微软周二宣布了一项新的硬件安全计划，名为“安全核心PC”。简而言之，“安全核心PC”的真正含义是防御固件层的攻击。
尽管到目前为止，实际的基于固件的攻击在该领域相对少见，但对于一个高级的、持久的攻击者来说，它们代表了一种特别恶劣的利用途径。一旦机器的固件被破坏，这个漏洞就会在重启、操作系统重新安装、甚至整个硬盘更换过程中持续存在。
随着操作系统本身变得更加安全，并且难以折衷和保持折衷，沐鸣开户测速Q554258为了增强持久性而从shell转到固件层的价值也会增加。即使是检测损坏的固件也是有问题的，因为Windows卫士和其他防病毒应用程序运行在操作系统级别，不一定能直接访问固件。
从安全启动到系统保护安全启动
微软的一款笔记本电脑的图像被分成了几层，其中包括一个桌面主板，这是相当愚蠢的。但是这些技术和它们各自的防护措施是有用的。
放大/微软的一款笔记本电脑的图片，把它分成若干层——其中包括一个桌面主板——是相当愚蠢的。但是这些技术和它们各自的防护措施是有用的。
微软
从Windows 8开始，微软利用UEFI的核心功能来确保只有可信的操作系统引导加载程序才能启动。安全引导验证初始引导加载程序是否使用固件信任的密钥进行签名。这可以防止使用“rootkit”或在操作系统本身之前加载的恶意软件。通过在操作系统本身之前加载，rootkit可以确保它拥有绝对最高级别的系统特权，从而在操作系统中隐藏它。
安全引导在很大程度上解决了rootkit的问题，但由于它运行在已经受信任的固件本身，它无法帮助妥协到该固件。这就是系统安全启动的原因。SGSL允许系统最初在不受信任的代码上启动，但是随后它控制了所有的cpu，并且，微软说，“迫使它们沿着已知的和可测量的代码路径运行。”
打开“众所周知的和测量过的代码路径”需要对正在运行的特定平台系统安全启动有更深入的了解。幸运的是，AMD提供了一个相当深入的技术解释。我们也联系了英特尔，但它的宣传材料是模糊的，在技术层面上帮助不大，所以我们的其余报道将集中在AMD的实施SGSL。
SKINIT和信任度量的动态根
在AMD cpu中，有一条叫做skinit的指令，它是“secure init”的谐音缩写，用来重新初始化处理器。这有点像点击“重置”按钮;它确保在执行AMD安全加载程序之前，系统状态被有效地消除。该指令只接受一个参数，即包含安全加载程序的64KB RAM块的地址。然后，SKINIT将包含安全加载程序的64KB RAM块标记为安全加载程序块，之后不能对其进行篡改。它还将安全加载程序块的地址写入可信平台模块(TPM)本身。
然后，安全加载程序对固件和引导加载程序本身进行测量和身份验证，并收集物理内存映射、APIC和IOMMU配置等信息，供操作系统将来进行验证。然后验证、初始化和向安全内核的转换控制，安全内核是在操作系统级别控制对系统资源的访问的受信任代码。
简短的版本是这个- uefi安全启动防止引导加载程序运行，如果它没有签署与受信任的关键;系统安全启动还可以防止在操作系统级别上被破坏的引导加载程序或任何后期执行的代码“在自身完成之后进行清理”。由于它在设备级别的RAM中是不可变的，并且它的地址从TPM本身是可读的，所以操作系统可以检查引导装载程序—以及关键系统参数，否则可能会用来“隐藏”内存或函数—确保以后的有效性。
SKINIT是amd特有的术语和指令，沐鸣开户注册但由于英特尔也公布了它对微软新系统安全发布和安全核心PC计划的坚持，我们可以假设它的cpu提供了一个非常类似的指令来执行大致相同的任务。
系统管理模式
剩下的必须保护的攻击面是系统管理模式。SMM是一种特殊的x86 CPU模式，它处理底层任务，包括电源管理、硬件配置和热监视。当请求这些系统操作之一时，SMI中断调用并执行BIOS安装的SMM代码。此代码在最高权限级别执行，这使得操作系统无法看到它，并授予它跨管理程序内存屏障的访问权限。
SMI处理程序通常由主板制造商提供，而不是操作系统制造商或CPU制造商。由于处理程序运行在非常高的特权级别，所以它是攻击者的一个有吸引力的目标。为了最小化这个攻击面，AMD使用了一个特殊的安全模块，叫做SMM管理器。多发性骨髓瘤的主管在重度后立即执行中断,多发性骨髓瘤之前控制转移到代码本身,并防止多发性骨髓瘤做事没有业务做了修改程序或操作系统内存(除了一个小协调通信缓冲区),多发性骨髓瘤引入新代码在运行时,或访问任何DMA、I / O,或寄存器可能影响管理程序或操作系统。
找到一个安全的核心电脑
在微软的安全核心合作伙伴页面上可以找到一份迄今为止安全核心笔记本电脑的简短列表，其中包括来自联想、松下、戴尔、惠普和微软自己的产品