Artikel top billede

(Foto: Computerworld)

Sikkerheden flytter helt ind i processoren

HP var først med en dedikeret BIOS-sikkerhedschip på bundkortet, og nu har Microsoft annonceret sin Pluton-teknologi, der rykker sikkerhedsrutinerne ind i selve processoren. Tendensen er klar – sikkerhed skal helt ned i maven på klienten og spille sammen med såvel hardware som software.

Af Henrik Malmgreen, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Der er næppe nogen, som kan være uenig i, at sikkerhed er alfa og omega for alle virksomheder, og selv ikke store koncerner med potente sikkerhedsressourcer kan føle sig spor trygge i forhold til de it-kriminelles angreb. 

Derfor er det vigtigt, at sikkerhed indgår som et nøgleelement i enhver virksomheds it-infrastruktur, og værktøjerne til dette har da også udviklet sig fra at være løst påhæftet klientsoftware til at være en integreret del af alle førende softwareproducenters løsninger.

Sikkerhed indgår i dag som en del af eksempelvis VMwares og Ciscos produktpaletter, ligesom samspil med dedikeret sikkerhedssoftware er helt naturlig. Selv med en forkromet installation, der beskytter servere og netværk, er det dog stadig vigtigt, at virksomheden beskytter sig på klientniveau – blandt andet fordi en klient også anvendes uden for de beskyttende mure. Derfor er det nu blevet muligt at beskytte computeren på hardwareniveau, forstået på den måde, at processor og operativsystem arbejder sammen.

Sikkerhed helt ned i maven

HP var den første producent, der allerede i 2014 med teknologien HP Surestart gik i krig mod ”Fully Undetectable Ransomware”, som gemmer sig i BIOS og derfor er umulig at opdage, medmindre en sikkerhedschip er integreret på bundkortet. Det var en løsning, der i samarbejde med AMD og Intel blev lanceret på HP’s pc’er til virksomhedssegmentet. Nu har Microsoft så annonceret teknologien Pluton, der integrerer sikkerheden direkte i cpu’en. Dermed tager man altså et skridt videre i forhold til HP.

Grundlæggende går konceptet ud på, at man flytter sikkerhedsrutinerne væk fra den chip, der kaldes for Trusted Platform Module for i stedet at integrere dem direkte i processoren.

Ganske som HP har Microsoft indgået et samarbejde med AMD og Intel, men har endvidere taget Qualcomm Technologies med ombord på denne rejse mod bedre sikkerhed.

Tendensen er altså tydelig – sikkerhed skal helt ned i "maven" på klienten og herfra spille sammen med såvel hardwaren som softwaren.

Begrebet ”System on Chip Security”, som er sikkerhed på chipniveau, er et kendt fænomen, men når man lægger Pluton Security Processor ovenpå, kalder Microsoft sit koncept for ”Chip to Cloud Security”. Microsoft lover, at Windows 10 er det mest sikre operativsystem nogensinde. Set i lyset af Windows Hello, der giver mulighed for biometrisk logon, Microsoft Defender Antivirus samt teknologier som System Guard og Application Control for Windows er påstanden givetvis korrekt, men nu tilføjes altså en ekstra sikkerhedsfunktion.

Ifølge Leif Jensen, der er nordisk chef i sikkerhedsfirmaet ESET, må man dog ikke betragte HP Sure Start eller Microsoft Pluton som teknologier, der løser alle de sikkerhedsmæssige udfordringer med et snuptag. Det er der en meget enkel årsag til. En Windows-pc bygger på en åben platform, hvor brugerne både ønsker at kunne køre programmer fra alverdens softwareproducenter og forsyne den med alskens former for ekstraudstyr.

”Selv om det er en smuk tanke, vil det i min optik være helt utænkeligt at forestille sig et scenarie, hvor en cpu er i stand til at monitorere sikkerheden på alle niveauer. Til gengæld ser jeg gode muligheder for, at man for eksempel kan lade en processor varetage mindre, specifikke opgaver. Jeg sammenligner det lidt med tiden i 80’erne, hvor eksempelvis en 8086-processor arbejdede sammen med en matematisk 8087-co-processor, der tog sig af dedikerede regneopgaver,” siger Leif Jensen.

Det er altså lidt samme koncept, vi ser nu – blot med den forskel, at funktionerne er samlet på den samme processor. Såvel AMD som Intel er med på den vogn, men ifølge Leif Jensen er det en teknologi, der fungerer som støtte for de øvrige sikkerhedsforanstaltninger, og ikke en teknologi, der kan stå alene – i hvert fald ikke så længe, man kan benytte hardware og software på sin Windows-pc, der ikke er fra Microsoft. Hvis hardwarebaseret sikkerhed for alvor skal give mening, skal vi kigge mod de proprietære miljøer.


Der har været øget fokus på hardwaresikkerhed de seneste år. HP Surestart er en af pionererne, men også andre pc-leverandører, for eksempel Lenovo, arbejder med dette felt.

Proprietært er sikkert

”Der er en årsag til, at mainframen stadig anvendes flittigt i eksempelvis den finansielle sektor. Her kommer både hardware og software fra samme leverandør, og efterspørgslen på programmører, der kan deres Cobol, er større end nogensinde før,” siger Leif Jensen.

Når nu vi er ved det proprietære, er det nærliggende at spørge eksperten, hvordan Apples nye ARM-baserede M1-processor placerer sig i dette sikkerhedsunivers. Apple har jo et ry for at være sig selv nærmest, og det ser Leif Jensen ikke noget galt i. Tværtimod.

”Set med sikkerhedsbrillerne på er det faktisk en fordel at være proprietær. Det er alt andet lige nemmere at styre sikkerheden når hele løsningen kommer fra samme producent,” siger Leif Jensen, der dog i samme åndedrag ikke umiddelbart mener, at M1-processoren lige nu er blevet mere sikker end de processorer fra Intel, som Apple anvendte tidligere.

Om Apple pønser på lignende sikkerhedsteknologier som AMD og Intel, ved vi ikke noget om, men et skridt tilbage til et proprietært univers er altså ikke nødvendigvis et tilbageskridt.

Leif Jensen opfatter altså den gode, gamle mainframeteknologi som værende noget af det mest sikre i it-verdenen, og hvis vi skal forestille os samme scenarie i pc-miljøet, nævner han pc’er til industrielt brug, der for eksempel styrer robotter i en produktion.

Et lukket miljø

Her er det muligt at skabe et lukket miljø, hvor kun dedikeret software får lov til at styre dedikerede funktioner i ro og fred uden mulighed for, at udefra kommende trusler kan genere. På en åben pc-platform vil den mulighed være helt utænkelig.

HP Sure Start og Microsoft Pluton er dog med til at gøre hverdagen lidt mere tryg for pc-brugerne, men træerne vokser som bekendt ikke ind i himmelen, og derfor er en af de største sikkerhedsmæssige udfordringer stadig den menneskelige fornuft – eller måske snarere mangel på samme, når en bruger lader sig lokke til at klikke på et link, der lover guld og grønne skove.

Den risikofaktor kan selv ikke den mest gennemtænkte, opdaterede sikkerhedsløsning beskytte imod. Heller ikke, når den er allieret med cpu’en. 

Ideen bag Microsoft Pluton

Hvornår Microsoft Pluton Security-processoren er klar til at blive lanceret, og hvilken effekt teknologien eventuelt får på prissætningen af pc’erne, vides endnu ikke. Det vides heller ikke, hvorvidt Microsoft vil brede teknologien ud til alle producenter eller, måske i hvert fald for en periode, vil holde den for sig selv på sin egen Surface-platform. Selv kalder Microsoft det nuværende Windows for verdens mest sikre operativsystem, men da det ligeledes er verdens mest udbredte, er det naturligvis også under hackernes konstante beskydning.

Pluton-teknologien bygger på Microsofts Open Compute Project Cerberus, hvis grundlæggende idé med Azure som fundament har været at gøre cloudservere mere sikre, og ud over at integrere sikkerheden direkte på cpu’en er baggrunden for Pluton netop at holde al firmware opdateret på tværs af virksomhedens pc-økosystem. Ifølge den amerikanske organisation NIST – National Institute of Standards and Technology – er firmwareangreb blevet populære blandt hackerne.

Ifølge NISTs seneste ”National Vulnerability Database” er antallet af den slags angreb steget med en faktor fem fra 2016 til 2019. Årsagen er at i takt med, at firmaerne bliver stadig bedre til at beskytte sig på andre områder, går hackerne nye veje for at finde de lavthængende frugter. Pluton er en del af Secured-core-konceptet, der går ud på helt at forhindre angreb på tværs af hardware, operativsystem og software i stedet for blot at opdage dem.


Nu skal sikkerheden dække hele vejen fra bundkortet og op i skyen.