In occasione del Consumer Electronics Show 2022 Lenovo ha presentato i primi PC Windows 11 con processori AMD che integrano Microsoft Pluton, un chip di sicurezza sviluppato in collaborazione con Intel, AMD e Qualcomm per fornire quella che è stata definita sicurezza "chip to cloud". In estrema sintesi, Pluton è progettato per ridurre la superficie di attacco nei PC Windows rimediando alle vulnerabilità hardware e firmware.

L'argomento delle vulnerabilità firmware è di stringente attualità, dato che i malware UEFI stanno aumentando di numero. Oltre a FinFisher ed ESPecter, è recente la notizia che riguarda rilevazioni in un the wild di MoonBounce. Le minacce di questo tipo sono accomunate dal fatto che introducono del codice malevolo nel firmware UEFI, che è responsabile dell'avvio di un computer e del passaggio del controllo al software che carica il sistema operativo.

Quanto alle vulnerabilità hardware, ricordiamo che non ci sono solo le più celebri Spectre e Meltdown, ma anche altre simili che interessano diverse famiglie di processori e che sono ben più recenti. In entrambi i casi il grave inconveniente è che spesso gli attacchi non vengono rilevati dagli antimalware e non possono essere rimossi con una banale formattazione del disco fisso o reinstallando il sistema operativo. Da qui l'esigenza di una soluzione hardware efficace su entrambi i fronti.

Per far fronte al problema nel 2019 arrivarono in commercio i computer Secured Core dotati di varie funzioni di sicurezza implementate direttamente a livello hardware. Per la precisione, Secured Core prevede tre livelli di difesa in hardware. Il primo, più di basso livello, riguarda la protezione dei componenti di base, come il BIOS. Il secondo fornisce alcune funzioni di protezione da attacchi al kernel. Il terzo fa lo stesso, ma per gli attacchi al firmware. In generale, l'obiettivo è adottare un approccio Zero Trust al funzionamento di un notebook.

Microsoft Pluton

La continua evoluzione degli attacchi informatici ha reso necessaria una soluzione di sicurezza ancora più innovativa, che comprendesse sia l'hardware sia il software. Pluton si muove in questa direzione ed è stato integrato prima nella console Xbox One e in Azure Sphere, ora finalmente sbarca nei PC Windows.

I vantaggi di Pluton descritti da Microsoft si possono riassumere in tre punti. Il primo è una maggiore capacità di proteggersi dagli attacchi fisici e/o hardware che prendono di mira le credenziali e le chiavi di crittografia con l'obiettivo di rubare informazioni sensibili. Il secondo è la capacità di monitorare il firmware e di verificare l’integrità del sistema. Il terzo vantaggio è l'ottimizzazione degli aggiornamenti firmware tramite cloud (via Windows Update).

Tutto parte dall'assunto che, nella maggior parte dei PC, il core della sicurezza del sistema operativo risiede in un chip separato dalla CPU, il Trusted Platform Module (TPM), ossia un componente hardware utilizzato per archiviare in modo sicuro le informazioni di verifica dell'integrità del sistema. Gli attaccanti hanno innovato i metodi per attaccare il TPM, prendendo di mira il bus di comunicazione tra la CPU e il TPM. Così facendo riescono a rubare o a modificare le informazioni in transito.

Pluton rimuove questo canale di comunicazione, perché sposta la sicurezza direttamente all'interno del processore. I PC Windows con Pluton, nella sostanza, emulano un TPM che funziona con le specifiche e le API esistenti, per garantire continuità con i software esistenti. Al contempo però garantiscono maggiore sicurezza in quanto il chip Pluton non è più separato dalla CPU, ma è integrato direttamente in essa. Da qui agisce per proteggere credenziali, identità utente, chiavi di crittografia e dati personali. Microsoft garantisce che nessuna di queste informazioni può essere rimossa da Pluton, anche qualora un attaccante dovesse installare malware o ottenere l'accesso fisico al PC. Questo perché Pluton è completamente isolato dal resto del sistema, e beneficia della tecnologia Secure Hardware Cryptography Key (SHACK) che aiuta a garantire che le chiavi non vengano mai esposte al di fuori dell'hardware protetto.

AMD e Lenovo

Dato che gli annunci CES 2022 riguardano AMD, aggiungiamo che Microsoft Pluton è integrato direttamente nelle API e nelle CPU client AMD e combina le funzioni della CPU e del modulo TPM per condurre l'attività di verifica dell'integrità del sistema. Questo permette di mitigare, per esempio, gli attacchi di tipo man-in-the-middle in cui l'attaccante intercetta le informazioni sensibili in transito sul bus tra la CPU e il TPM.

AMD Security Processor (ASP) e Microsoft Pluton security processor coesistono nei chip AMD, aiutando a fornire sicurezza ai sistemi Windows mediante un'azione sia sul software che sull'hardware. È proprio il design integrato a offrire una protezione migliorata contro gli attaccanti che tentano di nascondere codice dannoso nel sistema o tentano di rubare credenziali o chiavi di crittografia mediante attacchi fisici.

I nuovi prodotti con Pluton annunciati da Lenovo sono i ThinkPad serie Z, e in particolare i modelli ThinkPad Z13 e Z16. Sono equipaggiati con processori AMD Ryzen PRO serie 6000 che integra, appunto, il processore di sicurezza Microsoft Pluton. Il ThinkPad Z13 è dotato del processore AMD Ryzen 7 PRO 6860Z3; il ThinkPad Z16 può anche essere configurato con la grafica dedicata AMD Radeon RX 6500M. In entrambi i casi si tratta di prodotti business per la produttività, che oltre a promettere prestazioni adeguate, aggiungono all'equazione l'elemento sicurezza.

Investire o non investire?

Ora che sono disponibili sistemi più sicuri sotto l'aspetto hardware, resta da comprendere il livello di interesse da parte del mercato. È prematuro fare valutazioni su Pluton in questo senso, si possono però rinfrescare i dati sui Secured Core PC per capire qual è la percezione verso gli attacchi al firmware, e non sono rassicuranti. Ad aprile 2021 lo studio Security Signals condotto da Microsoft intervistando mille responsabili della sicurezza aziendale in Cina, Germania, Giappone, Regno Unito e Stati Uniti, rivelò che nel biennio precedente l'80 percento delle aziende aveva subìto almeno un attacco che sfruttava vulnerabilità firmware.

Una platea molto ampia, ma con una percezione scarsa del rischio: a dispetto dell'incidenza degli attacchi, solo il 29% dei budget di security era stato destinato a mettere in sicurezza le vulnerabilità firmware. La maggior parte delle aziende ha continuato (e continua tuttora) a investire solo nella scansione delle vulnerabilità e nelle soluzioni avanzate di protezione dalle minacce, tralasciando il monitoraggio del firmware.

Verosimilmente, l'aspetto hardware della sicurezza degli endpoint potrebbe essere preso in considerazione dalle aziende in concomitanza con un già programmato aggiornamento delle dotazioni aziendali. Infatti, se da una parte tutti prima o poi finiranno per usare sistemi più sicuri anche sotto l'aspetto hardware, dall'altra oggi le soluzioni software – senza nulla togliere a una sicurezza integrata in hardware - sono molto più efficienti che un tempo, grazie all'Intelligenza Artificiale e alla Threat Intelligence. E non richiedono un rinnovo del parco macchine aziendale. Al contrario, in fase di rinnovo dei PC trascurare questa opportunità potrebbe essere un errore.