Cara mengurangi advisories keamanan umum yang dikembalikan oleh Intel Attestation Service selama pengesahan jarak jauh
Pengesahan jarak jauh pada sampel sgx-ra mengembalikan ISV Enclave Trust Status sebagai: Enclave NOT TRUSTED - Alasan: CONFIGURATION_AND_SW_HARDENING_NEEDED atau CONFIGURATION_NEEDED.
Respons dari Intel Attestation Service (IAS) termasuk: advisoryIDs = INTEL-SA-00334, INTEL-SA-00161, INTEL-SA-00219,INTEL-SA-00289
Di bawah ini adalah daftar Penasihat Keamanan umum (SAs) yang dikembalikan oleh Intel Attestation Service (IAS) dan cara menguranginya:
- INTEL-SA-00334: Injeksi Nilai Beban (LVI)Deep Dive:
- Perbarui Perangkat Lunak Platform (PSW) Intel® Software Guard Extensions (Intel® SGX).
- Membangun perbudak dengan toolchain yang diperbarui untuk memitigasi sepenuhnya.
Catatan Jika prosesor terpengaruh oleh SA-00334 (LVI), Intel Attestation Service (IAS) akan selalu membalas dengan setidaknya SW_HARDENING_NEEDED. IAS tidak dapat menentukan apakah pelanggan telah membangun wilayah mereka dengan mitigasi di tempatnya. Pihak mengandalkan perlu melihat ISVSVN (versi enclave) enclave-nya dan memutuskan apakah sudah diperbarui atau tidak. - INTEL-SA-00289: "Plundervolt" - Penasihat Modifikasi Pengaturan Tegangan:
- Perbarui BIOS ke versi terbaru dari OEM yang mengungkap bit kunci overclocking.
- Aktifkan bit kunci overclock jika terbuka di BIOS. OEM platform harus membuka bit kunci overclocking di BIOS. Untuk papan referensi pelanggan Intel, berada di bawah menu BIOS Advanced -> Power & Performance -> CPU - Kontrol Manajemen Daya -> konfigurasi Kunci CPU -> kunci overclocking.
- INTEL-SA-00219: Penasihat Pembaruan Grafis Prosesor:
- Nonaktifkan grafis terintegrasi, atau gunakan teknik penanganan memori khusus di dalam enclaves Anda. Menonaktifkan grafis terintegrasi diperlukan untuk menghapus respons ini.
- INTEL-SA-00161:"L1TF" - Speculative Execution Side Channel - pembaruan uCode sebagai bagian dari INTEL-SA-00115. Nonaktifkan hyperthreading
| Catatan | Semua Penasihat Keamanan harus dimitigasi untuk menghapus semua advisories. Jika Anda mengurangi hanya salah satu penasihat keamanan, itu masih akan muncul karena tidak semuanya dimitigasi. |
Respons dari Layanan Pengesahan Intel, Laporan Verifikasi Pengesahan, dapat mencakup Penasihat Keamanan Intel yang mengatasi kerentanan yang ditemukan dalam platform yang sedang dibuktikan. Laporan Verifikasi memberikan informasi ini kepada pihak ketiga yang mengandalkan sehingga pihak ketiga dapat memutuskan, berdasarkan kebijakan, apakah akan memercayai platform.
Pemilik platform atau ISV harus membaca setiap Penasihat Keamanan untuk mempelajari cara mengurangi setiap kerentanan.