Neue DMA-Geräte deaktivieren, wenn dieser Computer gesperrt wird
Der DWORD-Wert aktiviert mit den Wertdaten `1` eine BitLocker-Gruppenrichtlinie, die den direkten Speicherzugriff (Direct Memory Access, DMA) über hot-plug-fähige PCI-Ports einschränkt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\FVE\DisableExternalDMAUnderLock
Der DWORD-Wert aktiviert mit den Wertdaten 1 eine BitLocker-Gruppenrichtlinie, die den direkten Speicherzugriff (Direct Memory Access, DMA) über hot-plug-fähige PCI-Ports einschränkt. Bis zur Anmeldung eines Benutzers blockiert Windows DMA über diese Ports und verzögert die Auflistung neu angeschlossener PCI-Geräte.
Wird der Computer später gesperrt, blockiert Windows DMA an hot-plug-fähigen Thunderbolt-PCI-Ports, an denen noch kein Gerät aufgelistet wurde. Neu angeschlossene Geräte werden erst nach der nächsten Benutzeranmeldung beziehungsweise Entsperrung aufgelistet.
Geräte, die Windows bereits im entsperrten Zustand aufgelistet hat, funktionieren weiterhin, bis sie getrennt werden oder das System neu gestartet beziehungsweise in den Ruhezustand versetzt wird.
Hinweise
Sicherheit
Die Richtlinie erschwert Drive-by-DMA-Angriffe über externe DMA-fähige PCI-Geräte. Ohne eine solche Schutzmaßnahme kann ein physisch angeschlossenes Gerät unter Umständen direkt auf den Arbeitsspeicher zugreifen, sensible Daten auslesen oder Speicherinhalte verändern, ohne dafür den Prozessor oder die normale Windows-Zugriffsprüfung zu verwenden.
Die Wirkung setzt voraus, dass BitLocker oder die Windows-Geräteverschlüsselung aktiviert ist. Die Richtlinie verschlüsselt selbst keine Laufwerke und schützt nicht vor anderen Zugriffswegen auf Daten.
Mögliche Nebenwirkungen
Die Richtlinie ist auf ein korrektes Zusammenspiel von Systemfirmware und Gerätetreibern angewiesen. Setzt die Firmware das Bus-Master-Enable-Bit für interne Geräte nicht richtig oder verarbeitet ein Treiber die Sperrung dieses Bits nicht korrekt, können interne oder externe Geräte vor der Anmeldung oder auch danach ausfallen. Microsoft nennt unter anderem Netzwerkadapter, Audiogeräte, Zeigegeräte und Touchpads als möglicherweise betroffene Geräteklassen.
Hinweise
Die Richtlinie ist nicht mit dem Kernel-DMA-Schutz kompatibel. Auf Systemen, die den Kernel-DMA-Schutz unterstützen, stellt dieser nach Angaben von Microsoft die stärkere und zugleich differenziertere Schutzmaßnahme dar. Er verwendet die IOMMU und berücksichtigt, ob der jeweilige Gerätetreiber DMA-Neuzuordnung unterstützt.
Microsoft-Dokumentation
Microsoft Learn: Geräte funktionieren nicht vor der Anmeldung
Microsoft Learn: Kernel-DMA-Schutz