Het opstartproces van elke computer kan in gevaar komen als er geen beveiligingsmaatregelen zijn genomen om deze te beschermen. AMD's Platform Secure Boot of PSB is een van de mechanismen die de integriteit in dit opzicht garanderen, maar het kan ook door fabrikanten worden misbruikt om u aan specifieke hardware te binden.
Het is voor computerfabrikanten veel winstgevender om een hele computer te verkopen dan om deze te updaten met onderdelen van verschillende merken, dat is een onmiskenbaar feit en daarom hebben de meeste kant-en-klare computers kunstmatige beperkingen zodat je gebonden bent aan een specifiek merk.
Als we hieraan toevoegen dat AMD jarenlang het lelijke eendje is geweest voor de verschillende computerfabrikanten en heel hard heeft moeten vechten om bepaalde grote merken zover te krijgen dat ze hun CPU's en die van Intel. Het is dus duidelijk dat ze een opdracht hebben moeten maken om de belangen van hun partners te behartigen. Een van de meest controversiële is de Platform Veilig opstarten of PSB , die fabrikanten als Dell of Lenovo om de Ryzen-, Threadripper- en EPYC-CPU's van het bedrijf onder leiding van Lisa Su exclusief aan hun hardware te koppelen.
Hoe verhoudt het belang van de fabrikanten om u aan hun platform te binden zich tot AMD's opstartbeschermingssysteem? Nou, laten we het je uitleggen.
Wat is de AMD PSB?
Binnen BIOS wordt UEFI opgeslagen in flashgeheugen op de moederbord, die aangezien het niet-vluchtig is RAM wordt geadresseerd alsof het deel uitmaakt van het hoofdgeheugen. Er zijn tijden dat zelfs met alle beschermingsmaatregelen, kwaadaardige software nog steeds code in de firmware kan injecteren en een ongeautoriseerde update kan uitvoeren. Laten we niet vergeten dat het opstartproces de locatie van bepaalde openbare en privésleutels vaststelt, die alleen door de beveiligingsprocessor worden gebruikt.
Dit betekent dat als we geen TPM-module gebruiken in onze pc met een AMD-processor, onze vertrouwelijke informatie, zoals die met betrekking tot de validatiecertificaten die we gebruiken om met onze bank te communiceren, wordt opgeslagen via fTPM die te vinden is in de opstartfirmware, daarom moeten aanvullende beveiligingsmaatregelen worden toegevoegd om deze te beschermen.
Het AMD Platform Secure Boot of PSB is een van de beveiligingsmaatregelen die is ingebouwd in de beveiligingsprocessor in AMD-CPU's. Het nut ervan is niets anders dan het voorkomen van de uitvoering van firmware die verband houdt met het opstartproces en die is aangepast voor kwaadaardige doeleinden. Om dit te doen, creëert het een vertrouwensketen die verantwoordelijk is voor de authenticatie van alle firmware die de CPU krijgt toegang wanneer we de computer opstarten, inclusief het BIOS en het opstarten van het besturingssysteem.
Hoe werkt het?
De PSB voegt een hoger beveiligingsniveau toe dan het UEFI BIOS zelf kan bieden, omdat het de inhoud van het geheugen valideert dat alles in het opstartprogramma bevat. Het doet dit via een vertrouwensketen die puur via hardware en zonder externe programma's wordt uitgevoerd voordat het hele opstartproces wordt uitgevoerd.
- Het voert de validatie uit van het eerste blok van het BIOS/UEFI, terwijl het een signaal stuurt naar de HOLD-pin van de CPU zodat het niet opstart terwijl het de verificatie uitvoert.
- Het is verantwoordelijk voor het verifiëren van de inhoud van het systeem-ROM, dit geheugen bevat een back-up van de basisfuncties van het BIOS en bevat het hele opstartproces op een onveranderlijke manier. Merk op dat nieuwe BIOS-functie-updates niet gerelateerd zijn aan het opstarten van het systeem.
- De beveiligingsprocessor voert de vergelijking uit tussen de inhoud van het ROM en de firmware die is opgeslagen door de UEFI om te controleren op ongeoorloofde wijzigingen. Nadat dit is gedaan, wordt de CPU vrijgemaakt, zodat de pc zonder problemen kan worden opgestart.
de AMD Security Processor of platformbeveiliging Processor is een kleine microcontroller met het hoogste privilegeniveau voor toegang tot RAM en systeemrandapparatuur. Het is beoordeeld op een ARM Cortex-A5 en vanwege het lage stroomverbruik kan het werken met de computer in de slaap- of stand-bymodus. Het zal dus de eerste processor zijn die opvalt wanneer we onze pc aanzetten of uit een van de modi met laag verbruik halen.
Hoe misbruiken fabrikanten de AMD PSB?
De laatste tijd zien we niet alleen hoe er bewegingen naar integratie zijn, maar ook dat te midden van dit proces een van de basissen die de pc vanaf het begin heeft gedefinieerd, wordt aangevallen: de capaciteit voor uitbreiding en configuratie door de gebruiker. De meeste fabrikanten zijn tot de gevaarlijke conclusie gekomen dat het feit dat we de mogelijkheden van onze pc kunnen uitbreiden, invloed heeft op de aankoop van toekomstige producten. Vandaar dat de controverse over het recht op reparatie is ontstaan in het licht van de praktijken van verschillende monteurs en hardwarefabrikanten.
Logischerwijs zou je verwachten dat dit alleen van invloed is op de consumentenmarkt. Dus de servers en datacenters die worden gebruikt door zowel de verschillende overheidsinstanties als grote bedrijven die er in theorie niet door zouden moeten worden beïnvloed. AMD besloot echter een programma met de naam PSB te maken, zodat fabrikanten en assembleurs hun volledige servers konden verkopen en geen onderdelen. De reden erachter? Er is een tweedehandsmarkt waar EPYC-processors die al van hun servers zijn gestript, worden gebruikt voor tweedehands servers en datacenters.
Met andere woorden, wanneer een bedrijf zijn oude server of datacenter weggooit, gooit het deze niet weg, maar verkoopt het zijn onderdelen om een deel van de investering terug te verdienen. Dit zorgt voor extra concurrentie voor serverfabrikanten. Omdat ze het voor hun klanten misschien aantrekkelijker vinden om zelf een server te bouwen en te onderhouden, wordt hierdoor misbruik gemaakt van een van AMD's EPYC-beveiligingsfuncties om klanten aan een bepaald merk te binden.
Hoe maken ze het slot?
Om ervoor te zorgen dat een AMD EPYC-server-CPU alleen werkt met een specifiek model moederbord en de tweedehands servermarkt, misbruiken fabrikanten het opstartcertificeringsproces van de PSB om processors aan hun specifieke servers te koppelen, wat betekent dat we niet kunnen koppelen bepaalde processors behalve bij bepaalde serverkaarten.
Om het hele proces te begrijpen, moeten we uitgaan van het feit dat wanneer de fabrikant klaar is met het maken van de pc, ongeacht het type, een proces wordt uitgevoerd waarin de opstartafbeelding die in het ROM is opgeslagen, wordt gemaakt en dat twee bijbehorende sleutels zal bevatten , beide met een grootte van 4096 bits en SHA-384-codering . De eerste wordt opgeslagen in het systeem-ROM en wordt weergegeven in de opstartfirmware. De tweede daarentegen zal dit doen binnen de HSM, een hardware die verantwoordelijk is voor het genereren en decoderen van cryptografisch versleutelde sleutels.
Beide sleutels maken deel uit van de Public Key Infrastructure en worden gebruikt om de inhoud van een certificaat te ondertekenen dat zich in het opstart-ROM op het moederbord bevindt en dat de identificatiecode van de processor en de rest van de hardware-elementen bevat. Als een van deze items in het systeem ontbreekt, zal de PSB het systeem gewoon niet toestaan op te starten.
