Загрузка как цепочка проверок
Чтобы серверу доверять, недостаточно однажды проверить его операционную систему: вредоносный код может закрепиться раньше — в прошивке, которая запускает оборудование и передаёт управление следующим компонентам. Поэтому проверка начинается с самого раннего этапа загрузки, ещё до запуска обычной операционной системы.
Titan служит аппаратной отправной точкой доверия. Он проверяет, соответствует ли прошивка ожидаемой криптографической подписи. Подпись — это цифровой способ подтвердить, что файл выпущен доверенным разработчиком и не был незаметно изменён. Затем проверенные компоненты могут проверять следующие звенья загрузки, выстраивая цепочку от аппаратного уровня к программному.
Почему сервер может не запуститься
Если проверка не проходит, система не должна просто принять подозрительную прошивку и продолжить загрузку. Сервер может остановиться на раннем этапе: это неприятнее, чем незаметно запустить изменённый код, но безопаснее. Важна не отдельная «плохая строка», а соответствие проверяемого образа доверенной версии и правилам проверки.
Такая схема не запрещает обновления. Новую прошивку можно установить, если она подписана доверенным ключом и проходит предусмотренные проверки. Иначе механизм защиты мешал бы обычному обслуживанию серверов. Смысл проверки — отличить разрешённое изменение от вмешательства, которое пытается выдать себя за штатный код.
Защита до появления операционной системы
Обычные средства безопасности запускаются уже после загрузки и потому не всегда способны надёжно обнаружить компрометацию, произошедшую раньше. Аппаратная проверка закрывает именно это окно: подозрительный код не получает возможности незаметно подготовить запуск системы под себя.
Это не делает сервер неуязвимым: проверки загрузки не заменяют защиту от ошибок в программах, сетевых атак или доступа злоумышленника к уже работающей машине. Но они усложняют особенно опасный сценарий — когда сервер начинает работу с подменённым основанием доверия. В дата-центре остановившийся сервер заметен; незаметно заражённый мог бы выполнять чужие команды с самого старта.
