Threadripper Pro: Lenovo sperrt Workstation-CPUs für andere Hersteller

Wer sich eine Lenovo-Workstation wie die P620 (Test) kauft, kann die darin befindlichen Threadripper Pro wie den 3995WX (Test) nicht in Systemen anderer Hersteller verwenden. Das hat STH von Lenovo bestätigt bekommen - wir selbst konnten das nicht überprüfen, da uns zum Testzeitpunkt kein WRX80-Board eines anderen Anbieters vorlag.

Das Vendor-Lock ist eine Sicherheitsfunktion des in den CPUs integrierten PSP (Platform Security Processor). Partner können bei den Epyc für Server und den Threadripper Pro für Workstations eine als PSB (Platform Secure Boot) bezeichnete Funktion aktivieren, die als Mitigation für Advanced Persistent Threats der Firmware dient.

Ein PSP, sie alle zu binden

So wird eine ununterbrochene Sicherheitskette (Root of Trust) vom PSP in der CPU über das Bios bis hin zum per UEFI-Secure-Boot zum startenden Betriebssystem-Bootloader hergestellt. Hierfür hinterlegen die Hersteller ihre selbst erzeugten und signierten Schlüssel im Prozessor, welcher anschließend angewiesen wird, interne Sicherungen unwiderruflich zu sprengen (OTP, fuse-blowing).

Wenn dies geschehen ist, startet die CPU nur noch in Mainboards des jeweiligen Herstellers, weil die passenden kryptographischen Schlüssel vorhanden sein müssen. Ergo funktioniert der Epyc-Chip nicht mehr in der Platine eines anderen Anbieters, womit die gewünschte Funktion des PSB erfüllt wird.

Für den Gebrauchtmarkt ist das eine schwerwiegende Entscheidung, vor allem, da vor dem Kauf und Einbau ohne entsprechende Hinweise nicht erkennbar ist, ob PSB aktiviert wurde. Für die Zukunft wäre eine Lösung seitens AMD und der Partner wünschenswert, denn die grundsätzliche Idee des PSB ist gut und wird auch nachgefragt. Neben Lenovo nutzt auch Dell EMC einen Vendor-Lock, wenngleich nach aktuellem Stand einzig für Epyc-CPUs. Von HPE wurde der Einsatz des PSB hingegen bisher verneint.

Herausgefunden hatte STH den Vendor-Lock, nachdem eine Person im hauseigenen Forum diesen gemeldet hatte: Die CPUs aus sechs gekauften Lenovo P620 waren per Platform Security Processor an die Workstation gebunden.