Característica patrocinada Cuando se lanzó Windows 11 en octubre de 2021, uno de sus grandes puntos de venta fue una nueva arquitectura de seguridad. Microsoft lo diseñó desde cero con los principios de confianza cero en mente, negándose a confiar en la legitimidad de cualquier componente individual del sistema. En cambio, todo debe demostrar que no ha sido comprometido.
Proteger un sistema de esta manera es un trabajo difícil. Requiere que los componentes demuestren su legitimidad usando medios más allá del alcance de los atacantes. Es por eso que la seguridad del hardware se ha convertido en una prioridad para Intel. La empresa ha estado trabajando con Microsoft durante años, creando protecciones directamente en su hardware a través de sus comedores de plataforma Intel vPro® que se integran directamente con el sistema operativo.
La necesidad de seguridad de hardware
Los atacantes y los defensores de la ciberseguridad están en una carrera similar a Inception. Mientras los defensores protegen las capas superiores de la pila, los atacantes corren para comprometer el sistema en los niveles inferiores. Esos elementos de destino que operan antes de que el sistema operativo comience a ejecutarse, como el cargador de arranque y el firmware, el código persistente que se ejecuta en el BIOS o UEFI del sistema. Los rootkits que pueden instalarse para interferir con el sistema en este nivel pueden persistir y poseer el sistema operativo incluso antes de que se cargue.
El otro riesgo basado en el hardware es la manipulación de la cadena de suministro. Una compleja red de empresas globales colabora indirectamente para colocar una PC en el anaquel de un minorista. Microsoft ha detallado el riesgo, describiendo cómo los atacantes en cualquier etapa de la cadena pueden inyectar código malicioso en los componentes de hardware. Al igual que los rootkits, estos ataques son costosos de montar pero difíciles de detectar, lo que los hace ideales para actores de estados-nación bien financiados.
La clave para proteger el sistema contra ataques de bajo nivel como estos es casar las protecciones basadas en el sistema operativo con medidas de seguridad basadas en hardware. Cuanto más hermética sea esta integración, menos vulnerable dejará que el sistema se comprometa. Venky Venkateswaran, director de seguridad de productos de cliente y arquitectura y definición de virtualización del Grupo de computación de cliente centrado en dispositivos de Intel, explica que este es un proceso continuo.
“Trabajamos con muchos años de anticipación con clientes OEM y socios clave como Microsoft para dar forma a las soluciones que queremos construir en términos de rendimiento y características de seguridad”, explica. Para Windows 11, Microsoft e Intel trabajaron durante más de cinco años en las funciones que respaldarían los objetivos seguros predeterminados de Windows 11, por ejemplo.
Protección de sistemas a través de hardware seguro
La estrecha colaboración con Microsoft permite a Intel proteger a los usuarios al menos de dos maneras. El primero elimina la confianza implícita en los componentes del sistema de bajo nivel, reemplazándolo con una prueba de que su código no ha sido manipulado. Lo hace impulsando el almacenamiento de credenciales digitales más abajo en la pila hasta el corazón del propio chip.
En segundo lugar, Intel ha utilizado la aceleración basada en hardware para respaldar controles de ciberseguridad complejos y de uso intensivo de cómputo que simplemente no habrían funcionado antes.
«Si estas funciones no funcionan bien y obstaculizan la productividad, nadie querría activarlas. Se considera un impuesto», dice Venkateswaran. Deben trabajar discretamente si van a funcionar. «No puede resolver algunos de estos problemas de manera adecuada y obtener el tipo correcto de características de rendimiento y seguridad si solo intenta hacer esto en el software».
La arquitectura Intel vPro incluye un conjunto de características en los chips Intel que ofrecen asistencia de hardware en áreas que incluyen seguridad y administración remota. Todas estas medidas de protección basadas en hardware se encuentran bajo un concepto general llamado Intel® Hardware Shield. Intel Hardware Shield y la tecnología de administración remota se asignan a los cinco niveles de operación del dispositivo descritos en el libro electrónico de seguridad de Windows 11: el hardware del procesador de la computadora, el sistema operativo, las aplicaciones, la identidad y la privacidad, y la nube. Juntos, brindan una cadena de confianza que comienza incluso antes de que la PC se inicie y protegen el sistema contra las toxinas basadas en software al operar a un nivel más bajo que el que pueden alcanzar los atacantes.
Evolución de las funciones de seguridad.
Gracias a la asistencia de hardware, Venkateswaran explica que muchas de las características de Hardware Shield que solían estar desactivadas de forma predeterminada en Windows ahora están activadas de forma inmediata. Un estudio realizado por IOActive dijo que esto ha permitido a la empresa reducir la superficie de ataque en la PC con Windows promedio hasta en un 70 por ciento en comparación con los sistemas creados cuatro años antes.
Una protección ahora activada de forma predeterminada a partir de Windows 11 es la integridad del código protegido por hipervisor (HVCI o integridad de la memoria). Esta función ejecuta una verificación de integridad en modo kernel dentro de una máquina virtual (VM) en lugar del kernel principal de Windows, para garantizar que todo el código del kernel en el invitado esté firmado correctamente. Intel admite características como esta con el control de ejecución basado en modo (MBEC). Esta herramienta asistida por hardware permite a los hipervisores reforzar la integridad del código del núcleo a través de un control más detallado de la ejecución de la página mediante permisos de usuario y supervisor.
Las protecciones de virtualización de Intel amplían la pila, comenzando con protecciones a nivel de chip como su arquitectura VT-x. Intel® Total Memory Encryption e Intel® Total Memory Encryption: Multi-Key amplía la seguridad mediante el uso de cifrado reforzado por hardware para proteger el contenido de la memoria entre diferentes máquinas virtuales. La protección de espacios de trabajo aislados de forma independiente ayuda a abordar el punto óptimo de rendimiento frente a seguridad, dice Intel.
La seguridad de virtualización asistida por hardware también ayuda a fortalecer los sistemas y reduce la superficie de ataque a nivel del sistema operativo y de la aplicación. Aquí, Intel aplica la tecnología de virtualización Intel para E/S dirigida (VT-d). Esto ofrece protección a nivel de kernel para el acceso directo a la memoria (DMA). DMA implica leer y escribir en la memoria del sistema sin usar el procesador, lo que significa que varias máquinas virtuales y contenedores pueden acceder directamente a los dispositivos de E/S. VT-D protege los dispositivos del acceso directo a la memoria no autorizado, aislando de manera efectiva las cargas de trabajo de las máquinas virtuales del malware en el sistema operativo principal.
Protección del sistema contra el encendido
Intel y Microsoft entrelazaron su investigación para crear un sistema que permita que los terminales se inicien de forma segura. Combina varias funciones de Hardware Shield para crear una cadena segura de confianza que supervisa y comprueba la integridad del proceso de arranque en todos los pasos.
Esta seguridad comienza con Intel® Boot Guard, una medida que verifica la integridad del firmware firmado contra los certificados digitales del OEM almacenados directamente en el concentrador del controlador de programa (PCH) del dispositivo. Esto proporciona una cadena de confianza para garantizar la integridad del arranque, ya que el sistema solo arrancará el firmware UEFI firmado por el OEM.
Un proceso conocido como Arranque seguro maneja el proceso de arranque temprano al verificar todo el código que se ejecuta antes de que se cargue el sistema operativo. Después de eso, otro proceso llamado Trusted Boot verifica la validez del kernel. Luego, el propio Windows, una vez verificado como cargado de forma segura, puede implementar sus propios controles para proteger otras operaciones del sistema, a menudo con la ayuda del hardware de Intel.
Intel® Trusted Execution Technology (Intel® TXT) ordena el proceso de arranque al verificar el comportamiento de los componentes del tiempo de arranque en una secuencia buena conocida, lo que ayuda a detectar anomalías que podrían indicar un compromiso.
Para que todo esto funcione, Intel debe tener una forma de almacenar secretos de forma segura en una región del hardware libre de manipulaciones, protegiéndolos de ataques basados en software. Aquí es donde entra en juego el modelo de plataforma confiable (TPM). Un TPM almacena secretos como claves, contraseñas y certificados digitales directamente en el silicio, a un nivel que los atacantes no pueden alcanzar. Los clientes corporativos normalmente necesitan TPM totalmente certificados, que deben ser discretos (chips separados en la placa base) según las especificaciones de Trusted Computing Group. Por lo tanto, los OEM enviarán TPM discretos como una opción predeterminada en las máquinas dirigidas al mercado corporativo. Por el contrario, los OEM envían máquinas de consumo normalmente sin TPM discretos totalmente certificados. Intel protege esos dispositivos con su propio módulo de plataforma segura bajo el nombre Intel® Platform Trust Technology (Intel® PTT).
Detener los ataques basados en la memoria
Habiendo protegido la cadena de arranque, Intel centró su atención en otra técnica de ataque común: los ataques de código orientados al retorno. Los actores malintencionados suelen usar la tendencia de un programa existente para saltar a diferentes partes del código, alterando la ubicación del código para ejecutar. Esto les permite tomar el control del flujo del programa, ejecutando su propio código. Esta es la base de los ataques de desbordamiento de búfer, que son la pesadilla de los desarrolladores que trabajan en lenguajes vulnerables a la memoria como C++.
Intel respondió con su tecnología Intel® Control-Flow Enforcement Technology (Intel® CET), una protección a nivel de hardware introducida en sus CPU seguras de 11.ª generación para frustrar los ataques dirigidos al flujo de programas. Las extensiones del conjunto de instrucciones del chip le permiten rastrear la bifurcación del programa para que pueda detectar anomalías en los saltos del programa. También ofrece una protección similar para los ataques orientados al retorno, en los que el atacante sobrescribe la parte de la pila de memoria que contiene la dirección a la que debe regresar el flujo del programa. Utiliza una pila de sombra para proteger las direcciones de retorno de la manipulación.
Microsoft incorporó soporte para esta característica de Intel en Windows 10 2H20 con la introducción de Protección de pila de hardware, y posteriormente agregó Protección de pila aplicada por hardware en modo Kernel el año pasado en Windows 11 22H2.
Adelante y hacia arriba
Asegurar el punto final es un viaje interminable que requiere una estrecha colaboración entre los equipos de hardware y software, dice Venkateswaran. Hay muchas otras funciones asistidas por hardware que ofrecen protecciones de seguridad, como la tecnología de detección de amenazas Intel® (Intel® TDT), que utiliza la GPU integrada de un procesador para ejecutar análisis basados en IA del sistema operativo y el comportamiento a nivel de aplicación.
Al igual que Microsoft, Intel también aprende de los ataques a sus propios sistemas. «Hemos logrado avances significativos en nuestra garantía de seguridad, aumentando las inversiones en garantía de seguridad para que podamos encontrar y corregir errores de manera proactiva», dice Venkateswaran. Con este fin, Intel también tiene un programa de recompensas por errores para recompensar a los investigadores de seguridad que encuentran vulnerabilidades en sus sistemas. En 2022, amplió este programa con Project Circuit Breaker, una iniciativa para fomentar la investigación comunitaria sobre la seguridad de más productos, incluidos GPU, conjuntos de chips e hipervisores. Detalla sus hallazgos en un informe de seguridad anual que utiliza para demostrar cómo ha corregido nuevos errores de seguridad.
«Intel y Microsoft continúan colaborando estrechamente como un solo equipo de seguridad y brindan funciones de seguridad para nuestros clientes mutuos», concluye Venkateswaran. «Al final del día, eso es lo que permite que Windows en Intel tenga la mejor seguridad».
Patrocinado por Intel.
