Gemessener Start der Firmware und Hostnachweis

Dieser Artikel beschreibt, wie Microsoft hilft, die Integrität und Sicherheit des Hosts durch maßgemäßes Booten und Host-Attestation sicherzustellen.

Gemessener Start

Das Trusted Platform Module (TPM) ist eine manipulationsgeschützte, kryptografisch sichere Überwachungskomponente mit Firmware, die von einem vertrauenswürdigen Drittanbieter bereitgestellt wird. Das Boot-Konfigurationsprotokoll enthält hashverkettete Messwerte, die in den Platform Configuration Registers (PCR) aufgezeichnet wurden, als der Host zuletzt die Bootstrapping-Sequenz durchlief. In der folgenden Abbildung wird dieser Aufzeichnungsprozess veranschaulicht. Durch inkrementelles Hinzufügen einer früheren Hashmessung zum Hash der nächsten Messung und Ausführen des Hashalgorithmus für die Vereinigungsmenge wird die Hashverkettung erreicht.

Diagramm, das die Hash-Verkettung des Host Attestation Service zeigt.

Die Attestation erfolgt, wenn ein Host einen Nachweis über seinen Konfigurationszustand mit seinem Boot-Konfigurationsprotokoll (TCGLog) erbringt. Die Fälschung eines Startprotokolls ist schwierig, da das TPM seine PCR-Werte mit Ausnahme von Lese- und Erweiterungsvorgängen nicht verfügbar macht. Außerdem sind die Zugangsdaten des Host Attestation Service auf bestimmte PCR-Werte versiegelt. Hash-Chaining macht es rechnerisch unmöglich, die Zugangsdaten außerhalb des Bandes zu fälschen oder zu entsiegeln.

Hostnachweisdienst

Host Attestation Service ist eine präventive Maßnahme, die prüft, ob Host-Maschinen vertrauenswürdig sind, bevor sie mit Kundendaten oder Arbeitslasten interagieren dürfen. Der Host Attestation Service überprüft eine von jedem Host gesendete Compliance-Erklärung (verifizierbarer Nachweis der Konformität des Hosts) anhand einer Attestationsrichtlinie (Definition des sicheren Zustands). Ein Root-of-Trust, der von einem TPM bereitgestellt wird, gewährleistet die Integrität dieses Systems.

Der Hostnachweisdienst ist in jedem Azure-Cluster innerhalb einer spezialisierten gesperrten Umgebung vorhanden. Die gesperrte Umgebung umfasst weitere Gatekeeper-Dienste, die am Bootstrapping-Protokoll der Hostmaschine teilnehmen. Eine Public-Key-Infrastruktur (PKI) fungiert als Vermittler zur Validierung der Herkunft von Attestationsanfragen und als Identitätsaussteller nach erfolgreicher Host-Attestation. Die nach dem Hostnachweis für den Host ausgestellten Anmeldeinformationen werden für seine Identität versiegelt. Nur der anfordernde Host kann die Zugangsdaten entschließen und sie verwenden, um inkrementelle Berechtigungen zu erhalten. Dieses Design hilft, Man-in-the-Middle- und Spoofing-Angriffe zu verhindern.

Wenn ein Azure-Host das Werk mit einer Sicherheitsfehlkonfiguration verlässt oder jemand im Rechenzentrum daran manipuliert, enthält sein TCGLog Indikatoren für eine Kompromittierung, die der Host Attestation Service bei der nächsten Attestierung kennzeichnet. Diese Erkennung führt zu einem Attestationsfehler. Attestierungsfehler verhindern, dass die Azure-Flotte dem betroffenen Host vertraut. Diese Verhinderung blockiert wirksam die gesamte Kommunikation zum und vom Host und löst einen Incidentworkflow aus. Microsoft führt eine Untersuchung und eine detaillierte Obduktionsanalyse durch, um die Ursachen und mögliche Anzeichen einer Kompromittation zu ermitteln. Erst nach Abschluss der Analyse kann Microsoft einen Host beheben und ihm erlauben, der Azure-Flotte beizutreten und Kundenworkloads zu übernehmen.

Das folgende Diagramm zeigt eine hochrangige Architektur des Host-Attestationsdienstes:

Diagramm der Architektur des Hostnachweisdiensts.

Nachweismessungen

Die folgenden Abschnitte bieten Beispiele der heute erfassten Messungen.

Secure Boot (sicherer Start) und Secure Boot-Schlüssel

Durch die Validierung der Signaturdatenbank und der Digests der Zurückgezogenen Signaturen stellt der Host Attestation Service sicher, dass der Client-Agent der richtigen Software vertraut. Durch die Validierung der Signaturen der öffentlichen Schlüssel-Registrierungsschlüsseldatenbank und des öffentlichen Plattformschlüssels bestätigt der Host Attestation Service, dass nur vertrauenswürdige Parteien die Definitionen vertrauenswürdiger Software ändern können. Schließlich validiert der Host Attestation Service, indem sichergestellt wird, dass der sichere Boot aktiv ist, die aktive Durchsetzung dieser Definitionen.

Debug-Steuerelemente

Debugger sind leistungsstarke Tools für Entwickler. Wenn jedoch eine nicht vertrauenswürdige Partei Zugriff auf Speicher- und andere Debug-Befehle erhält, kann dies den Datenschutz und die Systemintegrität schwächen. Der Host Attestation Service überprüft, dass Produktionsmaschinen mit deaktiviertem Debugging starten.

Codeintegrität

UEFI Secure Boot stellt sicher, dass während der Startsequenz nur vertrauenswürdige Low-Level-Software ausgeführt wird. Die gleichen Prüfungen müssen auch in der Post-Boot-Umgebung auf Treiber und andere ausführbare Dateien mit Kernel-Modus-Zugriff angewendet werden. Zu diesem Zweck spezifiziert eine Codeintegritätsrichtlinie (CI) gültige und ungültige Signaturen, um vertrauenswürdige Treiber, Binärdateien und andere ausführbare Dateien zu identifizieren. Der Host Attestation Service setzt diese Richtlinien durch. Richtlinienverstöße führen zu Warnungen an das Security Incident Response Team zur Untersuchung.

Nächste Schritte

Um mehr darüber zu erfahren, wie Microsoft die Integrität und Sicherheit der Plattform fördert, siehe:

  • Last updated on