搜索

[28655] 2020-11-18_系统管理模式深入探讨：SMM隔离如何强化平台

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-19
2020-11-18_系统管理模式深入探讨：SMM隔离如何强化平台 系 统 管 理 模 式 深 入 探 讨 ： S M M 隔 离 如 何 强 化 平 台 O t s 安 全   2 0 2 0 - 1 1 - 1 8 W i n d o w s   1 0 通 过 利 用 硬 件 的 信 任 根 来 实 现 此 目 的 ， 确 保 平 台 固 件 的 健 康 和 可 信 是 保 证 强 大 的 平 台 安 全 功 能 （ 如 受 保 护 的 H y p e r v i s o r 保 护 程 序 代 码 （ H V C I ） 和 W i n d o w s   D e f e n d e r   C r e d e n t i a l   G u a r d ） 正 常 运 行 的 基 础 。 ， 该 信 任 根 可 确 保 在 W i n d o w s 引 导 加 载 程 序 启 动 之 前 ， 需 要 授 权 的 代 码 （ 如 统 一 可 扩 展 固 件 接 口 （ U E F I ） 恶 意 软 件 ） 就 不 会 扎 根 。 防 御 虚 拟 机 管 理 程 序 （ 以 及 扩 展 整 个 操 作 系 统 的 其 余 部 分 ） 以 及 此 类 低 级 威 胁 的 关 键 是 保 护 系 统 管 理 模 式 （ S M M ） ， 它 是 基 于 x 8 6 的 处 理 器 中 的 一 种 执 行 模 式 ， 以 比 管 理 程 序 更 高 级 别 的 有 效 特 权 运 行 。 由 于 S M M 传 统 上 没 有 限 制 地 访 问 内 存 和 设 备 资 源 ， 因 此 S M M 是 获 得 对 O S 和 硬 件 访 问 权 限 的 已 知 攻 击 媒 介 。 S M M 特 别 容 易 受 到 代 理 攻 击 之 类 的 威 胁 的 攻 击 ， 在 这 种 攻 击 中 ， 恶 意 代 码 会 欺 骗 具 有 大 量 特 权 的 另 一 个 代 码 来 执 行 某 些 活 动 。 一 个 人 可 能 在 S M M 中 拥 有 完 美 的 代 码 ， 但 仍 然 会 受 到 踩 踏 到 安 全 内 核 代 码 等 行 为 的 影 响 。 O E M 有 时 将 S M M 有 时 称 为 “   R i n g   - 2 ” ， 与 其 他 N V   R A M 的 硬 件 进 行 交 互 ， 模 拟 硬 件 功 能 ， 处 理 硬 件 中 断 或 勘 误 以 及 执 行 其 他 功 能 。 S M M 以 中 断 处 理 程 序 的 形 式 运 行 ， 这 些 中 断 处 理 程 序 由 计 时 器 触 发 或 访 问 某 些 内 存 ， 寄 存 器 或 硬 件 资 源 。 O E M 驱 动 程 序 和 运 行 时 固 件 服 务 可 能 会 明 确 捕 获 S M M 以 控 制 某 些 硬 件 功 能 。 要 阻 止 复 杂 的 攻 击 通 过 S M M 控 制 系 统 ， 操 作 系 统 必 须 对 S M M 的 行 为 进 行 强 制 执 行 或 监 督 。 作 为 安 全 核 心 P C 和 S y s t e m   G u a r d 的 一 部 分 ， 英 特 尔 和 A M D 开 发 了 通 过 强 制 执 行 和 报 告 S M M 可 以 访 问 哪 些 资 源 来 将 S M M 与 操 作 系 统 隔 离 的 机 制 。 S M M 隔 离 隔 离 S M M 分 为 三 个 部 分 ： O E M 实 施 一 项 政 策 ， 阐 明 他 们 需 要 访 问 的 内 容 ； 芯 片 供 应 商 在 S M I 上 执 行 此 策 略 ； 芯 片 供 应 商 会 向 操 作 系 统 报 告 是 否 遵 守 此 政 策 。 O E M 提 供 的 策 略 是 一 个 列 表 ， 详 细 列 出 了 S M I 处 理 程 序 需 要 访 问 的 资 源 。 芯 片 集 供 应 商 的 特 定 执 行 机 制 将 在 后 面 详 述 该 策 略 并 进 行 实 施 。 操 作 系 统 对 策 略 是 什 么 没 有 任 何 控 制 ; 仅 保 证 执 行 所 述 政 策 。 W i n d o w s 信 任 动 态 根 （ D R T M ） 实 施 中 约 会 的 可 信 计 算 库 （ T c b ） 启 动 ， 从 芯 片 供 应 商 的 报 告 机 制 中 获 得 强 制 执 行 的 策 略 。 由 于 资 源 访 问 是 特 定 于 平 台 需 求 的 ， 因 此 T c b   L a u n c h 将 O E M 的 S M M 访 问 策 略 与 W i n d o w s   S M M
隔 离 要 求 的 多 个 级 别 进 行 比 较 ， 并 以 其 提 供 的 隔 离 级 别 。 O E M 的 策 略 所 达 到 的 隔 离 级 别 将 进 行 认 证 ， 并 报 告 给 O S 。 隔 离 等 级 包 括 对 S M I 可 以 访 问 的 内 容 的 日 益 严 格 的 限 制 ， 以 及 系 统 所 需 的 强 制 执 行 功 能 。 隔 离 要 求 的 一 个 示 例 是 S M I 可 能 无 法 访 问 O S 拥 有 的 内 存 。 体 积 ， 这 些 要 求 可 能 包 括 对 以 下 资 源 的 限 制 ： 1 .   S M M 页 面 配 置 锁 定 2 .   静 态 页 表 3 .   特 定 型 号 寄 存 器 （ M S R ） 访 问 4 .   I O 端 口 访 问 5 .   处 理 器 状 态 保 存 访 问 为 了 确 保 在 不 满 足 最 低 要 求 的 情 况 下 使 用 安 全 核 心 P C 的 客 户 获 得 一 致 的 安 全 保 证 ， 对 D R T M 的 测 量 设 置 了 上 限 ， 并 且 本 地 和 远 程 认 证 都 失 败 了 。 S M M 隔 离 与 D R T M 息 息 相 关 ， 因 为 如 果 没 有 D R T M ， 则 O S 无 法 信 任 引 导 环 境 评 估 的 任 何 内 容 ， 因 为 它 无 法 免 受 S M M 的 影 响 。 S M I 在 D R T M 期 间 被 挂 起 ， 因 此 D R T M 建 立 的 新 的 信 任 根 可 以 评 估 S M M 访 问 策 略 的 安 全 性 。 W i n d o w s 将 会 将 这 些 保 护 用 作 本 地 机 器 密 保 护 ， 并 且 远 程 证 明 工 具 还 可 以 利 用 此 信 息 来 确 定 特 定 设 备 的 安 全 状 态 。 该 证 明 报 告 可 用 于 防 止 访 问 敏 感 的 网 络 文 件 ， 例 如 ， 除 非 存 在 某 些 特 定 功 能 组 合 。 A M D 解 决 方 案 （ S M M 主 管 ） 在 U E F I 引 导 阶 段 ， 将 S M M 主 管 作 为 U E F I 驱 动 程 序 加 载 。 在 D R T M 启 动 时 ， 此 驱 动 程 序 由 A M D 签 名 并 由 平 台 安 全 处 理 器 （ P S P ） 进 行 身 份 验 证 。 身 份 验 证 失 败 将 使 D R T M 失 败 。 （ 它 也 受 到 P S P 的 固 件 防 回 滚 保 护 。 ） S M M   S u p e r v i s o r 提 供 并 初 始 化 S M I 输 入 例 程 （ 触 发 S M I 后 执 行 的 第 一 个 代 码 块 ） 。 此 例 程 也 由 A M D 签 名 ， 并 在 D R T M 启 动 时 由 P S P 验 证 。 在 发 生 D R T M 事 件 时 ， P S P 还 将 验 证 S M I 条 目 是 否 已 正 确 配 置 到 此 经 过 身 份 验 证 的 块 。 此 身 份 验 证 失 败 还 将 导 致 D R T M 失 败 。 S M M   S u p e r v i s o r 将 关 键 页 面 （ 包 括 S M M   S u p e r v i s o r 代 码 块 ， 内 部 数 据 ， 页 面 表 本 身 ， 异 常 处 理 程 序 以 及 处 理 器 保 存 状 态 ） 标 记 为 超 级 用 户 页 面 ， 只 能 从 当 前 特 权 级 别 0 （ C P L 0 ， 最 特 权 级 别 ） 访 问 。
触 发 S M I 之 后 ， S M I 输 入 例 程 会 立 即 将 系 统 降 级 为 在 C P L 3 （ 最 低 特 权 级 别 ） 下 执 行 ， 然 后 再 执 行 任 何 第 三 方 S M I 处 理 程 序 。 从 C P L 3 环 境 中 ， M S R ， I O 和 超 级 用 户 页 访 问 ， 关 键 寄 存 器 更 改 （ 例 如 C R 3 ） 以 及 特 权 指 令 （ 例 如 “   h l t ” 和 “   c l i ” ） 最 终 都 将 作 为 C P U 硬 件 强 制 执 行 的 常 规 保 护 错 误 。 为 了 使 C P L 3 下 的 S M I 处 理 程 序 能 够 访 问 特 权 数 据 并 进 行 注 册 ， S M M   S u p e r v i s o r 提 供 了 s y s c a l l 接 口 ， 以 允 许 第 三 方 S M I 处 理 程 序 发 出 此 类 请 求 。 驻 留 在 S M M 主 管 中 的 s y s c a l l 接 口 的 后 端 由 S M M 安 全 策 略 控 制 。 所 述 策 略 是 一 个 拒 绝 列 表 ， 可 以 针 对 每 个 平 台 进 行 自 定 义 ， 以 确 定 可 以 从 C P L 3 访 问 哪 些 M S R ， I O 或 内 存 区 域 。 在 D R T M 事 件 期 间 ， S M M 安 全 策 略 会 报 告 给 O S 安 全 加 载 程 序 并 由 O S 安 全 加 载 程 序 进 行 验 证 。 英 特 尔 硬 件 盾 英 特 尔 ® 硬 件 防 护 罩 是 英 特 尔 ® 博 锐 ® 平 台 的 一 部 分 ， 使 用 C P U 硬 件 和 固 件 来 实 施 平 台 的 S M M 访 问 策 略 。 这 些 功 能 代 代 相 传 地 使 用 新 的 C P U 硬 件 功 能 与 现 有 的 C P U 功 能 一 起 发 展 ， 以 加 强 相 关 的 微 体 系 结 构 流 程 并 提 供 新 的 寄 存 器 锁 定 ， 以 支 持 相 关 的 固 件 强 化 * 。 具 有 第 8 代 I n t e l ® C o r e ™ v P r o ® 处 理 器 的 I n t e l v P r o ® 平 台 引 入 了 固 件 强 化 和 硬 件 锁 定 的 静 态 页 表 支 持 ， 以 减 少 关 于 内 存 的 S M M 特 权 并 锁 定 内 存 配 置 。 这 些 新 锁 包 括 ： C R 3 锁 ， M S E G 锁 ， S M B A S E 锁 等 。 具 有 第 9 代 I n t e l   C o r e   v P r o 处 理 器 的 I n t e l   v P r o 平 台 添 加 了 I n t e l 签 名 的 S M M 模 块 ， 可 通 过 P C R 1 7 使 用 I n t e l ® H a r d w a r e   S h i e l d 的 组 件 I n t e l ® T r u s t e d   E x e c u t i o n   T e c h n o l o g y （ I n t e l ® T X T ） 来 证 明 S M M 内 存 配 置 。 该 模 块 首 先 验 证 用 于 实 施 S M M 访 问 策 略 的 强 化 S M M 代 码 的 完 整 性 。 然 后 将 其 以 及 策 略 的 详 细 信 息 报 告 回 操 作 系 统 。 因 此 ， O S 可 以 验 证 S M M 的 可 信 度 并 评 估 平 台 的 S M M 访 问 策 略 ， 而 不 会 受 到 S M I 处 理 程 序 的 干 扰 。 带 有 第 1 0 代 I n t e l   C o r e   v P r o 处 理 器 的 I n t e l   v P r o 平 台 增 强 了 经 过 验 证 的 C P L 0   S M M 组 件 ， 以 使 用 S M I 处 理 程 序 创 建 权 限 分 离 ， 从 而 将 策 略 实 施 扩 展 到 M S R ， I O 端 口 和 S M M 状 态 保 存 （ 访 问 策 略 可 能 因 平 台 而 异 ） 。 报 告 机 制 已 扩 展 为 包 括 这 些 功 能 。 * 任 何 产 品 或 组 件 都 不 是 绝 对 安 全 的 。 安 全 核 心 P C 为 客 户 提 供 最 简 单 的 体 验 以 获 得 安 全 启 动 和 S M M 保 护 存 在 以 下 支 持 时 ， 可 以 实 现 启 用 S M M 保 护 和 S y s t e m   G u a r d 安 全 启 动 ： 英 特 尔 ， A M D 或 A R M 虚 拟 化 扩 展 可 信 平 台 模 块 （ T P M ） 2 . 0 在 I n t e l 上 ： B I O S 中 的 T X T 支 持 在 A M D 上 ： S K I N I T 软 件 包 必 须 集 成 在 W i n d o w s 系 统 映 像 中 在 Q u a l c o m m 上 ： 实 现 D R T M   T r u s t Z o n e 应 用 程 序 并 支 持 S M C 内 存 保 护 。
内 核 D M A 保 护 （ 了 解 更 多 ） 在 此 处 可 以 找 到 更 多 的 配 置 信 息 和 要 求 。 在 安 全 核 心 的 P C 上 ， 支 持 基 于 虚 拟 化 的 安 全 性 ， 并 且 默 认 情 况 下 启 用 了 硬 件 支 持 的 安 全 性 功 能 ， 例 如 带 有 S M M 保 护 的 S y s t e m   G u a r d 安 全 启 动 。 客 户 无 需 担 心 配 置 必 要 的 功 能 ， 因 为 安 全 核 心 P C 随 附 了 O E M 的 正 确 配 置 ， 从 而 为 最 安 全 的 W i n d o w s   1 0 系 统 提 供 了 最 简 单 的 途 径 。 了 解 更 多 有 关 当 今 可 用 的 安 全 核 心 P C 系 列 的 信 息 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理