マイクロソフトは月曜日、過去3年間でファームウェアの脆弱性が5倍に増加したことを指摘し、Windowsの脆弱性の増加についてはあまり言及せず、PC販売およびシリコン製造のパートナーと協力し、悪意のある低レベルのデバイスコードからの保護を実装したキットを出荷していると述べた。
マイクロソフトは、ファームウェア防御イニシアチブを「Secured-core PC」と呼んでおり、準拠したデバイスは現在、Dell、Dynabook、HP、Lenovo、Panasonic、または同社のSurfaceコンピューターを取り扱っている店舗から購入できると述べている。それも当然だ。
「セキュアコアPCは、アイデンティティ、仮想化、オペレーティングシステム、ハードウェア、ファームウェアの保護を組み合わせ、オペレーティングシステムの下にもう1つのセキュリティ層を追加します」と、マイクロソフトのオペレーティングシステムセキュリティ担当ディレクターのデビッド・ウェストン氏はブログ投稿で述べた。
「ソフトウェアのみのセキュリティ ソリューションとは異なり、Secured-core PC は、こうした種類の攻撃を単に検出するのではなく、防止するように設計されています。」
ウェストン氏はThe Registerへのメールで、Secure-core PCの要件にはハードウェアとファームウェアの保護が組み込まれている必要があると述べた。AMD、Intel、Qualcommの最新チップで、Trusted Platform Module 2.0とDynamic Root of Trust（DRTM）が組み込まれ、仮想化ベースのセキュリティ（VBS）がデフォルトで有効化されている必要がある。オペレーティングシステムはWindows 10 Proでなければならない。安全なサインインと仮想化ベースのセキュリティのために、Windows HelloとCredential Guardを使用する必要があります。
「TPM 2.0を使用したSystem Guardランタイム認証も組み込まれており、デバイスが安全に起動したことを確認します」とウェストン氏は述べた。「この情報は、MicrosoftのエンタープライズモビリティソリューションであるIntuneに送信されます。Intuneがデバイスの整合性に問題があると判断した場合、機密リソースへのアクセスを拒否するなど、一連のアクションを実行できます。」
マイクロソフトがセキュリティプロセスの一環としてハードウェアパートナーに追加データやレポートの公開を求めているかとの質問に対し、ウェストン氏はそうではないと答えた。
ウェストン氏は昨年、Strontium（別名Fancy Bear）というハッカーグループがファームウェアの欠陥を利用してマルウェアをインストールしていたことが判明したと述べました。ファームウェアはOSの下位層で動作するため、従来のセキュリティツールではファームウェアの問題を詳細に把握できず、検出されても修復できる範囲が限られています。
「その結果、悪意のあるコードは検出が難しく、削除も困難だった。OSの再インストールやハードドライブの交換といった一般的なクリーンアップ手順を経ても、悪意のあるコードは残存する可能性がある」とウェストン氏は述べた。
そのため、Windows 10にはWindows Defender System Guard Secure Launchが搭載されました。これは、Secured-core PC仕様の一部である、ファームウェア攻撃に対するブートプロセス防御機能です。これは、2015年にWindows 10で初めて導入され、ハイパーバイザーの保護に役立つカーネル保護機能であるMicrosoftの仮想化ベースセキュリティ（VBS）を補完するものです。
System Guard Secure Launch は、現在 AMD、Intel、Qualcomm が提供している DTRM ハードウェア機能に依存しています。
AMD の最新の Ryzen チップでは、SKINIT CPU 命令、AMD セキュア プロセッサ、および AMD セキュア ローダー (SL) が組み合わさって DRTM サービス ブロックを構成していると、AMD のセキュリティ製品管理ディレクター Akash Malhotra 氏がブログ投稿で説明しています。
DRTMサービスブロックは信頼チェーンを構築します。SKINITはファームウェアとブートローダーを信頼できない動作モードで起動し、プロセッサを再初期化してSL用の安全な実行環境を構築します。SLはその後、ハードウェアにクエリを実行してDTRMサービスからデータを取得することにより、プラットフォーム構成の詳細を検証します。オペレーティングシステムは、ファームウェアが変更されていないことを確認するために、いつでも再検証を要求できます。
System Guard Secure Launch は、システム管理モード（SMM）とも連携します。SMM は、電源管理、ハードウェア構成、温度監視、またはハードウェアメーカーが割り当てたその他の機能に関連するコマンドを処理するための特別な x86 CPU 命令モードです。SMM は最高権限レベルで動作するため、攻撃の格好の標的となります。そのため、System Guard Secure Launch は、メモリへの不要なアクセスをブロックするページング保護と、SMM を監視してアドレス空間を保護するスーパーバイザー SMI ハンドラーをサポートしています。
Secure-core PCのその他の要件には、Trusted Platform Module 2.0（TPM）のサポートといった基本的なシステム整合性対策が含まれます。これにより、System Guardランタイム認証に基づくゼロトラストネットワークを構築できます。また、ハイパーバイザー保護コード整合性（HVCI）などのカーネル保護も必須です。
macOS「Catalina」10.15には独自のセキュリティ修正が満載 – ありがとう、Apple
続きを読む
ハードウェアおよびシリコン パートナーには必須のセキュリティ標準はありませんが、推奨事項はあります。
「マイクロソフトはファームウェアのセキュリティ審査プロセスを義務付けてはいないが、Secured-core PC を出荷するためにハードウェアおよびファームウェア製造業者が満たす必要のある特定の要件と推奨事項がある」とウェストン氏は述べた。
Secured-core PCに搭載されているファームウェアによるハードウェア保護に加え、マイクロソフトはパートナーの皆様に一貫したセキュリティのベストプラクティスの実践を推奨しています。コードのセキュリティレビュー、自動更新、攻撃対象領域の縮小など、多層防御アプローチを推奨します。
ウェストン氏はまた、マイクロソフトが Project-Mu と呼ばれるオープンソースのファームウェア プロジェクトを持っており、PC メーカーはこれをより安全なファームウェアの出発点として使用できると指摘しました。®
