Glosario
Protección de DMA de kernel (Kernel DMA Protection)
Característica de Windows que usa la IOMMU para impedir el acceso directo a memoria de dispositivos Thunderbolt y PCIe externos hasta que se consideren confiables.
El acceso directo a memoria (DMA) permite que dispositivos como los periféricos Thunderbolt, USB4 o CFexpress lean y escriban en la memoria del sistema sin pasar por la CPU. Un dispositivo malicioso conectado a un portátil desatendido o bloqueado puede aprovecharlo para leer secretos, incluidas las claves de BitLocker, o para inyectar código. La protección de DMA de kernel, introducida en Windows 10 1803, usa la IOMMU del sistema (Intel VT-d o AMD-Vi) para bloquear el DMA de los dispositivos externos cuyos controladores no admiten la reasignación de DMA hasta que un usuario inicia sesión y desbloquea la pantalla. Debe ser compatible con el firmware y habilitarse en fábrica, por lo que no puede activarse más tarde por directiva.
Compruebe su estado en msinfo32, en «Protección de DMA de kernel» (Kernel DMA Protection). Cuando está activa, la opción "Enumeration policy for external devices incompatible with Kernel DMA Protection" (directiva de enumeración para dispositivos externos incompatibles) controla cómo se tratan los dispositivos no compatibles. En hardware antiguo que no la tenga, mitigue el riesgo de DMA con un PIN de BitLocker previo al arranque y deshabilitando Thunderbolt o la enumeración de nuevos dispositivos DMA mientras el equipo está bloqueado.
Consulte Seguridad basada en virtualización, HVCI y protección de DMA de kernel y BitLocker con TPM y PIN.