Microsoft представила Pluton – защищенный процессор для Windows

«Роль компьютеров под управлением Windows и доверие к технологиям как никогда важны сейчас, когда наши устройства позволяют нам оставаться на связи и быть продуктивными в работе и повседневной жизни. Windows 10 — самая безопасная версия Windows из всех существующих, она обеспечивает комплексную безопасность, защищая всю инфраструктуру от устройства до облака, включая аппаратное обеспечение. Разные усовершенствования, включая биометрическое распознавание лиц в Windows Hello, встроенную защиту Microsoft Defender и аппаратные средства защиты, а также расширенные возможности системы, такие как System Guard, Application Control for Windows и другие, помогли Microsoft идти в ногу с меняющимся ландшафтом угроз.

Облачные средства защиты и усовершенствования в искусственном интеллекте, который используется в Windows, делают компрометацию этой ОС все более сложной и дорогой для злоумышленников, которые, тем не менее, быстро развивают методы атаки, переходя к новым целям: теперь это стыки аппаратного и программного обеспечения, которые сейчас не отслеживаются на наличие уязвимостей. Мы вместе с партнерами уже предприняли шаги по борьбе с этими изощренными киберпреступниками и государственными хакерами с помощью таких инноваций, как компьютеры с защищенным ядром, которые обеспечивают расширенную защиту средств идентификации, операционной системы и аппаратного обеспечения.

Сегодня Microsoft вместе со своими крупнейшими партнерами-производителями микросхем представляет новое видение безопасности Windows, которое поможет защитить наших клиентов сегодня и в будущем. В сотрудничестве с ведущими партнерами — AMD, Intel и Qualcomm Technologies, Inc. — мы представляем процессор безопасности Microsoft Pluton. Это технология защиты от микросхемы до облака, впервые реализованная в Xbox и Azure Sphere, которая принесет еще больше улучшений безопасности будущим ПК с Windows и ознаменует начало нового пути для экосистемы и OEM-партнеров.

Наше видение будущего ПК с Windows — это безопасность в самом ядре, встроенная в центральный процессор для более интегрированного подхода, при котором аппаратное и программное обеспечение тесно интегрировано, что позволяет устранить целые классы векторов атак. Эта революционная структура процессора безопасности значительно усложнит злоумышленникам возможность скрыть свои действия под операционной системой, улучшит наши возможности отражать физические атаки и предотвращать кражу учетных данных и ключей шифрования и позволит восстанавливать систему после программных ошибок.

Конструкция Pluton меняет принципы обеспечения безопасности Windows на уровне центрального процессора

Сегодня ядро безопасности операционной системы на большинстве ПК находится в отдельной от центрального процессора микросхеме, которая называется доверенным платформенным модулем (Trusted Platform Module, TPM). TPM — это аппаратный компонент, который используется для безопасного хранения ключей и параметров оценки, которые подтверждают целостность системы. Доверенные платформенные модули используются в Windows более 10 лет и поддерживают многие важные технологии, такие как Windows Hello и BitLocker. Учитывая эффективность TPM при решении критически важных задач безопасности, злоумышленники начали изобретать способы атаковать этот модуль, особенно в ситуациях, когда можно украсть компьютер или временно получить физический доступ к нему. Эти сложные методы атак нацелены на канал связи между ЦП и TPM, которым обычно служит интерфейс шины. Этот интерфейс позволяет обмениваться информацией между главным процессором и процессором безопасности, но также дает злоумышленникам возможность украсть или изменить передаваемую информацию посредством физической атаки.

Дизайн Pluton устраняет возможность атаки на этот канал связи за счет обеспечения безопасности непосредственно в ЦП. Компьютеры с Windows, использующие архитектуру Pluton, сначала будут эмулировать TPM, который будет работать с существующими спецификациями TPM и API-интерфейсами, что позволит потребителям немедленно воспользоваться преимуществами повышенной безопасности функций Windows, основанных на TPM, таких как BitLocker и System Guard. Устройства Windows с Pluton будут использовать процессор безопасности Pluton для защиты учетных данных, идентификаторов пользователей, ключей шифрования и личных данных. Ничто из этой информации не может быть удалено из Pluton, даже если злоумышленник установит вредоносное ПО или получит полный физический контроль над компьютером.

Это достигается за счет безопасного хранения конфиденциальных данных, таких как ключи шифрования, в процессоре Pluton, который изолирован от остальной системы, что помогает предотвратить доступ к ключам через новые методы атаки, такие как спекулятивное исполнение (speculative execution). Pluton также предоставляет уникальную технологию Secure Hardware Cryptography Key (SHACK), которая помогает гарантировать, что ключи никогда не будут открыты никому за пределами защищенного оборудования, даже самой прошивке Pluton, обеспечивая беспрецедентный уровень безопасности для пользователей Windows.

Процессор безопасности Pluton дополняет работу, проделанную Microsoft с сообществом, включая проект Cerberus, предоставляя безопасную идентификацию для ЦП, которую может подтвердить Cerberus, тем самым повышая безопасность всей платформы.

Еще одна серьезная проблема безопасности, которую решает Pluton, это поддержание актуальности системного встроенного ПО для всей экосистемы ПК. Сегодня пользователи получают обновления своих микропрограмм безопасности из множества различных источников, управлять которыми бывает затруднительно, что приводит к известным проблемам с установкой обновлений. Pluton предоставляет гибкую обновляемую платформу для запуска встроенного ПО, которая реализует функции сквозной безопасности, разработанные, поддерживаемые и обновляемые Microsoft. Pluton для компьютеров с Windows будет интегрирован с процессом Windows Update так же, как служба безопасности Azure Sphere подключается к устройствам IoT.

Сочетание усовершенствований системы безопасности ОС Microsoft, таких инноваций, как компьютеры с защищенным ядром и Azure Sphere, и аппаратных инноваций от наших партнеров-производителей микросхем дает Microsoft возможность защищаться от сложных атак на ПК с Windows, облако Azure и интеллектуальные периферийные устройства Azure.

Совместные инновации для повышения безопасности от микросхемы до облака

Персональные компьютеры своим успехом во многом обязаны чрезвычайно динамичной экосистеме, в которой разработчики ОС, производители микросхем и OEM-партнеры работают вместе для решения сложных проблем с помощью совместных инноваций. Это было продемонстрировано более 10 лет назад успешным внедрением TPM, первого широко доступного аппаратного якоря доверия. С тех пор Microsoft и партнеры продолжают совместно создавать технологии безопасности следующего поколения, которые в полной мере используют все преимущества новейших операционных систем и инновационных микросхем для решения самых сложных проблем безопасности. Такой подход по принципу «вместе лучше» — это то, как мы намереваемся сделать экосистему ПК самой безопасной из всех доступных.

Технология проектирования Microsoft Pluton включает в себя все уроки, усвоенные при доставке устройств с поддержкой аппаратного якоря доверия на сотни миллионов ПК. Структура Pluton была представлена как часть интегрированных средств обеспечения безопасности оборудования и ОС в консоли Xbox One, выпущенной в 2013 году Microsoft в партнерстве с AMD, а также в Azure Sphere. Внедрение IP-технологии Microsoft непосредственно в микросхему ЦП помогло обеспечить защиту от физических атак, предотвратить обнаружение ключей и получить возможность восстановления после программных ошибок.

Благодаря эффективности первоначальной структуры Pluton мы узнали много нового о том, как использовать оборудование, для того чтобы избегать ряда физических атак. Теперь мы используем эти знания для реализации концепции безопасности от микросхемы до облака, чтобы привнести еще больше инноваций в области безопасности в будущее ПК с Windows (подробнее об этом можно узнать из записи выступления на Microsoft BlueHat). Аналогичный подход к безопасности сделал Azure Sphere первым продуктом Интернета вещей, который соответствует «семи свойствам высокозащищенных устройств».

Совместно используемая технология базового доверенного источника Pluton повысит работоспособность и безопасность всей экосистемы ПК с Windows за счет использования технологий и опыта в области безопасности компаний-участниц. Процессор безопасности Pluton обеспечит аппаратную защиту следующего поколения для ПК с Windows с помощью будущих микросхем от AMD, Intel и Qualcomm Technologies.

«AMD считает безопасность главным приоритетом, и мы гордимся тем, что находимся в авангарде разработки платформы аппаратной безопасности для поддержки функций, которые помогают защитить пользователей от самых изощренных атак. Поэтому AMD и Microsoft тесно сотрудничают для разработки и постоянного улучшения решений безопасности, основанных на возможностях процессоров, начиная с консоли Xbox One, а теперь и для ПК. Мы проектируем и производим наши продукты с учетом требований безопасности, и перенос технологии Microsoft Pluton на уровень микросхем расширит и без того широкие возможности безопасности наших процессоров», — Джейсон Томас, руководитель службы безопасности продуктов AMD.

«Intel продолжает сотрудничать с Microsoft для повышения безопасности платформ ПК с Windows. Внедрение Microsoft Pluton в будущие процессоры Intel обеспечит дальнейшую интеграцию между оборудованием Intel и операционной системой Windows», — Майк Нурдквист, старший директор по безопасности коммерческих клиентов, Intel.

«Qualcomm Technologies рада продолжить сотрудничество с Microsoft, чтобы сделать более безопасным множество устройств и сценариев использования. Мы считаем, что встроенный аппаратный базовый источник доверия, такой как Microsoft Pluton, является важным компонентом в обеспечении безопасности многих сценариев использования и применяемых в них устройств», — Асаф Шен (Asaf Shen), старший директор по управлению продуктами Qualcomm Technologies, Inc.

Мы считаем, что процессоры со встроенной защитой, такие как Pluton, это будущее вычислительного оборудования. С помощью Pluton мы стремимся обеспечить более безопасный фундамент для интеллектуальных периферийных устройств и интеллектуального облака, распространив этот уровень доверия по умолчанию на объекты во всем мире.

Наша работа с сообществом помогает Microsoft постоянно внедрять инновации и повышать безопасность на всех уровнях. Мы рады воплотить в жизнь этот революционный проект при участии самых известных производителей микросхем, поскольку мы постоянно работаем над повышением безопасности для всех.»