De tweeledige aanpak van gegevensbeveiliging van Lenovo

Thorsten Stremlau

06/02/2017

Thorsten Stremlau, WW Principal IT-architect van Lenovo, vertelt hoe Lenovo zowel Intel Authenticate als SGX gebruikt voor tweeledige gegevensbeveiliging.

 

Gegevensbeveiliging is nog nooit zo dringend geweest voor bedrijven en voor individuen. Bij Lenovo weten we hoe belangrijk het is om uw gegevens veilig te bewaren. Daarom werken we als een van de eersten met een combinatie van twee Intel-technologieën om onze platforms en systemen de best mogelijke beveiliging te geven.

De Intel-technologieën Software Guard Extensions (SGX) en Authenticate worden nu al toegepast in de huidige Lenovo-computers en worden ook geïntegreerd in toekomstige systemen. Als een Lenovo-computer een Intel Skylake- of Kaby Lake-processor heeft, dan weet u zeker dat hij geschikt is voor deze technologieën.

Het idee achter SGX en Authenticate is niet nieuw, maar de technologie is pas nu zover dat ze kunnen worden gecombineerd. In feite bieden ze een beveiligingsoplossing op hardwareniveau. En dat biedt betere bescherming dan een softwarematige oplossing.

Een hardwarematige oplossing is veiliger omdat de hacker niet in staat is om op root-niveau toegang te verkrijgen tot het systeem. En als een hacker eenmaal root-toegang heeft, kan hij overal in het systeem komen. Deze root-aanvallen komen vaak voor omdat bepaalde kwetsbaarheden ‘privilege-escalatie’ toestaan. SGX en Authenticate kunnen u tegen dit soort aanvallen beschermen.

AMT naar een hoger niveau tillen

De technologie die wordt gebruikt door SGX en Authenticate, is een uitbreiding van Intel AMT (Active Management Technology). Dit is een kleine computer in uw apparaat die verantwoordelijk is voor taken zoals systeembeheer en beveiliging. Wanneer u uw computer aan- of uitzet, blijft deze kleine Intel AMT-chip ononderbroken draaien op de achtergrond. Zo blijft niet alleen uw systeem beveiligd, maar worden er ook allerlei diagnoses uitgevoerd doordat de chip verbinding maakt met het systeem.

Intel Authenticate: vergrendeling van uw gebruikersgegevens

Authenticate is de eerste verdedigingslinie: met een vergrendelingsmechanisme in de AMT-chip zorgt dit voor de bescherming van uw gebruikersgegevens in het systeem. Dit houdt concreet in dat de gebruikersgegevens worden opgeslagen in een veilige omgeving binnen de hardware zelf. In een systeem zonder AMT zou dit gebeuren op de harde schijf of op een andere locatie waar iemand met root-toegang bij kan komen.

Authenticate geeft gebruikersgegevens alleen vrij als er aan bepaalde criteria is voldaan. Bijvoorbeeld als u met een wachtwoord kunt bewijzen dat u geen kwaad in de zin hebt. U kunt ook kiezen voor verificatie met meerdere factoren, zoals de combinatie van een wachtwoord, biometrische handtekening (zoals vingerafdruk) en smartcard. Zo kunt u bewijzen wie u bent en dat het systeem niet wordt aangevallen. Ondernemingen gebruiken Intel Authenticate om zowel hun VPN-oplossingen (Virtual Private Network) te beveiligen als hun inloggegevens voor toepassingen en vertrouwelijke bedrijfsgegevens.

SGX: nooit meer een ‘man-in-the-middle’

SGX is het extra slot op de deur en doet zijn werk zodra de gebruikersgegevens zijn vrijgegeven. De reden hiervoor is dat ze nog steeds niet veilig zijn als ze eenmaal zijn doorgegeven aan de toepassing. Een hacker met root-toegang of een ander hoog toegangsniveau tot het systeem kan namelijk een ‘man-in-the-middle-aanval’ uitvoeren. De hacker steelt dan de gebruikersgegevens zodra die worden gebruikt door de toepassing. Met SGX wordt die aanval echter vakkundig gepareerd.

Zodra de gebruikersgegevens worden vrijgegeven, genereert de processor een beveiligingssleutel in het AMT-subsysteem. Het deel van het geheugen dat is gekoppeld aan de toepassing waarin de gebruikersgegevens worden verwerkt, wordt vervolgens versleuteld. Dit zorgt ervoor dat de hacker geen toegang kan krijgen tot het gedeelte van de app waarin de gebruikersgegevens worden verwerkt, zelfs als deze erin is geslaagd om het besturingssysteem of de toepassing over te nemen. Die verwerking vindt nu plaats in een veilige omgeving in het geheugen.

De beveiliging wordt dus tweeledig ondersteund. Niet alleen moeten gebruikers hun identiteit kunnen bewijzen voor het vrijgeven van gebruikersgegevens door AMT, ook moet door de app worden bewezen dat er geen besmetting heeft plaatsgevonden door schadelijke software. Dat gebeurt via het versleutelde SGX-gedeelte.

Een extra voordeel: deze methode is veel efficiënter dan de methoden die momenteel worden gebruikt door de meeste bedrijven, zoals een virtueel besturingssysteem of een virtuele applicatieomgeving. Deze methoden vergen veel systeemcapaciteit, terwijl SGX nauwelijks invloed heeft op de machineprestaties.

Waar ze worden gebruikt

SGX is nuttig voor veel verschillende onderdelen binnen toepassingen. Het kan gebruikt worden voor het omgaan met vertrouwelijke gegevens of om te bewijzen dat gegevens niet zijn gewijzigd vanaf het moment van verzending vanaf een apparaat tot opslag in uw database. Zijn uw gegevens vertrouwelijk of moet u de integriteit ervan aantonen? Dan kan SGX u helpen.

Bij Lenovo gebruiken we SGX om de software voor vingerafdruklezers in onze systemen beter te beveiligen. Het resultaat van uw verificatie met de vingerafdruklezer wordt dus verwerkt met SGX-technologie.

Het is belangrijk om te onthouden dat noch SGX, noch Authenticate waterdicht is. In potentie kan elke verdediging worden gehackt. Het doel van een goede beveiligingsoplossing is om de poging zo kostbaar mogelijk te maken, zodat hackers er bij voorbaat vanaf zien. Zowel Authenticate als SGX leggen de lat hoger en maken het hackers erg lastig om in te breken.

 

DIT VINDT U MISSCHIEN OOK INTERESSANT

Het kantoor in 2020

Wat organisaties van de 21e eeuw moeten weten.