Hersteller dürfen ältere OS-Versionen wie Windows 10 1809 nicht mehr mit den neuesten Prozessoren von Intel und AMD kombinieren. Für Windows on ARM ist indes wieder Qualcomms Snapdragon 8cx für neue OS-Versionen zulässig.

Microsoft hat die Anforderungen an neue Computer mit Prozessoren von Intel, AMD und Qualcomm angepasst, auf denen Windows 10 Version 1903 oder 1909 vorinstalliert ist. Das Support-Dokument richtet sich ausschließlich an Hersteller von Laptops und Desktops, die mit Windows 10 ausgestattet werden sollen.

Für Windows on Arm wird nun ein Qualcomm Snapdragon 855 oder 8cx benötigt. Letzteres war nicht Bestandteil des zuletzt im April aktualisierten Dokuments. Unklar ist auch, ob Microsoft tatsächlich den Snapdragon 855 und nicht den speziell für Windows on ARM entwickelten Snapdragon 850 meint.

Wie Neowin anmerkt ist der Snapdragon 855 eigentlich nur für Smartphones gedacht. Ältere Ausgaben des Dokuments, unter anderem für Windows 10 Version 1809, nannten den Snapdragon 850 als Prozessor für Windows on ARM.

Bisher gibt es nur wenige Systeme mit Windows on ARM, darunter das kürzlich vorgestellte Samsung Galaxy Book S, das vom Snapdragon 8cx angetrieben wird und in direkter Konkurrenz zu Microsofts Surface Pro X steht. In dem Gerät steckt jedoch der zusammen mit Qualcomm entwickelte ARM-Chip SQ1.

Für neue Desktop-PCs und Notebooks schreibt Microsoft mindestens AMD-Prozessoren der siebten Generation oder älter vor. Dazu zählen CPUs der A-Serie (Ax-9xxx), der E-Serie (Ex-9xxx) und der FX-Serie (FX-9xxx). Es können aber auch Athlon 2xx-Prozessoren und die aktuellen Ryzen-Chip 3/5/7 3xxx konfiguriert werden. Zulässig sind auch die Produktreihen Opteron 2 und Epyc 7xxx. Sie werden allerdings nur von Windows 10 Pro for Workstations und Windows 10 Enterprise unterstützt.

Für Intel basierte System nennt Microsoft Prozessoren bis hin zur zehnten Core-Generation, darunter i3-, i5-, i7- und i9-10xxx sowie Intel Xeon E-22xx, Intel Atom J4xxx, J5xxx N4xxx und N5xxx, Celeron und Pentium.

Bei Desktops und Notebooks gibt Microsoft somit nicht vor, welche Prozessoren mindestens benutzt werden müssen. Stattdessen will das Unternehmen sicherstellen, dass ältere OS-Versionen wie Windows 10 1809 ab Werk nicht zusammen mit neueren Prozessoren wie Intels zehnter Core-Generation kombiniert werden.

Die Funktion basiert auf Windows Defender System Guard. Sie schützt die Firmware eines Windows-10-PCs vor Hackerangriffen. Als Vorbild diesen die Sicherheitschips, die Apple und Google in ihre Smartphones implementieren.

Microsoft hat eine neue Sicherheitsinitiative vorgestellt. In Zusammenarbeit mit PC-Herstellern soll Secured-Core Geräte vor Angriffen auf deren Firmware schützen, die in der Regel höhere Privilegien hat als der Windows-Kernel.

In Secured-Core sind Erfahrungen eingeflossen, die Microsoft mit DRM-Hacking auf der Spielkonsole Xbox gesammelt hat. Eine Marke „Secured-Core“ für Verbraucher wird es indes nicht geben. Stattdessen soll die Technik künftig für Hardware mit Chipsätzen von Intel, Qualcomm und AMD eingesetzt werden.

Der erste Windows-10-PC mit Secured-Core ist das ARM-basierte Laptop Surface Pro X. Käufer dieser Geräte erhalten eine zusätzliche Schutzschicht, die unter anderem Verschlüsselungsschlüssel isoliert, die bei Angriffen auf die Geräte-Firmware kompromittiert werden könnten.

Technisch basiert Secured-Core auf der Windows-Defender-Funktion System Guard. „Wenn Sie auf Ihrem Standardbetriebssystem ein Stück Malware auf Kernel-Ebene erhalten, kann der Angreifer nicht auf kritische Funktionen zugreifen“, sagte Dave Weston, Partner Director für Windows Security bei Microsoft.

Vorbild für Secure-Core ist die Systemabsicherung, wie sie beispielsweise Apple und Google mithilfe eines Sicherheitschips in ihre mobilen Geräte integrieren. „Es ist ziemlich ähnlich wie bei anderen Herstellern mit speziellen Sicherheitschips, aber wir tun dies über alle verschiedenen Arten von CPU-Architekturen und OEMs hinweg, so dass wir dies einem viel breiteren Publikum zugänglich machen können, und sie können den Formfaktor oder das Produkt auswählen, das zu ihnen passt, aber mit den gleichen Sicherheitsgarantien, als ob Microsoft es erstellt hätte“, ergänzte Weston.

Mit Secure Boot bietet Microsoft bereits eine ähnliche Sicherheitsfunktion an. Sie basiert jedoch auf der Annahme, dass die Firmware vertrauenswürdig ist und so den Bootloadern überprüfen kann. Angreifer können aber immer noch die vertrauenswürdige Firmware für ihre Zwecke einsetzen. Secure Boot ist jedoch in der Lage, Angriffe mit nicht oder falsch signierten Rootkits zu erkennen und zu blockieren.

Sicherheitsforscher und auch Angreifer widmeten sich in den vergangenen Jahren verstärkt der Suche nach Anfälligen in Geräte-Firmware. 2016 wurden weniger als 50 Firmware-Lücken offengelegt. Die Zahl stieg 2017 auf 400 und bliebt 2018 knapp unter der Marke von 500.

Gelingt es jedoch, eine Firmware zu manipulieren, lassen sich auch Funktionen wie Secure Boot aushebeln. Auch Sicherheitsanwendungen haben in der Regel wenig Einblick in die Vorgänge auf Firmware-Ebene.