Microsoft har forvirret stort set alle med sine minimale hardwarekrav til at køre Windows 11. I centrum for mest af alt er forvirringen omkring en teknologi kaldet Trusted Platform Module, måske bedre kendt som TPM.
Formålet med TPM-chippen er at udføre kryptografiske beregninger, der vil tilbyde sikkerhed på hardwareniveau og derefter verificere systemet allerede ved opstart.
Ud over dette tilbydes forskellige funktioner for at modvirke muligheden for at manipulere dem. Ud over andre krav til processor, RAM og lagerplads kræver Windows 11 understøttelse af TPM 2.0, enten direkte i processoren eller via en komplementær chip på bundkortet.
- ExpressVPN vs. NordVPN: Hvilken bør du vælge?
- De bedste anti-virus programmer i 2021
- Er gratis antivirus nok til at beskytte min computer?
Nyhederne fik pc-ejere til at prøve at finde ud af, om deres enheder understøtter TPM og i nogle tilfælde, hvordan de aktiveres i BIOS. Efterfølgende nyheder om, at Windows 11 stadig kan installeres på inkompatible enheder, gjorde det næsten ikke bedre.
Et selskab, der sætter spørgsmålstegn ved nytten af TPM på grund af helt andre årsager, er halvlederfirmaet Kameleon. Ifølge administrerende direktør og grundlægger Jorge Myszne er TPM en forældet teknologi.
"TPM er fra 2003 og var godt dengang, for 20 år siden, men tænk på alt, hvad der har ændret sig inden for teknologien i den tid, der er gået siden," siger han til TechRadar Pro.
Selvom TPM -standarden har udviklet sig siden originalen, TPM 2.0 så sent som i 2019, mener Myszne stadig, at den lider af en grundlæggende fejl.
"Den store udfordring er, at TPM er et passivt modul. Du kan gemme data der, og ingen kan se det, men for at få adgang til og ændre det, har en software brug for adgang til modulet. Og hvis en software kan få adgang, så kan den også en hacker får det."
Firmware-sikkerhed
Kameleon blev grundlagt i 2019 og understøttes af Xilinx, et firma, der arbejder med programmerbare systemchips, og har til formål at ændre og forbedre arbejdet mod cyberkriminalitet.
Selvom virksomheden endnu ikke har produceret et egentligt produkt, arbejder de på hardware kaldet Proactive Security Processing Unit (ProSPU), som de håber kan hjælpe i kampen mod firmware -angreb, en type angreb, der begge bliver mere avancerede, mens antallet stiger .
"De mest almindelige typer angreb er dem, der er rettet mod de øverste lag, en type angreb, der kan bekæmpes relativt let," ifølge Myszne.
"Som følge heraf er mange angribere blevet mere specialiserede og går dybere ind i lagrene og ned til firmware-niveau. Disse angreb er meget vanskeligere at opdage og imødegå."
Ifølge data fra Microsoft har omkring 80% af alle virksomheder været påvirket af mindst et firmware-angreb i de seneste år. Ikke desto mindre bruges mindre end en tredjedel af sikkerhedsbudgettet til beskyttelse af firmware, og 21% af alle sikkerhedschefer indrømmer med det samme, at firmware ikke overvåges.
Problemet med disse typer angreb er, at de ikke kan identificeres og blokeres af software. Ved opstart indlæses systemet i forskellige dele, fra en lille blok efterfulgt af større og mere omfattende dele, til hele operativsystemet er blevet indlæst.
"Alle former for indtrængen under denne proces kan passere uden at blive bemærket, softwaren kører ikke engang endnu, så der er ingen metoder til at kontrollere, hvad der sker," siger Myszne.
Løsningen på dette problem er ifølge ham at have en særlig enhed, der tager sig af sikkerheden. På samme måde som et grafikkredsløb tager sig af grafik, tager en TPU sig af AI, så et særligt sikkerhedskredsløb skal håndtere og kontrollere, at al firmware er korrekt.
Et særligt sikkerheds-kredsløb
Kameleons ProSPU er designet til server- og datacenterbrug og er beregnet til at afhjælpe de problemer, der følger af at stole på TPM-chips og andre lignende produkter.
Hvor TPM fungerer passivt, noget der skaber mulighed for infiltration af en angriber, arbejder ProSPU i stedet aktivt for at kontrollere og verificere, så hver del af opstartsprocessen foregår korrekt. Mange kredsløb på markedet foretager allerede forskellige former for kontrol af en sikker opstart, indrømmer Myszne, men der er ikke noget, der "involverer sig i stort set alt".
Ud over dette tilbyder ProSPU også kryptografiske tjenester til forskellige former for software, for eksempel til at generere sikre nøgler, nøglehåndtering, kryptering og dekryptering samt et lag, der vil registrere og forhindre angreb.
Med direkte adgang til hukommelse på et niveau under operativsystemet kan ProSPU arbejde uden for en angribers rækkevidde. Da den ikke er afhængig af forskellige former for API'er for at få adgang til ting, er der heller ingen måde for en angriber at få adgang til den.
"Det første, en angriber gør, er at forsøge at forstå systemet og dets forsvar. I dette tilfælde kører forsvaret i et helt andet system, hvor direkte kontakt er under almindelig software," siger Myszne.
"Fordi angriberen så ikke ved, hvad der sker og derefter skulle angribe systemet uden at forstå, hvordan det er beskyttet, reducerer det sandsynligheden for et vellykket angreb, og angriberen vil derfor også fokusere på andre mål."
Fremtiden for hardware-sikkerhed
Da han blev spurgt, om han mener, at Microsoft har valgt den forkerte vej ved at kræve støtte fra TPM 2.0 til at køre Windows 11, nikker Myszne enig.
"Hvis jeg kun skulle arbejde med operativsystemer til større organisationer, ville jeg tro, at det ville være en god idé, men for mere generiske operativsystemer som Windows er det en stor chance, for det vil give problemer," siger han.
"Normalt er TPM'er deaktiveret fra starten, da de kan være besværlige at håndtere. Du skal vide, hvad du skal gøre for ikke at risikere at gøre din computer til en dyr brevkasse. Hvor mange mennesker ved, hvordan man ændrer ting i BIOS uden risiko? "
Selvom Myszne indrømmer, at TPM er bedre end ingenting fra et sikkerhedsperspektiv, mener han stadig, at kombinationen af en elendig brugergrænseflade og et utilstrækkeligt beskyttelsesniveau betyder, at det ikke er umagen værd.
"Systemer er ikke så enkle som for 20 år siden. Hardware-sikkerhedsinfrastrukturen skal udvikles både til nutidens behov og til de behov, der kommer inden for de næste fem til ti år."
Kameleon forventer at have en alfa-version af ProSPU klar inden udgangen af
året, og at de muligvis vil være på faktiske servere i løbet af første halvår af 2022. Selvom teknologien er mest nødvendig i datacentre, i betragtning af hvor koncentreret risikoen er, forudser Myszne at ProSPU-lignende hardware også vil være tilgængelig for både almindelige forbrugere og industrimarkeder inden for få år. "Der er meget at forsvare derude," siger han.
