微软周二宣布了一项新的硬件安全计划，称为Secured-core PC。“安全核心PC”真正含义的简称是防御固件层的攻击。
尽管到目前为止，基于固件的实际攻击在该领域中相对较少见，但对于高级持续攻击者而言，它们代表了一种特别讨厌的利用途径。一旦计算机的固件遭到破坏，漏洞利用将在重启，重新安装操作系统甚至完全更换硬盘驱动器后持续存在。
随着操作系统本身变得更加安全，难以妥协和不断受到侵害，从外壳转到固件层以增强持久性的价值也随之增加。由于Windows Defender和其他防病毒应用程序在操作系统级别运行，因此不一定能直接访问固件，因此即使检测到受感染的固件也是有问题的。
从安全启动到System Guard安全启动
微软对笔记本电脑的印象分解成几层，其中包括桌面主板。 但是技术列表以及每种技术可以防止的有用。
放大 /微软对笔记本电脑的印象分解成几层，其中某种程度上包括台式机主板，这是很愚蠢的。但是技术列表以及每种技术可以防止的有用。
微软
从Windows 8开始，Microsoft利用UEFI核心功能来确保只有受信任的操作系统引导程序才能启动。安全启动会 验证初始引导加载程序是否已使用固件信任的密钥签名。这样可以防止使用“ rootkit”或在操作系统本身之前加载的恶意软件。通过在操作系统本身之前加载，rootkit可以确保它具有绝对最高级别的系统特权，从而使它无法在操作系统内部进行检测。
安全启动在很大程度上解决了rootkit问题，但是由于它在已经受信任的固件本身上运行，因此无法帮助该固件进行妥协。这就是System Guard安全启动的地方。SGSL允许系统最初在不受信任的代码上启动，但是随后它控制了所有CPU，并且微软说，“迫使它们沿着众所周知且可衡量的代码路径运行”。
要解压缩“已知的和经过测量的代码路径”，需要更深入地了解正在运行System Guard Secure Launch的特定平台。幸运的是，AMD为此提供了相当深入的技术说明。我们也联系了英特尔，但其宣传材料含糊不清，在技术层面上并没有多大帮助，因此我们的其余报道将重点关注AMD在SGSL的实施。
SKINIT和信任度量的动态根源
在AMD CPU中，称为SKINIT的指令(“ secure init”的缩写)会重新初始化处理器。这有点像点击“重置”按钮。它可以确保在执行AMD Secure Loader之前有效地清除了系统状态。该指令仅接受一个参数，该参数是包含Secure Loader的64KB RAM块的地址。然后，SKINIT将包含安全加载程序的64KB RAM块标记为安全加载程序块，此后将无法对其进行篡改。还将安全加载程序块的地址写入可信平台模块(TPM)本身。
然后，Secure Loader会测量并验证固件和引导程序本身，并收集诸如物理内存映射，APIC和IOMMU配置等信息，以供操作系统将来进行验证。然后，它验证，初始化并转移对安全内核的控制，该安全内核是受信任的代码，用于在操作系统级别控制对系统资源的访问。
简短的版本是这样的：如果未使用可信密钥签名，UEFI安全启动会阻止启动引导程序运行;System Guard Secure Launch还可以防止受到破坏的引导加载程序(或任何以后在操作系统级别执行的代码)“自行清理”。由于它在设备级别在RAM中保持不变，并且其地址可从TPM本身读取，因此操作系统可以检查引导加载程序以及其他可能用于从其“隐藏”内存或功能的关键系统参数，从而确保以后有效。
SKINIT是AMD专用的术语和说明，但是由于英特尔还发布了对Microsoft新的System Guard安全启动和安全核心PC计划的遵守，我们可以假定其CPU提供了非常相似的指令来执行基本相同的任务。
系统管理模式
剩下必须保护的攻击面是系统管理模式。SMM是一种特殊的x86 CPU模式，可处理低级任务，包括电源管理，硬件配置和热监控。当请求这些系统操作之一时，SMI中断将调用并执行BIOS安装的SMM代码。此代码以最高特权级别执行，这使其对操作系统不可见，并授予其跨系统管理程序内存屏障的访问权限。
SMI处理程序通常由主板制造商提供，而不是操作系统制造商或CPU制造商。由于处理程序以最高特权级别运行，因此它是攻击者的诱人目标。为了最大程度地降低这种攻击面的价值，AMD使用了一种称为SMM Supervisor的特殊安全模块。SMM监督程序在SMI中断之后立即执行，然后将控制权转移到SMM代码本身，并防止SMM执行其无所事事的工作，例如修改虚拟机管理程序或OS内存(除了较小的坐标通信缓冲区外)，引入新的方法。运行时的SMM代码，或访问任何可能危害虚拟机管理程序或操作系统的DMA，I / O或寄存器。
查找安全核心的PC
抵押核笔记本电脑，包括联想，松下，戴尔，惠普和微软本身条目的短迄今为止在列表中，可以在微软的担保，核心合作伙伴页面找到这里。