Je moet je dieper inlezen in de nieuwe security welke optionieel in Windows 10 aangeboden word en verplicht gaat worden in Windows 11 maar nog niet default aanstaat omdat de gesupporteerde CPU's er tevens moeite mee hebben.
De TPM is omdat MS de private keys en certificates keys weg wil uit het OS, immers als ze in het OS zitten staan ze ergens op de disk. Dat gaat van opgeslagen wachtwoorden in browsers tot Windows credentials tot keys voor applicaties tot keys voor Bitlocker. Dat wilt dus ook zeggen dat applicaties dit gaan moeten supporteren. De tegenhanger op ARM is TrustZone en SecureZone bij Apple, Windows loopt hier eigenlijk hopeloos achter om legacy support te blijven geven.
De Secure boot is om te verhinderen dat een rootkit zich kan nestelen in het boot process, immers gezien je nu alle private keys in de TPM hebt zitten is het cruciaal dat er geen ongewenste gasten zich nestelen tussen de TPM en het OS, het OS moet de hardware kunnen vertrouwen.
De CPU eis heeft dan weer te maken met virtualisatie onder een optie memory integrity welke default nog steeds uit staat. Een andere naam hiervoor is Hypervisor-protected code Integrity. Het is een uitbreiding op core isolation welke draait rond het afschermen van de kernel door stukken van de kernel virtueel te draaien. Memory integrity gaat daar verder in en zorgt ervoor dat third party kernel drivers geen echte kernel toegang meer hebben. (en zeg maar meteen dag tegen anti cheating kernel drivers zoals bij Call of Duty Warzone)
Probleem is de CPU moet dat soort virtualisatie ondersteunen, bijkomstig probleem, zelfs al ondersteund de CPU het, met name de optie memory integrity durft wel eens een serieuze performance impact te hebben. Uit eigen praktijk testen met een Epyc Zen 2 platform, 40%! performance drop op specifieke storage oplossingen, dat is ook meteen de reden dat het default nog uit staat, zelfs de ondersteunde en volledig server gerichte CPU's hebben moeite om dit volledig te doen zonder een performance impact.
Dat is opmerkelijk gezien MS daar het volgende over zegt, "Starting with Windows 11, new installations on compatible systems have memory integrity turned on by default. This is changing the default state of the feature in Windows, though device manufacturers and end users have the ultimate control of whether the feature is enabled."
Er is overigens nog een security eis die gaat over het beveiligen van de SMM ofwel System management mode. Dat is een low level mode waarin de CPU zijn normale operaties on hold zet om andere taken uit te voeren, typerend power management van de CPU, de CPU uitschakelen mocht die te warm zijn maar evengoed communiceren met de TPM. Als malware zich kan nestelen in de SMM kan je daar vanuit het OS niets aan doen want het OS staat on hold als er iets uitgevoerd word in die modus. Echter MS heeft dat niet opgenomen als eis omdat Intel het maar mondjes maat ondersteund in het vPro platform en bij AMD is het eenvoudig, het bestaat er nog niet.