Als Folge dieser digitalen Zertifikatskette zur Vertrauenswurzel in der AMD-Hardware bootet der jeweilige Prozessor allerdings nicht mehr auf anderen Mainboards.
Wie die Webseite Serve the Home (STH) berichtet, ist dieser Nachteil von AMD PSB beim Test von Servern der Firma Dell EMC aufgefallen: Ein probeweise aus einem anderen Server entnommener Epyc-Prozessor funktionierte zwar im Dell-EMC-Server PowerEdge R7415, aber anschließend nicht mehr in anderen Servern. Gegenüber STH bestätigte Dell diese Funktionsweise. Laut STH nutzt auch Hewlett Packard Enterprise (HPE) die Funktion AMD PSB.
Der früher Platform Security Processor (PSP) genannte AMD Secure Processor auf Basis von ARM TrustZone stellt unter anderem eine Root of Trust (RoT) als kryptografischen Vertrauensanker bereit. AMD schützt damit Funktionen wie Secure Encrypted Virtualization (SVE) gegen Manipulationen.
Unwiderrufliche OTP-Fuses
Wie AMD gegenüber STH erklärt, lässt sich die RoT im PSP per PSB auch dazu verwenden, um das digital signierte BIOS des Mainboards zu schützen. Dazu dienen unwiderruflich nur einmal beschreibbare Bits im Prozessor, sogenannte One-Time Programmable Fuses (OTP Fuses).
Hat das Mainboard diese OTP Fuses „geschossen“, ist der Prozessor an die Herstellersignatur im jeweiligen BIOS gebunden und startet nicht mehr, wenn diese Signatur beziehungsweise die Firmware manipuliert wurde. Das erschwert Angreifern Änderungen an der Server-Firmware, etwa um SVE oder UEFI Secure Boot auszuhebeln.
Problematisch ist die Funktion AMD PSB aber für den Gebrauchtmarkt sowie bei Reparaturen.
Intel stellt ebenfalls die Funktion „Boot Guard“ bereit, die über OTP Fuses eine Verbindung zwischen der RoT in der Intel-Hardware und einem signierten BIOS herstellt. Diese wurde bisher vor allem in Notebooks (von Lenovo) verwendet, wo der Prozessor fest verlötet ist. Bisher ist nur bekannt, dass bei Systemen mit Intel Boot Guard keine Modifikationen am BIOS möglich sind.
Quelle: heise online Redaktion
