugih vrst napadov.

»Imamo telemetrijo na nizki ravni in nekakšen mehanizem umetne inteligence, ki lahko izloči hrup … ne želite imeti lažnih pozitivnih rezultatov,« pravi Venkateswaran.

Intel sodeluje z več proizvajalci protivirusnih programov, vključno z Microsoftom, CrowdStrike, Eset in Check Point Technologies, za integracijo funkcij TDT v varnostno programsko opremo. Na ta način dobijo prodajalci dostop do telemetrije strojne opreme za odkrivanje groženj v virtualnih strojih. Na primer, Eset Endpoint Security bo lahko zaznal izsiljevalsko programsko opremo prek Intelove enote za spremljanje zmogljivosti (PMU), ki se nahaja pod aplikacijami v operacijskem sistemu.

Krpanje komponent

Intel sodeluje z izdelovalci osebnih računalnikov, da bi uvedel standardno metodologijo za popravljanje osebnih računalnikov, in ne daje vseh jajc v en koš, ko gre za zaščito sistemov. Poudarek je na vzpostavitvi varnostnih otokov za različne komponente strojne opreme.

»Ni razloga, da bi BIOS moral imeti dostop do pomnilnika OS. V njem ni nobene dodane vrednosti. Tako smo to dejansko prikrajšali na osnovni ravni … in naredili smo izboljšano raven, kjer smo lahko res dobro zaklenili. Na vPro je to malo bolje,« pravi Nordquist.

Vektorji napadov za osebne računalnike so drugačni od strežnikov in zahtevajo drugačen varnostni profil, pravi Nordquist. »Pred tem so bili osebni računalniki zasnovani tako, da so zagotovili zaščito OS. Kaj pa, če želim nekaj zaščititi pred OS? Kaj pa, če ne zaupam hipervizorju? Za obravnavo tega potrebujem naslednjo raven varnosti,« pravi Nordquist.

Squashing Chip Bugs

Kot znak, da Intel resno misli, da bo varnost strojne opreme postala prednostna naloga, je podjetje lani podelilo 935,751 dolarjev nagrad za hrošče varnostnim raziskovalcem, ki so razkrili varnostne napake v njegovih čipih in vdelani programski opremi. Družba je plačala skupno 4 milijone dolarjev od začetka programa leta 2017, glede na najnovejšo letno poročilo o varnostni raziskavi.

»Te posodobitve vdelane programske opreme so običajno objavljene na Intelovem spletnem mestu, prodajalec naprave pa je odgovoren za njihovo distribucijo. Nekatere od njih je mogoče samodejno dostaviti s posodobitvijo Microsoft Windows Update, vendar lahko samo omejeni ponudniki posodobijo svoje naprave prek nje,« pravi Alex Matrosov, ustanovitelj podjetja Binarly, izdelovalca varnostne platforme vdelane programske opreme, ki ljudem pomaga odkriti in popraviti ranljivosti strojne opreme.

»CISO bi morali začeti posvečati več pozornosti grožnjam in varnosti naprav pod operacijskim sistemom. Vsaka zrela podjetniška organizacija bi morala vlagati v varnost vdelane programske opreme in posebej v upravljanje ranljivosti za svojo varnostno pašo naprave,« pravi Matrosov.