Что такое механизм доверенного выполнения Intel

Обновлено: 21.11.2024

Если вы запускаете программное обеспечение на чьих-то серверах, у вас есть проблема. Вы не можете быть уверены, что ваши данные и код не наблюдают или, что еще хуже, не подделывают — доверие — ваша единственная гарантия. Но есть надежда в виде Trusted Execution Environments (TEE) и нового проекта с открытым исходным кодом Enarx, который будет использовать TEE для минимизации доверия, необходимого для уверенной работы на чужом оборудовании. В этой статье рассматривается эта проблема, как работает TEE и их ограничения, предоставляется своего рода учебник по TEE и объясняется, как Enarx стремится обойти эти ограничения. Это продолжение серии, начавшейся с «Никому не доверяй, беги везде» — знакомство с Enarx.

До недавнего времени материальной реальностью работающего программного обеспечения было то, что любые нижние уровни вычислительного стека на одном компьютере могли контролировать и проверять работающее программное обеспечение. Это относилось к таким уровням, как операционная система, Virtual Machine Manager (VMM или гипервизор), стек управления контейнерами — если таковой имеется — и любое другое промежуточное ПО. Следовательно, любой, у кого есть (законный или неавторизованный) root-доступ к машине, может видеть, изменять, завершать и иным образом манипулировать любым кодом и данными, работающими на машине.

Для любого, кто запускал программу на чужом компьютере, это было максимально близко к Game Over с точки зрения безопасности и конфиденциальности. В облачной среде, где как контроль, так и защита тысяч физических машин, на которых размещаются тысячи виртуальных машин, делегированы поставщику услуг, отсутствие основных гарантий безопасности и конфиденциальности рассматривается некоторыми организациями как проблема.

Доверенные среды выполнения (TEE) — это ответ на потребность поддерживать конфиденциальность и целостность данных «в процессе использования», то есть во время выполнения (выполнения программы), независимо от того, кто может владеть или иметь доступ к машине, на которой программное обеспечение запущено.

Доверенные среды выполнения (TEE) — это довольно новый технологический подход к решению некоторых из этих проблем. Они позволяют запускать приложения в наборе страниц памяти, которые зашифрованы центральным процессором таким образом, что даже владелец хост-системы не сможет просматривать или изменять запущенные процессы в экземпляре TEE.

Все TEE гарантируют конфиденциальность кода и данных, выполняемых в них, а это означает, что выполняемая рабочая нагрузка не может быть видна за пределами TEE. Некоторые TEE предлагают защиту целостности памяти (4, 5), которая предотвращает изменение данных, загруженных в TEE, извне (мы вернемся к этому ниже). Как и ожидалось, ни один из них не обеспечивает гарантированную доступность, поскольку нижние уровни стека по-прежнему должны иметь возможность управлять планированием и запуском TEE и могут блокировать системные вызовы.

Существуют также различные атаки (включая повтор, TOCTOU и Foreshadow), которые были успешными против предыдущих или текущих реализаций TEE (3, 7). Однако TEE предлагают новую возможность запуска приложений пользовательского пространства, невидимых для операционной системы, VMM или промежуточного ПО. Они могут включать функции безопасности и конфиденциальности для важных рабочих нагрузок в средах, где эти функции ранее были недоступны, например в облаке.

Уже существуют другие классы оборудования для специализированных криптографических целей, в частности доверенные платформенные модули (TPM) и аппаратные модули безопасности (HSM). Однако TEE служат принципиально иной цели, чем эти другие классы криптографического оборудования.

TPM – это микросхема, предназначенная для обеспечения "аппаратного корня доверия" за счет хранения секретов (ключей) таким образом, что попытка физического открытия или удаления ее с материнской платы компьютера, к которой она припаяна, для доступа его тайна трудна и очевидна сразу. TPM не предназначены для обеспечения общей вычислительной мощности. Они предоставляют некоторые базовые (читай: «медленные») вычислительные возможности: они могут генерировать случайные ключи, шифровать небольшие объемы данных с помощью секрета, который они хранят, и они могут измерять компоненты системы и вести журнал этих измерений в конфигурации платформы. Регистры (PCR).

Вы можете реализовать многие возможности TPM в TEE, но нет смысла создавать «полную» реализацию TPM в TEE: одним из ключевых вариантов использования TPM является измерение последовательности загрузки. с использованием PCR, тогда как TEE обеспечивают общую среду обработки. TEE не создает хорошего физического корня доверия, в отличие от TPM. Возможности TPM также тщательно подобраны в соответствии с требованиями TCG (Trusted Computing Group, орган по стандартизации TPM), которые являются более строгими, чем требования для TEE.

Аппаратный модуль безопасности (HSM), с другой стороны, представляет собой внешнее физическое устройство, которое специализируется на выполнении криптографических операций, обычно получая открытый текст, шифруя его с помощью хранящегося в нем ключа и возвращая зашифрованный текст (зашифрованный текст). , чтобы операционная система не обрабатывала ключи шифрования. Как и TPM, они предназначены для предотвращения, обнаружения и/или выявления фактов физического вмешательства, что делает их полезным инструментом для хранения секретов в надежном месте. Как правило, они обеспечивают более высокий уровень защиты, чем TEE, но представляют собой отдельные модули для основного ЦП и материнской платы, доступ к которым осуществляется через шину PCI, сеть и т. п.

Подводя итоги, можно сказать:

TEE обеспечивают общую среду обработки. Они встроены в чипсет.
TPM обеспечивают физический корень доверия, измерение других компонентов и последовательность загрузки, а также имеют ограниченные возможности обработки. Это недорогой чип, встроенный во многие компьютеры.
HSM обеспечивают безопасную среду для хранения секретов, обработки данных и могут предлагать общую среду обработки. Это дорогие внешние устройства, для правильного использования которых часто требуются специальные знания.

Наконец, мы должны упомянуть более ранние подходы к TEE, которые не полностью соответствуют нашему определению TEE. Например, последние iPhone имеют «Secure Enclave», полностью отдельный процессор, работающий вместе с основным процессором, а телефоны Android, использующие чипы ARM, включают систему под названием TrustZone. TEE должны предоставлять доверенную среду, в которой можно загружать программное обеспечение из обычной операционной системы, но эти более ранние модели вместо этого полагаются на вторую операционную среду, работающую параллельно с обычной ОС. Этот подход обеспечивает некоторые функции, которые мы хотим получить от TEE, но также создает ряд проблем и ограничений, таких как ограничение возможности обычных пользователей запускать программное обеспечение в доверенных средах из пользовательской среды.

Несмотря на то, что существует некоторый консенсус в отношении их цели, существует несколько подходов к архитектуре и реализации TEE.

Разные подходы, но нет стандартов

Как упоминалось ранее, TEE обеспечивают конфиденциальность программного обеспечения пользовательского пространства, шифруя диапазон памяти с помощью секретного ключа (или ключей), хранящегося в аппаратном обеспечении и недоступного для операционной системы или любого другого программного обеспечения, даже работающего с наивысшим уровнем привилегий. . Однако помимо этого в настоящее время в отрасли нет единого мнения о наиболее безопасном или эффективном способе создания TEE, и различные производители оборудования создали принципиально разные реализации.

Общим для каждой из этих реализаций является использование ЦП для создания и принудительного доступа к TEE, а также возможность для конечного пользователя указывать, какие процессы должны выполняться в зашифрованных областях памяти. Отсюда в настоящее время отрасль разделилась на две различные модели TEE: модель на основе процессов (например, SGX от Intel (9)) и модель на основе виртуальных машин (например, SEV от AMD (10)). Стоит отметить, что ЦП должны быть специально разработаны для поддержки TEE и снабжены сопутствующей прошивкой, а большинство ЦП 2019 года не поддерживают ни один тип TEE.

TEE на основе процессов

В модели TEE на основе процессов процесс, который должен выполняться безопасно, делится на два компонента: доверенный (предполагаемый безопасным) и ненадежный (предполагаемый небезопасным). Доверенный компонент находится в зашифрованной памяти и обрабатывает конфиденциальные вычисления, в то время как недоверенный компонент взаимодействует с операционной системой и распространяет ввод-вывод из зашифрованной памяти на остальную часть системы. Данные могут входить и выходить из этой зашифрованной области только по заранее определенным каналам со строгим контролем размера и типа проходящих данных. В идеальном случае все данные, входящие или исходящие из зашифрованной области памяти, также шифруются при передаче и расшифровываются только после того, как они достигают TEE, после чего они видны только программному обеспечению, работающему в TEE.

Преимуществом этой модели является меньшая доверенная вычислительная база (TCB) по сравнению с моделью на основе виртуальных машин, поскольку доверяются только ЦП и компоненту определенного процесса (1). Меньший размер TCB обычно означает меньше возможностей для ошибок, поскольку в доверенной работе задействовано меньше компонентов. Это также позволяет контролировать все входы и выходы TEE, что, возможно, повышает безопасность. Кроме того, текущие реализации, такие как Intel SGX, обеспечивают защиту целостности памяти.

Хотя существуют многолетние академические исследования и практический опыт использования границ виртуальных машин для изоляции процессов, этого нельзя сказать о моделях, основанных на процессах. Ведутся споры о том, является ли это преимуществом или недостатком, поскольку нарушение традиционных иерархических моделей доверия и введение новых границ безопасности создает неопределенность.

Существующие реализации процессного подхода включают Intel SGX (Software Guard eXtensions).Другим известным в настоящее время TEE на основе процессов является Sanctum от OpenPOWER, который на момент написания этой статьи еще не вышел на рынок.

TEE на основе ВМ

В этой модели память шифруется на границе традиционной виртуальной машины, работающей поверх VMM. В то время как традиционные виртуальные машины (а также контейнеры) обеспечивают некоторую изоляцию, виртуальные машины в этой модели TEE защищены аппаратными ключами шифрования, которые предотвращают вмешательство вредоносного VMM (2). Текущие реализации, такие как SEV от AMD, предоставляют отдельные временные ключи шифрования для каждой ВМ, поэтому также защищают ВМ друг от друга.

Существенным преимуществом этой модели является то, что она может обеспечить двустороннюю изоляцию между ВМ и системой, поэтому меньше беспокойства по поводу этого типа TEE, содержащего вредоносное ПО, которое может мешать остальной системе. Реализация этой модели компанией AMD также не предъявляет требований к разработке программного обеспечения, а это означает, что разработчикам не нужно писать в определенный API, чтобы запустить код в этом типе TEE. Однако это последнее преимущество затмевается тем фактом, что VMM, на котором работает программное обеспечение, должен быть написан с использованием пользовательского API (8).

Несколько недостатков этой модели включают относительно большой TCB, который включает в себя ОС, работающую внутри виртуальной машины (1), что теоретически увеличивает поверхность атаки. Текущие реализации, такие как AMD SEV, позволяют VMM контролировать ввод данных в доверенную виртуальную машину (3), а это означает, что хост-компьютер по-прежнему потенциально может изменять рабочие нагрузки, которые считались безопасными. Он также требует эмуляции ядра и оборудования внутри виртуальной машины и является относительно тяжелым, особенно для микросервисов.

AMD SEV является наиболее полной реализацией этой модели, хотя существуют и другие, такие как Intel MKTME (Multi-Key Total Memory Encryption, 12). Третьей реализацией, о которой было объявлено, но которая еще не доступна на рынке, является IBM Protected Execution Facility или «PEF» с открытым исходным кодом (6).

Другое

Было обсуждение TEE на других аппаратных платформах, включая, например, архитектуру MIPS. Авторам было бы интересно узнать больше о подобных реализациях.

Как мы видели, существует две общие модели доверенных сред выполнения. Но помимо этого, как на самом деле заставить код работать в них?

Ситуация здесь совсем не простая.

Написание приложения для TEE

Учитывая текущее отсутствие стандартизации TEE, две разные реализации TEE не обязательно обеспечат одинаковую безопасность или производительность. Хуже того, приложения, которые должны работать в TEE (или настраиваемые VMM приложений), должны разрабатываться специально для каждой из этих аппаратных технологий. Это неудобно для разработки, может привести к несовместимости между версиями программного обеспечения (те, которые могут использовать преимущества TEE, и те, которые не могут), и затрудняет переход между реализациями TEE в то время, когда реализации TEE сильно меняются.< /p>

Например, разработка приложения для Intel SGX требует определения всех каналов ввода и вывода для TEE, а также доверенных и недоверенных компонентов. Однако эти определения были бы бессмысленными для версии приложения, работающего на ЦП без возможностей TEE, поэтому версии программного обеспечения, совместимые и несовместимые с TEE, должны были бы отличаться. В последнее время были предприняты усилия по уменьшению трения для разработчиков, желающих написать код для некоторых реализаций TEE, в первую очередь для проекта Open Enclave (11).

Вполне вероятно, что усилия разработчика, необходимые для написания приложения для предлагаемой в настоящее время технологии TEE, придется повторять снова и снова, чтобы воспользоваться преимуществами будущих технологий TEE, которые могут предложить предпочтительные преимущества в плане безопасности или производительности.

Аттестация

Ключевым аспектом развертывания программного обеспечения в TEE является «доверенная» часть: гарантия того, что вы действительно выполняете развертывание в реальной доверенной среде выполнения, а не в чем-то, что маскируется под нее. По сути, TEE должен доказать свою подлинность, прежде чем ему можно будет доверять: этот процесс называется аттестацией.

Только подлинные TEE, работающие на реальном процессоре с поддержкой TEE, должны быть в состоянии создать действующую аттестацию, и в идеале это должно быть легко проверить со стороны верификатора. Подтверждающим в примере с облачными вычислениями может быть физическое лицо или организация, которые хотят использовать облачную среду для выполнения конфиденциальной рабочей нагрузки на компьютерах, которыми они не владеют.

Хотя аттестация имеет решающее значение для использования любых функций безопасности TEE, в настоящее время нет стандартов, касающихся аттестации, а бремя создания и применения методов аттестации ложится на тех, кто разрабатывает и развертывает приложения. Это значительно усложняет использование ТЭЭ на практике и препятствует их широкому внедрению.Хотя обе модели TEE в настоящее время полагаются на цепочки сертификатов от производителя, чтобы доказать подлинность ЦП и сообщить об измерениях TEE после запуска (что позволяет проверить содержимое TEE), они различаются по типу и количеству ключей, которые должны быть проверяется цепочкой сертификатов, а также порядок операций в процессе аттестации.

Это отсутствие стандартизации как в API-интерфейсах разработки, так и в процессах аттестации означает, что после написания кода для реализации TEE, связанной с конкретной платформой, разработчики и пользователи программного обеспечения заблокированы. Переписывание программного обеспечения или пользовательского VMM, запускает его, или необходимость повторного создания процесса проверки аттестации для другой платформы с другой реализацией TEE потребует значительных временных затрат. Этот принцип также негативно влияет на пользователей облачных платформ, а также на самих поставщиков облачных услуг (CSP), поскольку пользователи не смогут легко воспользоваться преимуществами новых TEE, предлагаемых CSP, поскольку их программное обеспечение привязано к другой физической реализации.

Учитывая эти многочисленные проблемы, Enarx, новый проект с открытым исходным кодом, разрабатывается для упрощения развертывания рабочих нагрузок в различных доверенных средах выполнения в общедоступном облаке, на вашей территории или в другом месте. Enarx — это платформа для запуска приложений в экземплярах TEE, которые мы называем Keeps внутри проекта, без необходимости отдельно реализовывать аттестацию, без необходимости доверять большому количеству зависимостей и без необходимости переписывать ваше приложение. Вы можете узнать больше об Enarx в предыдущей статье этой серии.

Я заметил, что в настройках BIOS моего ноутбука HP EliteBook 840 G6 есть опция, позволяющая включить «Технологию Intel Trusted Execution Technology (TXT)». Он не включен по умолчанию. Почему я хочу использовать это? Есть ли какие-либо преимущества, которые делают его достойным включения? какой-либо недостаток, из-за которого я НЕ хочу возиться с этим?

Нужны ли вам аппаратные инструкции для запуска надежного и проверенного кода в надежной изолированной памяти? (Пространственная и временная защита), если не оставить.

Trusted Execution Technology (TXT) – это функция, доступная в некоторых процессорах Intel, которая обеспечивает "корень доверия", активируемый на самом оборудовании ЦП. TXT предоставляет механизм для проверки того, было ли изменено запущенное программное обеспечение, и может остановить выполнение программного обеспечения, если эти проверки не пройдут.

Укоренение TXT в ЦП обеспечивает более глубокий метод проверки безопасности программного обеспечения, чем "корень" в BIOS системы, как в случае с функцией безопасной загрузки Microsoft Windows. После настройки TXT на уровне BIOS, ОС, гипервизора и приложения, при загрузке каждого уровня программного обеспечения и перед запуском выполняется проверка безопасности на соответствие известным допустимым значениям, хранящимся в ЦП. Если эти проверки не пройдены, система останавливается.

На рынке TXT в основном использовался серверами Intel в центрах обработки данных, хотя, как вы обнаружили, эта функция также доступна в некоторых процессорах Intel для клиентских ПК. Я думаю, что когда TXT доступен в качестве опции на клиентском устройстве, основное преимущество заключается в корпоративном управлении устройствами. TXT на клиентских ПК может управляться удаленно системными администраторами.

Я думаю, что для большинства пользователей ПК включение TXT бесполезно, и его следует отключить.

Если кто-то все равно заинтересован в том, чтобы включить его, прежде чем сделать это, очень важно полностью понять его. Неправильно настроенный, вы можете заблокировать свой компьютер, что никогда не бывает весело.

Во-первых, BitLocker можно использовать как с чипом Trusted Platform Module (TPM), так и без него, поэтому для Bitlocker без TPM не требуется Intel TXT. TPM зависит от TXT, но не наоборот. TPM — это место, где TXT будет хранить измерения — хэш компонентов — платформы.

Необходим ли Intel Trusted Execution Engine?

Драйвер Intel Trusted Execution Engine обеспечивает безопасную загрузку системы и необходим для функций безопасности системы.

Важна ли технология доверенного исполнения?

Это важно, поскольку если платформу нельзя защитить, то данные, которые она будет хранить или обрабатывать, не могут быть защищены. Как минимум, эта технология обеспечивает дискретные измерения целостности, которые могут подтвердить или опровергнуть целостность программного компонента.

Что делает доверенное выполнение?

Технология Intel Trusted Execution предоставляет аппаратные механизмы, которые помогают защититься от программных атак и обеспечивают конфиденциальность и целостность данных, хранящихся или создаваемых на клиентском ПК.

Является ли Intel Trusted Execution Technology TPM?

Intel TXT использует доверенный платформенный модуль (TPM) и криптографические методы для обеспечения измерений программного обеспечения и компонентов платформы, чтобы системное программное обеспечение, а также приложения для локального и удаленного управления могли использовать эти измерения для принятия решений о доверии.

Демонстрация технологии Intel® Trusted Execution (IBM Cloud) | Intel для бизнеса

Найдено 29 связанных вопросов

Должен ли я очистить доверенный платформенный модуль компьютера?

Однако, даже если доверенный платформенный модуль не очищен перед установкой новой операционной системы, большинство функций доверенного платформенного модуля, вероятно, будут работать правильно. Очистка доверенного платформенного модуля сбрасывает его в бесхозное состояние. После очистки доверенного платформенного модуля операционная система Windows автоматически повторно инициализирует его и снова станет владельцем.

Будет ли Windows 11 работать с PTT?

Разница в том, что компьютерам с Intel PTT или встроенным микропрограммным обеспечением AMD не требуется специальный криптопроцессор или память. . Эти решения TPM для встроенного ПО также соответствуют требованиям Microsoft для Windows 11. Это означает, что системы с решением Intel PTT или AMD fTPM должны быть готовы к поддержке Windows 11.

Зачем нам нужна доверенная среда выполнения?

Технология Trusted Execution Environment (TEE) позволяет современным устройствам обеспечивать широкий спектр функций, в то же время отвечая требованиям разработчиков программного обеспечения и поставщиков услуг, которые заботятся о конфиденциальности, аттестации, аутентификации, проверке, управляемости и всех другие аспекты .

Как отключить доверенное выполнение в BIOS?

Нажмите клавишу F2, когда появится логотип Dell, чтобы войти в BIOS.
Разверните раздел "Безопасность", нажмите "Безопасность PTT" и снимите флажок с технологии Intel Platform Trust.

Что такое отключить выполнение?

Бит отключения выполнения — это аппаратная функция безопасности, которая может снизить подверженность вирусам и атакам с использованием вредоносного кода, а также предотвратить выполнение и распространение вредоносного программного обеспечения на сервере или в сети. Бит находится на странице спецификации процессора (ARK), в разделе безопасность и надежность.

Что такое доверенное выполнение в BIOS?

Технология Trusted Execution (TXT) обеспечивает подлинность платформы и ее операционной системы. . Технология Trusted Execution защищает от программных атак, направленных на кражу конфиденциальной информации путем повреждения кода системы или BIOS или изменения конфигурации платформы.

Что такое технология TXT в HP?

ОПИСАНИЕ. Процессор Intel Trusted Execution Technology (Intel TXT) защищает гипервизор и BIOS на сервере HP ProLiant, укрепляя антивирусное программное обеспечение и повышая защиту от программных атак и вредоносных установок руткитов.

Что такое драйвер Intel Trusted Execution?

Как исправить интерфейс механизма доверенного исполнения Intel r?

Если у вас другой компьютер и/или операционная система, попробуйте переустановить драйвер Intel® Trusted Execution Engine Interface (Intel® TXEI):

В диспетчере устройств щелкните устройство правой кнопкой мыши.
Выберите «Удалить».
Перезагрузите компьютер. Windows попытается переустановить драйвер.

Как отключить текст в BIOS?

На экране «Системные утилиты» выберите «Конфигурация системы» > «Конфигурация BIOS/платформы (RBSU)» > «Безопасность сервера» > «Поддержка Intel (R) TXT» и нажмите Enter.
Включено – включает поддержку TXT. Отключено (по умолчанию): отключает поддержку TXT.

Что такое Intel Sinit?

Модуль аутентифицированного кода (ACM)

Большинство платформ на базе Intel используют наборы микросхем Intel, поэтому ACM для этих платформ создаются и подписываются корпорацией Intel. . SINIT — это аббревиатура от Secure Initialization, поскольку она инициализирует платформу, чтобы ОС могла перейти в безопасный режим работы.

Что такое технология TXT в BIOS?

Как включить доверенное выполнение?

Шаг 1. Приобретение сервера. Убедитесь, что вы приобретаете серверные продукты, поддерживающие технологию Intel® Trusted Execution Technology (Intel® TXT). .
Шаг 2. Проверьте наличие TPM. .
Шаг 3. Активация Intel® TXT и TPM в BIOS. .
Шаг 4. Активация Intel® TXT в ОС.

Как отключить чип TPM в BIOS?

Нажмите "Утилита настройки".
Нажмите "Безопасность" (боковая панель).
Нажмите «Доступность TPM».
Нажмите «Скрытый» (или «Доступно», чтобы включить его).
Нажмите кнопку F10, чтобы сохранить и выйти.
Нажмите «Да», чтобы выйти и перезагрузить компьютер.

Как работает доверенная среда выполнения?

Доверенная среда выполнения (TEE) — это защищенная область внутри главного процессора. Он работает параллельно с операционной системой в изолированной среде. Это гарантирует, что код и данные, загруженные в TEE, защищены с точки зрения конфиденциальности и целостности.

Что такое безопасная среда выполнения?

Доверенная среда выполнения (TEE) — это защищенная область главного процессора. Это гарантирует, что код и данные, загруженные внутрь, будут защищены с точки зрения конфиденциальности и целостности.

Что такое расширенная среда выполнения?

Под расширенной средой выполнения понимается стандартная операционная система, на которой работает устройство. Rich Execution Environment предлагает значительно больше функций и приложений и, как следствие, уязвима для атак.

Нужна ли безопасная загрузка для Windows 11?

Хотя для обновления устройства с Windows 10 до Windows 11 требуется только наличие на ПК возможности безопасной загрузки с включенным UEFI/BIOS, вы также можете включить или включить безопасную загрузку для повышения безопасности.

Можно ли использовать Windows 11 без TPM?

Если вы используете Windows 11 без чипа TPM, у вас не будет доступа к этим функциям, и в результате ваши данные могут подвергаться большему риску. Если возможно, мы рекомендуем вам установить отдельный модуль TPM 2.0 или подождать и обновить оборудование.

Может ли Windows 11 работать без TPM?

Да, вы не ослышались. Теперь вы можете установить Windows 11 на свой старый ПК или ноутбук без соблюдения требований TPM, безопасной загрузки и поддерживаемого процессора.

По логике вещей, разногласия вышли на первый план, и не без оснований. Когда Intel Trusted Execution Technology или TXT вышла для краткости, компания отметила, что это шаг вперед с точки зрения безопасности. И это было и есть правда, но в результате этой технологии, которую мы знаем как Intel PTT или Platform Trust Technology.

Эта технология является причиной разногласий, поскольку, как мы уже упоминали и как мы узнали из технологии Intel Trusted Execution Technology (TXT), она не является требованием для TPM, но Intel TXT является функцией, которую использует TPM. Итак, если в процессорах Intel отсутствует TXT, как они могут быть в списке Microsoft для Windows 11 как совместимые?

Разногласия по поводу Intel TXT, PTT и TPM 2.0 для Windows 11

Мы не будем вдаваться в подробности того, что из себя представляет каждая технология и что она делает сама по себе, так как мы уже комментировали их в соответствующих статьях, но грубо и прямо цитируя Intel, компания кратко определяет это следующим образом:

Технология Intel Trusted Execution — это набор аппаратных расширений для процессоров и наборов микросхем, которые расширяют возможности платформы с помощью таких функций безопасности, как измеряемая запущенная среда (MLE) и защищенное выполнение. Он предоставляет аппаратные механизмы, которые помогают защитить компьютер от программных атак и обеспечивают конфиденциальность и целостность данных, хранящихся или создаваемых на ПК пользователя или компании.

Он также предоставляет эти механизмы, создавая среду, в которой приложения могут работать в своем собственном пространстве, защищенном от любого другого программного обеспечения в системе. Эти возможности обеспечивают механизмы защиты, встроенные в аппаратное обеспечение, необходимые для обеспечения уверенности в среде выполнения приложений. В то же время эти механизмы могут защитить жизненно важные данные и процессы от компрометации вредоносным программным обеспечением, работающим на ПК.

В результате Intel разработала метод шифрования информации с помощью встроенного ПО под названием Intel PTT, который является предметом всех споров. Сначала Intel PTT был включен в Intel TXT, поэтому, если у вас не было последнего, было невозможно иметь и первое.

Intel PTT, почему он так востребован и востребован для Windows 11?

Проблема заключается в очень простой вещи: Microsoft требует TPM 2.0 для установки Windows 11 в качестве обязательного требования, независимо от имеющегося у вас оборудования, которое может соответствовать требованиям. То есть, если ваш компьютер соответствует требованиям Microsoft, но не имеет TPM 2.0, вы не сможете установить Windows 11.

TPM 2.0 — это технология шифрования, на которой точно основан Intel PTT, за исключением того, что для первого требуется физический чип, установленный или припаянный к материнской плате ноутбука или настольного ПК, в то время как Intel PTT выполняет ту же функцию. но с помощью программного и микропрограммного обеспечения, которое может быть обновлено компанией.

Поэтому, если наш ноутбук или ПК не имеет чипа TPM 2.0, а также не имеет Intel TXT, в технической документации говорилось, что невозможно получить Intel PTT и, следовательно, установка Windows 11 невозможна. Но мы услышали непосредственно от голубого гиганта об изменении, которого мы не видели ни в одном DataSheet и которое меняет все.

Как нам сообщила Intel, и мы видим это в техническом документе по TXT для этого 2021 года, начиная с 2017 года и последующих платформ в MLE вносились изменения из-за конвергенции нового Boot Guard и самого TXT, поэтому теперь Intel PTT, хотя он зависит от плат ЦП и поддерживает MEI с материнской платой PCH через TPG.

Это не означает, что если мы изменим ЦП компьютера, мы сохраним то же шифрование, которое у нас было, скорее наоборот, новый ЦП повторно зашифрует данные. Если коротко и упрощая, то с 2017 года и после выхода на рынок процессоров восьмого поколения Intel разделила TXT и PTT как две независимые и дополняющие друг друга технологии, поскольку, когда она была представлена вместе с Haswell, это было не так.

Поэтому это изменение затронуло процессоры Core (важная деталь, поддерживаются Celeron из серии 4000 и Pentium из серии 5000) начиная с восьмого поколения, и поэтому предыдущие процессоры не проверяются как таковые. Проблема в том, что Intel не указала это изменение, а только имела опцию в BIOS (выбирается производителем и моделью платы по вкусу) в разделе PCH-FW (как правило).

Почему это не указано ни в одном документе?

Что касается безопасности, то на самом деле очень сложно (если не невозможно) найти информацию в Intel DataSheets. Даже в последней версии Trusted Execution Technology 2021 года мы не можем найти что-то поясняющее, кроме ФЛАГА внутри TXT.SCRATCHPAD — ACM_POLICY_STATUS, где Intel лишь мимоходом называет его как вариант для выбора типа TPM. обнаруженный АКМ. В нем нулевой вариант будет без TPM, один будет dTPM 1.2, второй вариант помечен как dTPM 2.0, а третий вариант ведет к Intel PTT.

Уровень безопасности таков, что кроме официального заявления компании нет возможности точно узнать, как это работает по понятным причинам:

Технология Intel Platform Trust (Intel PTT): Технология Intel Platform Trust (Intel PTT) предлагает возможности dTPM 2.0. Intel PTT — это функция платформы для хранения учетных данных и управления ключами, используемая в настоящее время в Windows 8 и Windows 10. Intel PTT поддерживает BitLocker для шифрования жесткого диска и поддерживает все требования Microsoft для микропрограммы Trusted Platform Module (fTPM) 2.0.

И все. Не ожидайте найти что-то большее, чем то, что описано в этой статье, поскольку информации больше нет, и что мы исключили 12 DataSheet, поскольку он был последним из не менее чем 181 страницы. Вот почему информация, описанная здесь, настолько информативна, и поэтому список процессоров Microsoft действителен. Этот список также был расширен в то время, поскольку даже у них не было этой информации, пока ее не предоставила Intel.

Напомним, что в его первой версии процессоры Core восьмого поколения и многие другие не фигурировали. Наконец, просто еще раз уточним, что если наш процессор фигурирует в этом списке, чип TPM 2.0 не нужен, за исключением и только в том случае, если Intel PTT не активирован или не может быть активирован в BIOS/UEFI, что довольно странно, но что некоторые случае не было замечено, например, скрытых или непосредственно несуществующих опций без возможности активации.

В этих случаях многие пользователи редактируют BIOS, чтобы попытаться включить Intel PTT, поскольку их процессоры поддерживают эту функцию, и эта опция просто не отображается, потому что производитель не хотел этого. Это метод, который требует знаний и терпения, в значительной степени рискован, но если мы сможем это сделать, это может спасти нас от покупки нового компьютера. В любом случае и по логике мы не несем ответственности за любые убытки, которые могут возникнуть в результате использования этих методов.

Читайте также: