Microsoft анонсировала новую инициативу Secured-core PC (SecOps), что означает компьютер с защищенным ядром. Данный проект предполагает создание новых компьютерных систем, работающих на Windows 10, защищенных от внешних атак на уровне их прошивки. Планируется, что благодаря глубокому взаимодействию аппаратных и программных компонентов и использованию самых современных процессоров будет достигнут контроль как над аппаратной платформой, так и над операционной системой. Партнеры Microsoft по этому проекту — производители компьютерных решений Dell, HP, Lenovo, Panasonic и производители процессоров Intel, AMD и Qualcomm.
Последние исследования в области информационной безопасности и компьютерных атак показывают, что по мере того, как в операционные системы (ОС) и используемые в них службы активно встраиваются все больше средств защиты, злоумышленники ищут другие способы доступа к устройствам. Так, главной целью многих из них сейчас становится эксплуатация уязвимостей, связанных с микропрограммным обеспечением на уровне прошивки атакуемых устройств. По данным NIST (национальный институт стандартов и технологий), количество уязвимостей, связанных с эксплуатацией таких атак, увеличивается с каждым годом.
В конце 2018 года исследователи ИБ обнаружили, что хакерская группа Strontium использует такие уязвимости во встроенном программном обеспечение. В результате вредоносный код было трудно обнаружить и трудно удалить, так как он мог сохраняться даже при обычных процедурах очистки, таких как переустановка ОС или замена жесткого диска.
Для борьбы с такими угрозами, специально предназначенными для использования на уровне прошивки ПК и получения контроля над операционной системой, в Microsoft объявили о новой инициативе — создание специальных защищенных ПК (Secured-core PC). Эти устройства будут отвечать определенному набору требований, чтобы обеспечить безопасность и изоляцию прошивки и программного ядра, которое лежит в основе операционной системы Windows.
Планируется, что новые устройства сначала будут предназначены специально для таких отраслей, как финансовые услуги, правительственные организации и здравоохранение, поскольку они обычно являются более уязвимыми и ценными целями для злоумышленников.
Прошивка (firmware) используется для инициализации аппаратного и программного обеспечения на компьютерных устройствах и имеет более высокий уровень доступа и привилегий, чем, например, гипервизор или ядро операционной системы. Атаки, направленные на микропрограммное обеспечение устройств, могут скомпрометировать такие механизмы, как безопасная загрузка и другие функции безопасности, реализованные гипервизором или операционной системой. Тем самым очень сложно определить, что система была взломана.
Новые устройства с поддержкой Secured-core PC будут сочетать в себе идентификацию, виртуализацию, защиту операционной системы, аппаратного обеспечения и встроенного программного обеспечения, чтобы добавить еще один уровень безопасности для защиты операционной системы.
Начиная с Windows 8, в Microsoft внедрили систему Secure Boot, чтобы разрешить выполнение только разрешенных загрузчиков, таких как менеджер загрузки Windows. Однако, поскольку микропрограммное обеспечение уже является доверенным для проверки загрузчиков, сама по себе безопасная загрузка не защищает от угроз, которые используют уязвимости в прошивке устройств.
Используя новые аппаратные возможности AMD, Intel и Qualcomm и ОС Windows 10, в Microsoft теперь внедряют систему System Guard Secure Launch в качестве ключевого требования к защищенному устройству ПК для защиты процесса загрузки от атак на уровне прошивки. Суть нового механизма защиты заключается в полной изоляции ключей шифрования и идентификационных файлов от операционной системы, чтобы исключить возможность компрометации устройства во время атаки на уровне прошивки. Даже если в операционную систему попадет вредоносная программа, функционирующая на уровне ядра или прошивки, то злоумышленник не сможет получить доступ к критически важным функциям компьютерного устройства, так как эта функция будет заблокирована.
Таким образом, Microsoft сравнили новую систему защиты с DRM-защитой на Xbox, отметив, что даже физически владеющему устройством пользователю компания не доверяет, поскольку не хочет, чтобы он мог взломать консоль для запуска собственных игр. В новых устройствах с поддержкой Secured-core PC безопасность на аппаратном уровне будет достигнута за счет контроля доступа к загрузчику и ограниченного доверия к встроенному ПО.
По данным издания ZDNET, в то время как Apple имеет полный контроль и над аппаратной платформой, и над операционной системой, исторически у Microsoft такого уровня контроля не было. Но теперь Microsoft стремится довести свой контроль над аппаратным обеспечением до уровня Apple через сотрудничество с производителями ПК на Windows.
На данный момент уже есть рабочие реализации устройств с поддержкой всех требований для Secured-core PC, работающих на ОС Windows 10 Pro. Более подробную информацию о новых устройствах, поддерживающих Secured-core PC от таких производителей, как Dell, Dynabook, HP, Lenovo, Panasonic и Surface, можно найти по этой ссылке.
А одним из первых устройств, удовлетворяющим всем требованиям для Secured-core PC является новый планшет компании — Surface Pro X.
Анонс AMD по инициативе создания специальных защищенных ПК (Secured-core PC) доступен по этой ссылке.
Данные по устройствам Dell Secured-core PC доступны по этой ссылке.
