O processo de inicialização de qualquer computador pode ser comprometido se não houver medidas de segurança para protegê-lo. AMD's Platform Secure Boot ou PSB é um dos mecanismos que garantem a integridade nesse sentido, mas também pode ser abusado pelos fabricantes para amarrá-lo a um hardware específico.
É muito mais lucrativo para os fabricantes de computadores vender um computador inteiro do que atualizá-lo com peças de diferentes marcas, isso é um fato inegável e é por isso que a maioria dos computadores pré-construídos carregam limitações artificiais para que você fique vinculado a uma marca específica.
Se acrescentarmos a isso que a AMD por muitos anos tem sido o patinho feio para os diferentes fabricantes de computadores e teve que lutar muito para que certas grandes marcas usassem seus CPUs e os de Intel. Assim, fica claro que eles tiveram que fazer alguma atribuição para beneficiar os interesses de seus parceiros. Um dos mais polêmicos é o Inicialização segura da plataforma ou PSB , que atendeu fabricantes como Dell ou Lenovo para vincular as CPUs Ryzen, Threadripper e EPYC da empresa liderada por Lisa Su ao seu hardware exclusivamente.
Como o interesse dos fabricantes em vincular você à plataforma deles se relaciona com o sistema de proteção de inicialização da AMD? Bem, vamos explicar para você.
O que é o AMD PSB?
Dentro do BIOS UEFI é armazenado na memória flash no motherboard, que por ser não volátil RAM é endereçado como se fosse parte da memória principal. Há momentos em que, mesmo com todas as medidas de proteção, softwares maliciosos ainda podem injetar código no firmware e realizar uma atualização não autorizada. Não esqueçamos que o processo de inicialização estabelece a localização de certas chaves públicas e privadas, usadas apenas pelo processador de segurança.
Isso significa que, se não usarmos um módulo TPM em nosso PC com processador AMD, nossas informações confidenciais, como as relacionadas aos certificados de validação que usamos para interagir com nosso banco, são armazenadas via ftpm que é encontrado no firmware de inicialização, portanto, medidas de segurança adicionais devem ser adicionadas para protegê-lo.
O AMD Platform Secure Boot ou PSB é uma das medidas de segurança incorporadas ao processador de segurança dentro das CPUs AMD. Sua utilidade não é outra senão impedir a execução de um firmware relacionado ao processo de inicialização que foi modificado para fins maliciosos. Para isso, cria uma cadeia de confiança que é responsável por autenticar todos os firmwares que o CPU acessos quando iniciamos o computador, incluindo o BIOS e a inicialização do sistema operacional.
Como funciona o Tech & Data Studio:
O PSB adiciona um nível de segurança maior do que o próprio UEFI BIOS pode fornecer, pois valida o conteúdo da memória que contém tudo no programa de inicialização. Ele faz isso por meio de uma cadeia de confiança executada puramente por meio de hardware e sem nenhum programa externo antes que todo o processo de inicialização seja executado.
- Ele realiza a validação do primeiro bloco do BIOS/UEFI, ao fazer isso envia um sinal para o pino HOLD da CPU para que não inicie enquanto realiza a verificação.
- É responsável por verificar o conteúdo da ROM do sistema, esta memória contém uma cópia de backup das funções básicas do BIOS e contém todo o processo de inicialização de forma imutável. Observe que as novas atualizações de recursos do BIOS não estão relacionadas à inicialização do sistema.
- O processador de segurança realiza a comparação entre o conteúdo da ROM e o firmware armazenado pelo UEFI para verificar se há alterações não autorizadas. Depois de fazer isso, ele libera a CPU para que o PC possa ser inicializado sem problemas.
A AMD Segurança Processador ou Platform Security Processor é um pequeno microcontrolador com o mais alto nível de privilégio para acesso à memória RAM e periféricos do sistema. É avaliado em um ARM Cortex-A5 e devido ao seu baixo consumo de energia pode funcionar com o computador em modo de suspensão ou espera. Portanto, será o primeiro processador a ser colocado na marca quando ligamos nosso PC ou o tiramos de um dos modos de baixo consumo.
Como os fabricantes abusam do AMD PSB?
Nos últimos tempos estamos vendo não apenas como há movimentos de integração, mas também que em meio a esse processo uma das bases que definem o PC desde sua criação está sendo atacada: a capacidade de expansão e configuração pelo usuário. A maioria dos fabricantes chegou à perigosa conclusão de que o fato de podermos expandir os recursos do nosso PC afeta a compra de produtos futuros. Assim, a polêmica do direito de reparar surgiu diante das práticas de diferentes montadoras e fabricantes de ferragens.
Logicamente, seria de se esperar que isso afetasse apenas o mercado consumidor. Assim os servidores e data centers utilizados tanto pelos diversos órgãos públicos quanto pelas grandes empresas que em tese não deveriam ser afetados por ele. No entanto, a AMD decidiu criar um programa chamado PSB para que fabricantes e montadoras pudessem vender seus servidores inteiros e não partes. A razão por trás disso? Existe um mercado de segunda mão em que os processadores EPYC já retirados de seus servidores são usados para servidores e data centers de segunda mão.
Ou seja, quando uma empresa descarta seu antigo servidor ou data center, ela não o joga fora, mas vende suas partes para recuperar parte do investimento. Isso cria uma concorrência adicional para os fabricantes de servidores. Como eles podem achar mais atraente para seus clientes construir um servidor e mantê-lo por conta própria, isso abusa de um dos recursos de segurança EPYC da AMD para prender os clientes a uma marca específica.
Como eles fazem a fechadura?
Para fazer uma CPU de servidor AMD EPYC funcionar apenas com um modelo específico de placa-mãe e o mercado de servidores de segunda mão, os fabricantes abusam do processo de certificação de inicialização fornecido pelo PSB para vincular processadores a seus servidores específicos, o que significa que não podemos emparelhar certos processadores, exceto com certas placas de servidor.
Para entender todo o processo, devemos partir do fato de que quando o fabricante terminar de criar o PC, seja qual for o tipo, é executado um processo no qual é criada a imagem de inicialização armazenada na ROM e que incluirá duas chaves associadas , ambos com tamanho de 4096 bits e Codificação SHA-384 . O primeiro será armazenado na ROM do sistema e será refletido no Boot Firmware. Já o segundo, o fará dentro do HSM, hardware encarregado de gerar chaves criptografadas criptograficamente e também decodificá-las.
Ambas as chaves fazem parte da Infraestrutura de Chaves Públicas e são usadas para assinar o conteúdo de um certificado encontrado na ROM de inicialização da placa-mãe e que inclui o código de identificação do processador e dos demais elementos de hardware. Se um desses itens estiver faltando no sistema, o PSB simplesmente não permitirá que o sistema inicialize.
