适用于 OEM 的内核 DMA 保护（内存访问保护）

2023-10-28 19:15| 来源: 网络整理| 查看: 265

适用于 OEM 的内核 DMA 保护（内存访问保护）项目 06/19/2023

内核 DMA 保护（也称为内存访问保护）是 Windows 10 安全核心 PC 的一种功能，从 Windows 10 版本 1803 和 Windows 10 版本 1809 开始，在 Intel 和 AMD 平台支持该功能。

借助此功能，操作系统和系统固件可在以下情形中保护系统，以防范针对所有支持 DMA 的设备的恶意和非预期直接内存访问 (DMA) 攻击：

在启动过程中。在操作系统运行时，防范连接到可轻松访问且支持 DMA 功能的内部/外部端口（例如，M.2 PCIe 插槽和 Thunderbolt™3）的设备进行的恶意 DMA。平台要求详细信息 64 位 CPU 内核 DMA 保护仅在具有虚拟化扩展（包括 Intel VT-X 和 AMD-v）的 64 位 IA 处理器上受支持。 IOMMU（Intel VT-D、AMD-Vi）能够使用 DMA 的所有 I/O 设备都必须在已启用（默认情况下）的 IOMMU 后面。 IOMMU 用于基于 DMAGuard 设备枚举策略来阻止/取消阻止设备，并为具有兼容驱动程序的设备执行 DMA 重新映射。 PCI Express 原生控制支持内核 DMA 保护支持需要使用 _OSC ACPI 方法启用 PCI Express 原生控制。预启动 DMA 保护系统固件必须通过实现所有支持 DMA 的设备的 IO 缓冲区 pre-ExitBootServices() 的 DMA 隔离，来防范预启动 DMA 攻击。对于没有在 ExitBootServices() 与操作系统启动的设备驱动程序之间执行 DMA 所需的子设备的所有 PCI 根端口，系统固件必须禁用总线主控启用 (BME) 位。在 ExitBootServices() 中，IOMMU 必须由系统固件还原为开机状态。在执行 ExitBootServices() 之后，设备不能在 RMRR 区域 (Intel) 或 IVMD 块 (AMD) 外部执行 DMA，直到 PnP 加载并启动设备的相应操作系统驱动程序。在执行 ExitBootServices() 之后以及在操作系统启动设备驱动程序之前，在 RMRR 区域或 IVMD 块外部执行 DMA 会导致 IOMMU 故障，并可能会导致系统 bug 检查 (0xE6)。 ACPI 内核 DMA 保护指示器系统固件必须在 ACPI 表中设置适当的标志，以在操作系统中选择加入并启用内核 DMA 保护：对于 Intel 平台，系统固件必须在 DMAR 表标志字段中设置“DMA_CTRL_PLATFORM_OPT_IN_FLAG”（适用于直接 I/O 的 Intel 虚拟化技术规范，修订版 2.5 第 8.1 节）。对于 AMD 平台，系统固件必须在 IVRS IVinfo 字段中设置“DMA 重映射支持”位（AMD IOMMU 规范修订版 3.05，第 5.2.1 节）。系统固件必须使用适当的 ACPI _DSD 标志来标记需要操作系统运行时 DMA 保护的 PCI 端口：识别外部公开的 PCIe 根端口。识别用户可访问并需要 DMA 保护的内部 PCIe 端口。对于 Intel 平台，DMAR 表不得包含 ACPI 命名空间设备描述符 (ANDD) 结构。可信平台模块 (TPM) 2.0 不管是离散 TPM 还是固件 TPM，都足以满足需求。有关详细信息，请参阅受信任的平台模块 (TPM) 2.0。在 IOMMU（VT-D 或 AMD-Vi）或内核 DMA 保护已禁用、将禁用或配置为较低安全状态的每次启动中，平台都必须先将 EV_EFI_ACTION 事件扩展到 PCR[7]，然后才能启用 DMA。事件字符串应该为“DMA 保护已禁用”。平台固件必须对事件数据使用字符串“DMA 保护已禁用”，将此度量记录在事件日志中。验证 Windows 10 系统上的内核 DMA 保护状态

可以使用以下任一方法在给定系统上验证内核 DMA 保护的状态

使用系统信息应用程序：

启动 MSINFO32.exe。在“系统摘要”页中检查“内核 DMA 保护”字段。

使用 Windows 安全中心应用程序：

从 Windows“开始”菜单启动 Windows 安全中心应用程序。

单击“设备安全”图标。

单击“核心隔离详细信息”。

“内存访问保护”会作为可用安全功能列出（如果已启用）。

如果“内存访问保护”未列出，则该功能未在系统上启用。相关主题

内核 DMA 保护概述

为设备驱动程序启用 DMA 重新映射

DMAGuard 策略

【本文地址】

公司简介

联系我们