Glossar
Kernel-DMA-Schutz
Windows-Funktion, die per IOMMU externe Thunderbolt- und PCIe-Geräte vom direkten Speicherzugriff ausschließt, bis diese als vertrauenswürdig gelten.
Direkter Speicherzugriff (Direct Memory Access, DMA) erlaubt Geräten wie Thunderbolt-, USB4- oder CFexpress-Peripherie, den Arbeitsspeicher ohne Beteiligung der CPU zu lesen und zu beschreiben. Ein bösartiges Gerät, das an einen unbeaufsichtigten oder gesperrten Laptop angeschlossen wird, kann darüber Geheimnisse wie BitLocker-Schlüssel auslesen oder Code einschleusen. Der Kernel-DMA-Schutz (Kernel DMA Protection), eingeführt mit Windows 10 1803, nutzt die IOMMU des Systems (Intel VT-d oder AMD-Vi), um DMA von externen Geräten, deren Treiber kein DMA-Remapping unterstützen, zu blockieren, bis sich ein Benutzer anmeldet und den Bildschirm entsperrt. Die Funktion muss von der Firmware unterstützt und ab Werk aktiviert sein; per Richtlinie lässt sie sich nachträglich nicht einschalten.
Den Status zeigt msinfo32 unter „Kernel DMA Protection“. Ist sie aktiv, steuert die Einstellung „Enumeration policy for external devices incompatible with Kernel DMA Protection“ (Enumerationsrichtlinie für externe, inkompatible Geräte), wie nicht unterstützte Geräte behandelt werden. Auf älterer Hardware ohne diese Funktion verringern Sie das DMA-Risiko mit einer BitLocker-Pre-Boot-PIN und indem Sie Thunderbolt oder die Enumeration neuer DMA-Geräte im gesperrten Zustand deaktivieren.
Siehe Virtualisierungsbasierte Sicherheit, HVCI und Kernel-DMA-Schutz und BitLocker mit TPM und PIN.