Microsoft har förvirrat i princip alla med sina minimikrav vad gäller hårdvara för att köra Windows 11. I centrum för merparten av all förvirring är en teknik som kallas Trusted Platform Module, kanske mer känd som TPM.
Syftet med TPM-chip är att utföra kryptografiska uträkningar som ska erbjuda säkerhet på hårdvarunivå och då verifiera systemet redan vid uppstart. Utöver detta erbjuds olika funktioner för att motverka möjligheten att manipulera dem.
Utöver andra krav på processor, RAM-minne och lagring så kräver Windows 11 stöd för TPM 2.0, antingen direkt i processorn eller via ett kompletterande chip på moderkortet.
- Skydda din dator med hjälp av vår lista över de bästa antivirus-programmen.
Nyheten fick PC-ägare att närmast panikartat försöka ta reda på om deras enheter stödjer TPM och i vissa fall, hur man kan aktivera det i BIOS. Efterföljande nyheter om att Windows 11 trots allt detta ändå kan installeras på inkompatibla enheter, gjorde knappast saken bättre.
Ett företag som ifrågasätter nyttan av TPM på grund av helt andra orsaker är halvledarföretaget Kameleon. Enligt VD och grundaren Jorge Myszne så är TPM en föråldrad teknik.
"TPM är från 2003 och var bra då, för 20 år sedan, men tänk på allt som har förändrats inom tekniken under tiden som gått sedan dess" säger han till TechRadar Pro.
Även om TPM-standarden har utvecklats sedan den ursprungliga, TPM 2.0 så sent som 2019, så anser Myszne ändå att den lider av ett grundläggande fel.
"Den stora utmaningen är att TPM är en passiv modul. Du kan lagra data där och ingen kan se den, men för att komma åt och förändra den så behöver en mjukvara tillgång till modulen. Och om en mjukvara kan få tillgång, då kan även en hackare få det."
Firmware-säkerhet
Kameleon grundades 2019 och har stöd av Xilinx, ett företag som arbetar med programmeringsbara systemchip, och har som mål att förändra och förbättra arbetet mot cyberkriminalitet.
Även om företaget än så länge inte har producerat någon faktisk produkt så jobbar de på hårdvara som kallas Proactive Security Processing Unit (ProSPU) som de hoppas kan hjälpa i kampen mot firmware-attacker, en typ av attacker som både blir mer avancerade samtidigt som de ökar i antal.
"Den vanligaste typen av attacker är de som riktar sig in mot de övre lagren, en typ av attacker som går att bekämpa relativt enkelt" enligt Myszne. "Som ett resultat av det så har många angripare blivit mer specialiserade och tar sig djupare ner i lagren och ner mot firmware-nivån. Dessa attacker är betydligt svårare att detektera och motverka."
Enligt uppgifter från Microsoft så har omkring 80% av alla företag drabbats av åtminstone ett angrepp mot firmware de senaste åren. Trots det går mindre än en tredjedel av säkerhetsbudgeten till att skydda firmware och 21% av alla säkerhetschefer erkänner rakt av att firmware inte övervakas.
Problemet med denna typ av attacker är att de inte kan identifieras och blockeras av mjukvara. Vid uppstart så laddas systemet in i olika delar, från ett litet block av kod följt av större och mer omfattande delar, tills hela operativsystemet har laddats in.
"Alla former av intrång under denna process kan passera utan att märkas av, mjukvaran körs inte ens än, så det finns inga metoder för att kontrollera vad som händer" säger Myszne.
Lösningen på detta problem enligt honom är att ha en särskild enhet som har hand om säkerheten. På samma sätt som en grafikkrets tar hand om grafik, en TPU tar hand om AI så bör en särskild säkerhetskrets hantera och kontrollera så all firmware är korrekt.
En särskild säkerhetskrets
Kameleons ProSPU är designad för server- och datacenterbruk och är tänkt att avhjälpa de problem som kommer ifrån att man förlitat sig på TPM-chip och andra motsvarande produkter.
Där TPM arbetar passivt, något som skapar en möjlighet till infiltration av en angripare, så jobbar istället ProSPU aktivt med att kontrollera och verifiera så att varje del av uppstartsprocessen sker korrekt. Många kretsar på marknaden gör redan nu olika former av kontroller för en säker uppstart medger Myszne, men det finns inget som "lägger sig i precis allt".
Utöver detta så erbjuder ProSPU även kryptografiska tjänster till olika former av mjukvara, exempelvis för att generera säkra nycklar, nyckelhantering, kryptering och avkryptering samt ett lager som skall detektera och förhindra angrepp.
Med direkt tillgång till minnet på en nivå som ligger under operativsystemet så kan ProSPU jobba utanför en angripares räckvidd. Eftersom den inte förlitar sig på olika former av APIer för att få tillgång till saker, så finns det inte heller något sätt för en angripare att nå den.
"Det första en angripare gör är att försöka förstå systemet och dess försvar. I det här fallet så körs försvaret i ett helt annat system, med direktkontakt som ligger under ordinarie mjukvara" säger Myszne.
"Eftersom angriparen då inte vet vad som händer och då skulle behöva angripa systemet utan att förstå hur det skyddas, så minskar det sannolikheten för en lyckad attack och därmed kommer även angriparen att rikta in sig på andra mål."
Framtiden för hårdvarusäkerhet
På frågan om han tycker att Microsoft valt fel väg genom att kräva stöd av TPM 2.0 för att köra Windows 11 så nickar Myszne medhållande.
"Om jag skulle jobba på operativsystem endast för större organisationer så skulle jag tycka det vore en god idé, men för mer generiska operativsystem som Windows så är det en stor chansning, för det kommer innebära problem" säger han.
"Normalt sett så är TPM avaktiverat från start, eftersom de kan vara besvärliga att hantera. Du behöver veta vad du gör för att inte riskera att förvandla din dator till en dyr brevvikt. Hur många personer vet hur man ändrar saker i BIOS utan risk?"
Även om Myszne medger att TPM är bättre än inget ur ett säkerhetsperspektiv så anser han ändå att kombinationen av uselt användargränssnitt och en otillräcklig nivå av skydd innebär att det inte är värt ansträngningen.
"System är inte lika enkla som de var för 20 år sedan. Hårdvarusäkerhetsinfrastrukturen behöver utvecklas dels för behoven av idag, dels för behoven som kommer inom de närmsta fem till tio åren."
Kameleon räknar med att ha en alfa-version av ProSPU redo i slutet av året och att de kan finnas i faktiska servrar under första halvåret 2022. Även om tekniken mest behövs inom datacenter, med tanke på hur risken är koncentrerad, så förutspår Myszne att ProSPU-liknande hårdvara även kommer finnas för såväl vanliga konsumenter som industriella marknader inom några år.
"Det finns mycket att försvara där ute" säger han.
