Dit zijn de veiligste Windows 10-systemen volgens Microsoft
Microsoft heeft een lijst standaarden gepubliceerd voor “uiterst veilige” Windows 10-systemen. Het betreft vereisten voor zowel hardware als firmware en is van toepassing op apparaten die draaien op de nieuwste Windows 10 Fall Creators Update.
Hardware
Microsoft adviseert dat je een systeem gebruikt met een 7e generatie Intel- of AMD-processor aan boord. Op Twitter verduidelijkt Dave Weston, Windows Device Security Manager bij Microsoft, deze vereiste. De nieuwe generatie chips is namelijk uitgerust met Mode-Based Execution Control (MBEC), wat belangrijk is bij virtualisatie voor verbeterde kernel security.
[related_article id=”219696″]Daarbij aansluitend benadrukt Microsoft het belang van de 64-bit processorarchitectuur. Dat is een vereiste om de Windows-hypervisor te kunnen gebruiken voor Virtualization-Based Security (VBS).
Het mag ondertussen duidelijk zijn dat virtualisatie een belangrijke component is voor een zo veilig mogelijk Windows-systeem. De processor moet daarom ook ondersteuning bieden voor Input-Output Memory Management Unit (IOMMU) apparaatvirtualisatie en Second Layer Address Translation (SLAT).
Ook een Trusted Platform Module (versie 2.0) wordt geadviseerd. Dat is een hardwaremodule voor het uitvoeren van encryptieprocessen, zoals bijvoorbeeld het versleutelen van de harde schijf met Windows Bitlocker. De module zit soms in de chipset geïntegreerd, maar kan ook los worden gekocht en geïnstalleerd op een compatibel moederbord.
Ten slotte raadt Microsoft aan dat je kiest voor een apparaat met bootverificatie, zoals Intel Boot Guard of AMD Hardware Verified Boot, en een minimum van 8 GB RAM.
Firmware
Aan firmwarezijde zijn onder meer een aantal eisen voor de Unified Extension Firmware Interface (UEFI). De firmware moet op UEFI versie 2.4 of hoger zitten en UEFI Class 2 of Class 3 implementeren. Verder moet ook UEFI Secure Boot standaard ingeschakeld zijn en moet Secure MOR revision 2 zijn geïmplementeerd.
Alle meegeleverde drivers moeten Hypervisor-based Code Integrity (HVCI) compliant zijn en het systeem moet ten slotte ook de Windows UEFI Firmware Capsule Update specificatie ondersteunen.
Strenge eisen?
Hoe moeilijk is het nu om een apparaat te vinden dat aan al deze eisen voldoet? Dat valt gelukkig nogal mee als je een nieuwe machine koopt. De grootste uitdaging zal zijn om een toestel met Trusted Platform Module te vinden. Die module vind je makkelijker in zakelijke computers terug dan in apparaten voor consumenten.
Voor 700 à 800 euro heb je een laptop die aan alle veiligheidseisen voldoet, zoals de HP ProBook 450 G4 (799 euro bij Coolblue). Laat je de TPM achterwege, dan zakt de prijs naar 500 à 600 euro, en kan je bijvoorbeeld voor de Lenovo IdeaPad 320-14IKBN kiezen (599 euro bij Coolblue).
Bouw je zelf een desktopsysteem, kies dan voor een moederbord dat TPM-compatibel is en voeg de module zelf toe.
