Trusted Platform Module

В вычислительной технике, Trusted Platform Module (TPM) - название спецификации, описывающей криптопроцессор , в котором хранятся криптографические ключи для защиты информации, а также обобщенное наименование реализаций указанной спецификации, например в виде «чипа TPM» или «устройства безопасности TPM» (Dell). Раньше назывался «чипом Фрица» (бывший сенатор Эрнест «Фриц» Холлингс известен своей горячей поддержкой системы защиты авторских прав на цифровую информацию, DRM). Спецификация TPM разработана Trusted Computing Group (англ.). Текущая версия спецификации TPM - 1.2 ревизия 116, издание 3 марта 2011.

Краткий обзор

Trusted Platform Module (TPM), криптопроцессор, обеспечивает средства безопасного создания ключей шифрования, способных ограничить использование ключей (как для подписи так и для шифрования/дешифрования), с той же степенью неповторяемости, как и генератор случайных чисел . Также этот модуль включает следующие возможности: удалённую аттестацию, привязку, и надёжное защищённое хранение. Удалённая аттестация создаёт связь аппаратных средств, загрузки системы, и конфигурации хоста (ОС компьютера), разрешая третьему лицу (вроде цифрового магазина музыки) проверять, чтобы программное обеспечение, или музыка, загруженная из магазина, не были изменены или скопированы пользователем (см. ТСЗАП). Криптопроцессор шифрует данные таким способом, что они могут быть расшифрованы только на компьютере, где были зашифрованы, под управлением того же самого программного обеспечения. Привязка шифрует данные, используя ключ подтверждения TPM - уникальный ключ RSA , записанный в чип в процессе его производства, или другой ключ, которому доверяют.

Модуль TPM может использоваться, чтобы подтвердить подлинность аппаратных средств. Так как каждый чип TPM уникален для специфического устройства, это делает возможным однозначное установление подлинности платформы. Например, чтобы проверить, что система, к которой осуществляется доступ - ожидаемая система.

Архитектура TPM

В архитектуре чипа реализованы следующие защитные алгоритмы:

• защищённое управление памятью,
• шифрование шины и данных,
• активное экранирование.

Активное экранирование позволяет чипу детектировать электрическое тестирование и, в случае необходимости, блокировать чип. Кроме того, при изготовлении TPM используются и нестандартные технологические шаги, такие как запутывание топологии слоёв ИС. Эти меры значительно усложняют взлом чипа, увеличивают стоимость взлома, что ведёт к уменьшению потенциальных нарушителей.

Ввод/Вывод (англ. I/O)

Этот компонент управляет потоком информации по шине . Направляет сообщения к соответствующим компонентам. I/O компонент вводит в действие политику доступа, связанную с функциями TPM.

Криптографический процессор

Осуществляет криптографические операции внутри TPM. Эти операции включают в себя:

• Генерация асимметричных ключей (RSA);
• Асимметричное шифрование/расшифрование(RSA);
• Хэширование (SHA-1);
• Генерация случайных чисел.

TPM использует эти возможности для генерации случайных последовательностей, генерации асимметричных ключей, цифровой подписи и конфиденциальности хранимых данных. Также TPM поддерживает симметричное шифрование для внутренних нужд. Все хранимые ключи по силе должны соответствовать ключу RSA длиной 2048 бит.

Энергонезависимая память (англ. Non-Volatile Storage)

Используется для хранения ключа подтверждения, корневого ключа (англ. Storage Root Key, SRK), авторизационных данных, различных флагов.

Ключ подтверждения (англ. Endorsement Key, EK)

Генератор ключей RSA (англ. RSA Key Generator)

Создаёт пары ключей RSA. TCG не накладывает минимальных требований ко времени генерации ключей.

Устройство RSA (англ. RSA Engine)

Используется для цифровых подписей и шифрования. Нет ограничений на реализацию алгоритма RSA. Производители могут использовать китайскую теорему об остатках или любой другой метод. Минимально рекомендуемая длина ключа - 2048 бит. Значение открытой экспоненты должно быть .

Доверенная платформа (англ. The trusted Platform)

В системах TCG корни доверия (roots of trust) - компоненты, которым нужно доверять. Полный набор корней доверия имеет минимальную функциональность, необходимую для описания платформы, что влияет на доверенность этой платформе. Есть три корня доверия: корень доверия для измерений (RTM), корень доверия для хранения (RTS) и корень доверия для сообщений (RTR). RTM - вычислительный механизм, который производит надёжные измерения целостности платформы. RTS - вычислительный механизм, способный хранить хэши значений целостности. RTR - механизм, который надёжно сообщает о хранимой в RTS информации. Данные измерений описывают свойства и характеристики измеряемых компонентов. Хэши этих измерений - «снимок» состояния компьютера. Их хранение осуществляется функциональностью RTS и RTR. Сравнивая хэш измеренных значений с хэшом доверенного состояния платформы можно говорить о целостности системы.

Возможные применения

Аутентификация

TPM может рассматриваться в качестве токена (Security token) аутентификации следующего поколения. Криптопроцессор поддерживает аутентификацию и пользователя, и компьютера, обеспечивая доступ к сети только авторизованным пользователям и компьютерам. Это может использоваться, например, при защите электронной почты, основанной на шифровании или подписывании при помощи цифровых сертификатов , привязанных к TPM. Также отказ от паролей и использование TPM позволяют создать более сильные модели аутентификации для проводного, беспроводного и VPN доступа.

Защита данных от кражи

Это основное назначение «защищённого контейнера». Самошифрующиеся устройства, реализованные на основе спецификаций Trusted Computing Group, делают доступными встроенное шифрование и контроль доступа к данным. Такие устройства обеспечивают полное шифрование диска, защищая данные при потере или краже компьютера.

Преимущества:

• Улучшение производительности

Аппаратное шифрование позволяет оперировать со всем диапазоном данных без потерь производительности.

• Усиление безопасности

Шифрование всегда включено. Кроме того, ключи генерируются внутри устройства и никогда не покидают его.

• Низкие издержки использования

Не требуются модификации операционной системы, приложений и т. д. Для шифрования не используются ресурсы центрального процессора.

Большие перспективы имеет связка TPM+Bitlocker .Такое решение позволяет прозрачно от ПО шифровать весь диск.

Управление доступом к сети (NAC)

TPM может подтверждать подлинность компьютера и даже его работоспособность ещё до получения доступа к сети и, если необходимо, помещать компьютер в карантин.

Защита ПО от изменения

Сертификация программного кода обеспечит защиту игр от читерства , а чувствительные программы наподобие банковских и почтовых клиентов - от намеренной модификации. Сразу же будет пресечено добавление «троянского коня » в инсталлятор свежей версии мессенджера .

Защита от копирования

Защита от копирования основана на такой цепочке: программа имеет сертификат, обеспечивающий ей (и только ей) доступ к ключу расшифровки (который также хранится в TPM’е). Это даёт защиту от копирования, которую невозможно обойти программными средствами.

Реализация

Производители

Уже более 300"000"000 компьютеров были оснащены чипом TPM. В будущем TPM может устанавливаться на такие устройства, как мобильные телефоны. Микроконтроллеры TPM производятся следующими компаниями:

• Sinosun,
• Nuvoton,

Критика

Trusted Platform Module критикуется и за название (доверие - англ. trust - всегда обоюдное, в то время как пользователю-то разработчики TPM и не доверяют), так и за ущемления свободы, связанные с ним. За эти ущемления устройство часто называют Treacherous computing («вероломные вычисления»).

Потеря «владения» компьютером

Владелец компьютера больше не может делать с ним всё, что угодно, передавая часть прав производителям программного обеспечения. В частности, TPM может мешать (из-за ошибок в ПО или намеренного решения разработчиков):

• переносить данные на другой компьютер;
• свободно выбирать программное обеспечение для своего компьютера;
• обрабатывать имеющиеся данные любыми доступными программами.

Потеря анонимности

Достаточно вспомнить споры по поводу идентификационного номера процессора Pentium III , чтобы понять, к чему может привести удалённо читаемый и неизменяемый идентификатор компьютера.

Подавление конкурентов

Программа, ставшая лидером отрасли (как AutoCAD , Microsoft Word или Adobe Photoshop) может установить шифрование на свои файлы, делая невозможным доступ к этим файлам посредством программ других производителей , создавая, таким образом, потенциальную угрозу свободной конкуренции на рынке прикладного ПО.

Поломка

При поломке TPM защищённые контейнеры оказываются недоступными, а данные в них - невосстановимыми. TPM практичен только если существует сложная система резервного копирования - естественно, для обеспечения секретности она должна иметь свои TPM’ы.

Взломы

На конференции по компьютерной безопасности Black Hat 2010 было объявлено о взломе чипа Infineon SLE66 CL PE, изготовленного по спецификации TPM. Данный чип используется в компьютерах, оборудовании спутниковой связи и игровых приставках. Для взлома использовался электронный микроскоп (стоимостью около $70000). Оболочка чипа была растворена кислотой, для перехвата команд были использованы мельчайшие иголки. Infineon утверждают, что они знали о возможности физического взлома чипа. Борчерт (Borchert), вице-президент компании, заверил, что дорогое оборудование и техническая сложность взлома не представляет опасности для подавляющего большинства пользователей чипов.

В данном пошаговом руководстве предоставляются необходимые инструкции по использованию служб доверенного платформенного модуля (Trusted Platform Module, TPM) в тестовой среде.

Что такое службы TPM?

Службы TPM представляют собой набор новых возможностей, имеющихся в ОС Microsoft ®Windows Vista™ и Windows Server® «Longhorn». Эти службы используются для управления модулем TPM, обеспечивающим безопасность вашего компьютера. Архитектура служб TPM создает основу для взаимодействия с аппаратными средствами защиты путем предоставления совместного доступа к модулю TPM на уровне приложений.

Что такое модуль TPM?

Доверенный платформенный модуль (TPM) – это микросхема, предназначенная для реализации основных функций, связанных с обеспечением безопасности, главным образом с использованием ключей шифрования. Модуль TPM обычно установлен на материнской плате настольного или переносного компьютера и осуществляет взаимодействие с остальными компонентами системы посредством системной шины.

Компьютеры, оснащенные модулем TPM, имеют возможность создавать криптографические ключи и зашифровывать их таким образом, что они могут быть расшифрованы только модулем TPM. Данный процесс, часто называемый «сокрытием» ключа («wrapping» key) или «привязкой» ключа («binding» key), помогает защитить ключ от раскрытия. В каждом модуле TPM есть главный скрытый ключ, называемый ключом корневого хранилища (Storage Root Key, SRK), который хранится в самом модуле TPM. Закрытая часть ключа, созданная в TPM, никогда не станет доступна любому другому компоненту системы, программному обеспечению, процессу или пользователю.

Компьютеры, оснащенные модулем TPM, также могут создавать ключи, которые будут не только зашифрованы, но и привязаны к определенной системной конфигурации. Такой тип ключа может быть расшифрован только в том случае, если характеристика платформы, на которой его пытаются расшифровать, совпадает с той, на которой этот ключ создавался. Данный процесс называется «запечатыванием» ключа в модуле TPM. Дешифрование его называется «распечатыванием» («unsealing»). Модуль TPM также может запечатывать и распечатывать данные, созданные вне модуля TPM. При использовании запечатанного ключа и такого программного обеспечения, как BitLocker™ Drive Encryption, Вы можете обеспечить блокировку данных до тех пор, пока они не будут перенесены на компьютер с подходящей аппаратной или программной конфигурацией.

При использовании модуля TPM закрытая часть пар ключей хранится вне памяти, доступ к которой имеет операционная система. Ключи могут быть запечатаны модулем TPM, при этом точное решение о том, является ли система надежной, будет принято до того, как ключи будут распечатаны и готовы к использованию. Поскольку модуль TPM для обработки инструкций использует собственное встроенное программное обеспечение и логические схемы, его работа не зависит от операционной системы. Благодаря этому обеспечивается его защита от возможных уязвимостей внешнего программного обеспечения.

Для кого предназначено данное руководство?

Данное руководство предназначено для:

• ИТ-специалистов, занимающихся планированием и анализом информационной инфраструктуры, оценивающих функциональные возможности продукта.
• Специалистов, осуществляющих раннее внедрение продукта.
• Архитекторов безопасности, ответственных за реализацию концепции trustworthy computing.

В этом руководстве

Требования для использования служб TPM

Мы рекомендуем Вам вначале выполнить в тестовой среде все шаги, описанные в данном руководстве. Данное руководство следует рассматривать как отдельно взятый документ. Его не следует рассматривать как всеобъемлющее руководство по развертыванию определенных возможностей Windows Vista или Windows Server «Longhorn» и пользоваться им, не прибегая к сопроводительной документации, представленной в разделе .

Подготовка тестовой среды для изучения работы служб TPM

Для изучения работы служб TPM необходима тестовая среда, которая состоит из компьютера, подключенного к изолированной сети через обычный концентратор или коммутатор второго уровня. Компьютер должен работать под управлением операционной системы Windows Vista и быть оснащен совместимым модулем TPM (версии 1.2), а также BIOS, соответствующей спецификации Trusted Computing Group (TCG). Рекомендуется также использовать портативный USB-накопитель. При настройке сети для тестовой среды следует использовать частный диапазон IP-адресов.

Основные сценарии использования служб TPM

В данном руководстве рассматриваются следующие сценарии использования служб TPM:

Примечание

Три сценария, представленные в данном руководстве, призваны помочь администратору в освоении возможностей, предоставляемых службами TPM в ОС Windows Vista. В данных сценариях содержится основная информация и описываются процедуры, необходимые для того, чтобы администраторы могли начать процесс конфигурирования и развертывания в своих сетях компьютеров, оснащенных модулями TPM. Информация, а также процедуры, необходимые для дополнительной или расширенной настройки служб TPM, не включены в данное руководство.

Сценарий 1. Инициализация модуля TPM

Данный сценарий подробно описывает процедуру инициализации модуля TPM в компьютере. Процесс инициализации включает в себя включение модуля TPM и назначение его владельца. Данный сценарий написан для локальных администраторов, ответственных за настройку компьютеров, оснащенных модулем TPM.

Несмотря на то, что в Windows Vista поддерживается удаленная инициализация модуля TPM, обычно для выполнения этой операции требуется личное присутствие администратора возле компьютера. Если компьютер поставлен с уже инициализированным модулем TPM, личное присутствие не требуется. Информация об удаленной инициализации, а также необходимые для этого процедуры не включены в данное руководство. Службы TPM задействуют WMI-класс, который позволяет выполнять описанные в данном разделе процедуры с использованием сценариев. Информация о написании сценариев для выполнения указанных задач также не включена в данное руководство.

Шаги по инициализации модуля TPM

Для инициализации модуля TPM, установленного в Вашем компьютере, необходимо выполнить следующие шаги:

Шаг 1. Инициализация модуля TPM

Чтобы модуль TPM мог обеспечивать защиту вашего компьютера, его необходимо вначале инициализировать. В этом разделе описывается процедура инициализации модуля TPM, установленного в компьютере.

Компьютеры, соответствующие требованиям ОС Windows Vista, оснащены встроенной в BIOS функциональной возможностью, упрощающей инициализацию модуля TPM посредством мастера инициализации TPM. При запуске мастера инициализации TPM Вы можете определить, был ли модуль TPM, которым оснащен компьютер, инициализирован, или нет.

Описанная ниже процедура проведет Вас по всем шагам инициализации модуля TPM с помощью мастера инициализации TPM.

Примечание
Для выполнения описанной ниже процедуры Вам необходимо войти в систему на компьютере, оснащенном модулем TPM, с правами администратора.

Для запуска мастера инициализации TPM и инициализации модуля TPM выполните следующие действия:

В меню Пуск выберите пункт Все программы , затем Стандартные , после чего Выполнить .

Введите tpm.msc в поле Открыть , после чего нажмите клавишу Enter .

Продолжить «Дополнительные источники информации»

Отобразится консоль Управление доверенным платформенным модулем (TPM) на локальном компьютере .

В меню Действие выберите команду Инициализировать TPM . При этом запустится мастер инициализации TPM.

Нажмите кнопку Перезагрузить компьютер , после чего следуйте указаниям на экране, которые будет выдавать BIOS.
Примечание. Сообщения, выводимые BIOS, а также необходимые действия пользователя могут отличаться в зависимости от производителя оборудования.

После перезагрузки на экране будет отображено уведомление, для ответа на которое требуется личное присутствие пользователя. Это гарантирует, что модуль TPM пытается инициализировать пользователь, а не вредоносное программное обеспечение.

Если отобразится диалоговое окно Контроль учетных записей пользователей , убедитесь в том, что предложенное действие соответствует тому, что Вы запросили, после чего нажмите кнопку Продолжить . Для получения дополнительной информации обратитесь к разделу «Дополнительные источники информации» , расположенному в конце данного документа.

Щелкните Автоматически подготовить модуль TPM для назначения владельца (рекомендуется) .

Шаг 2. Назначения владельца модуля TPM

Перед тем, как модуль TPM можно будет использовать для обеспечения безопасности вашего компьютера, необходимо назначить владельца этого модуля. При назначении владельца модуля TPM Вам необходимо указать пароль. Пароль является гарантией того, что только авторизованный владелец модуля TPM может получить к нему доступ и управлять им. Пароль также используется для отключения модуля TPM в том случае, если Вы больше не хотите его использовать, а также для очистки модуля TPM в случае, если компьютер подготавливается к утилизации.

Следующая процедура позволит Вам стать владельцем модуля TPM.

Описанные ниже шаги проведут Вас через процедуру назначения владельца модуля TPM с использованием мастера инициализации TPM.

Примечание

Для назначения владельца модуля TPM выполните следующие действия

Внимание. Не потеряйте Ваш пароль. В случае потери пароля Вы не сможете производить никаких административных изменений до тех пор, пока не очистите модуль TPM.

Сценарий 2. Выключение и очистка модуля TPM

В данном сценарии рассматриваются две распространенные задачи, с которыми придется столкнуться администраторам во время изменения конфигурации или утилизации компьютера, оснащенного модулем TPM. Этими задачами являются выключение модуля TPM и его очистка.

Выключение модуля TPM

Некоторые администраторы могут решить, что не на каждом компьютере в их сети, оснащенном модулем TPM, необходима дополнительная защита, которую обеспечивает этот модуль. В такой ситуации рекомендуется убедиться в том, что модули TPM на соответствующих компьютерах отключены. Представленная ниже процедура проведет Вас через весь процесс выключения модуля TPM.

Примечание
Для выключения модуля TPM личное присутствие администратора не требуется.

Для выполнения описанной ниже процедуры Вам необходимо войти в систему на компьютере, оснащенном модулем TPM, с правами локального администратора.

Для выключения модуля TPM выполните следующие действия

В меню Пуск выберите пункт Все программы , затем Стандартные , после чего Выполнить .

Введите tpm.msc в поле Открыть и нажмите клавишу Enter . Отобразится консоль

Если отобразится диалоговое окно Контроль учетных записей пользователей , убедитесь в том, что предложенное действие соответствует тому, что Вы запросили, после чего нажмите кнопку Продолжить . Для получения дополнительной информации обратитесь к разделу «Дополнительные источники информации» , расположенному в конце данного документа.

В меню Действия выберите команду Отключить TPM .

В диалоговом окне Выключите оборудование безопасности для доверенного платформенного модуля вы берите метод ввода пароля и выключения модуля TPM:

Если у Вас имеется съемный носитель, на который Вы ранее сохранили пароль владельца модуля TPM, вставьте его в считывающее устройство и нажмите . В диалоговом окне нажмите кнопку Обзор , Открыть , после чего нажмите кнопку .

Введите Ваш пароль (включая дефисы) и нажмите кнопку Отключить доверенный платформенный модуль .

Нет пароля владельца TPM и следуйте инструкциям, позволяющим выключить модуль TPM без ввода пароля.

Примечание. Для выключения модуля TPM без ввода пароля владельца TPM и выполнения ограниченного числа задач, связанных с администрированием, требуется личное присутствие администратора возле компьютера.

Состояние модуля TPM отображается в области Состояние консоли управления TPM.

Очистка модуля TPM

Очистка модуля TPM приводит к отмене права владения модулем TPM и отключению модуля TPM. Данное действие необходимо выполнять в том случае, если оснащенный модулем TPM компьютер необходимо утилизировать, или когда пароль владельца TPM утерян. Представленная ниже процедура проведет Вас через весь процесс очистки модуля TPM.

Примечание
Для очистки модуля TPM личное присутствие администратора не требуется.

Для выполнения описанной ниже процедуры Вам необходимо войти в систему на компьютере, оснащенном модулем TPM, с правами локального администратора.

Для очистки модуля TPM выполните следующие действия

В меню Пуск выберите пункт Все программы , затем Стандартные , после чего Выполнить .

Введите tpm.msc в поле Открыть и нажмите клавишу Enter . Отобразится консоль Управление доверенным платформенным модулем (TPM) на локальном компьютере.

Если отобразится диалоговое окно Контроль учетных записей пользователей , убедитесь в том, что предложенное действие соответствует тому, что Вы запросили, после чего нажмите кнопку Продолжить . Для получения дополнительной информации обратитесь к разделу «Дополнительные источники информации» , расположенному в конце данного документа.
Внимание. Очистка модуля TPM приведет к тому, что все его настройки вернутся к заводским, а сам модуль будет отключен. При этом Вы потеряете все созданные ключи, а также данные, которые были защищены этими ключами.

В меню Действия выберите команду Очистить TPM . Если модуль TPM отключен, выполните процедуру, описанную в разделе «Шаг 1. Инициализация модуля TPM», для повторной инициализации его перед очисткой.

В диалоговом окне Очистите оборудование безопасности для доверенного платформенного модуля выберите метод ввода пароля и очистки модуля TPM:

Если у Вас имеется съемный носитель, на который Вы ранее сохранили пароль владельца TPM, вставьте его в считывающее устройство и нажмите Имеется архивный файл с паролем владельца TPM . В диалоговом окне Выберите файл резервной копии с паролем владельца доверенного платформенного модуля нажмите кнопку Обзор, чтобы выбрать файл с расширением.tpm, расположенный на съемном носителе, затем нажмите кнопку Открыть , после чего нажмите .

В случае отсутствия съемного носителя с сохраненным паролем выберите Ввести вручную пароль владельца TPM . В появившемся диалоговом окне Введите свой пароль владельца доверенного платформенного модуля введите пароль (включая дефисы) и нажмите Очистить доверенный платформенный модуль .

Если Вы не знаете пароль владельца TPM, выберите Нет пароля владельца TPM и следуйте инструкциям, позволяющим очистить модуль TPM без ввода пароля.

Примечание. Для очистки модуля TPM и выполнения ограниченного числа задач, связанных с администрированием, без необходимости ввода пароля владельца TPM, требуется личное присутствие администратора возле компьютера.

Состояние модуля TPM отображается в поле Состояние консоли управления TPM.

Сценарий 3. Блокирование и разрешение использования команд TPM

Данный сценарий описывает процедуру блокирования и разрешения использования команд модуля TPM. Эту задачу локальные администраторы могут выполнять во время начальной конфигурации компьютера, оснащенного модулем TPM, или во время изменения его конфигурации. Командами модуля TPM можно управлять через дочерний узел консоли управления TPM, который называется Управление командами . Здесь администраторы могут просматривать команды, доступные для использования с модулем TPM. Они также могут блокировать и разрешать использование этих команд в пределах ограничений, накладываемых настройками групповой политики и настройками локального компьютера. Представленная ниже процедура проведет Вас через весь процесс блокирования и разрешения использования команд модуля TPM.

Примечание
Для выполнения описанной ниже процедуры Вам необходимо войти в систему на компьютере, оснащенном модулем TPM, с правами локального администратора.

Для блокирования и разрешения использования команд TPM выполните следующие действия

В меню Пуск выберите пункт Все программы , затем Стандартные , после чего Выполнить .

Если отобразится диалоговое окно Контроль учетных записей пользователей , убедитесь в том, что предложенное действие соответствует тому, что Вы запросили, после чего нажмите кнопку Продолжить . Для получения дополнительной информации обратитесь к разделу «Дополнительные источники информации» , расположенному в конце данного документа

Введите tpm.msc в поле Открыть , после чего нажмите клавишу Enter .

В дереве консоли разверните узел Управление командами . При этом отобразится список команд TPM.

Выберите из списка команду, которую Вы желаете заблокировать или разрешить использовать.

В меню Действия нажмите Заблокировать выбранную команду или Разрешить выполнение выбранной команды в зависимости от потребности .

Примечание. Локальные администраторы не могут разрешать использовать команды TPM, заблокированные с помощью групповой политики. Команды TPM, указанные по умолчанию в списке заблокированных консоли MMC, также нельзя будет разрешить до тех пор, пока в групповую политику не будут внесены соответствующие изменения, отменяющие действие списка блокировки, заданного по умолчанию.

Регистрация ошибок и отзывы

Поскольку службы TPM предоставляют новые возможности в ОС Windows Server "Longhorn" и Windows Vista, мы очень заинтересованы в получении ваших отзывов о работе с ними, о возможных проблемах, с которыми Вам пришлось столкнуться, а также о полезности имеющейся документации.

Когда Вы обнаруживаете ошибки, следуйте инструкциям, приведенным на веб-узле Microsoft Connect . Мы также заинтересованы в получении ваших предложений и отзывов общего характера относительно служб TPM.

Ваши отзывы и общие вопросы относительно служб TPM Вы можете направлять на следующий адрес электронной почты: mailto:[email protected]?subject=Windows Vista Beta 2 Trusted Platform Module Services Step by Step Guide .

Дополнительные источники информации

Указанные ниже источники предоставляют дополнительную информацию о службах TPM:

Для получения поддержки обратитесь на веб-узел Microsoft Connect .

Для получения доступа к группам новостей служб TPM следуйте указаниям, представленным на веб-узле Microsoft Connect .

Группа разработчиков программы шифрования дисков BitLocker поддерживает блог, расположенный на веб-узле Microsoft TechNet .

Поддержка в рамках специальной партнерской программы Technology Adoption Program

Если Вы являетесь бета-тестером и принимаете участие в специальной партнерской программе внедрения технологий Technology Adoption Program (TAP), Вы также можете обращаться за помощью к назначенному Вам представителю группы разработчиков корпорации Майкрософт.

Trusted Platform Modules (доверяемые платформенные модули) представляют собой небольшие чипы, служащие для защиты данных и уже несколько лет используемые в компьютерах, консолях, смартфонах, планшетах и ресиверах. В настоящее время чипами TPM оснащен приблизительно миллиард устройств, причем 600 миллионов из них - это офисные ПК.

С 2001 года сторонники «теории заговора» стали рассматривать чипы в качестве инструмента контроля, позволяющего якобы ограничивать права пользователя: теоретически TPM-чипы можно применять, например, чтобы ограничить нелегальное копирование фильмов и музыки.Однако за последние 12 лет не было ни одного подобного случая. Более того, Windows использует подобный модуль для безопасной загрузки и шифрования данных жесткого диска посредством BitLocker. Таким образом, TPM обеспечивает преимущество в борьбе с вредоносным ПО и хищением данных.

Несмотря на все это, спецификация версии 2.0 привлекла к себе немало внимания, ведь теперь TPM-чипы запущены «по умолчанию» (раньше пользователю нужно было активировать их самостоятельно). По всей видимости, в скором времени будет сложно найти в продаже устройства без TPM 2.0, так как компания Microsoft соответствующим образом изменила критерии сертификации для Windows. Начиная с 2015 года стандарт TPM 2.0 является обязательным для всех, в противном случае производитель аппаратного обеспечения не получит подтверждение о пройденной сертификации.

TPM-менеджер в окне Панели управления Windows отображает статус и версию чипа TPM

TPM-чип гарантирует безопасность ОС

Самым эффективным способом защиты системы, исключающим возможность проникновения хакеров, является использование аппаратного чипа TPM. Он представляет собой небольшой «компьютер в компьютере»: доверяемый модуль с собственным процессором, оперативной памятью, накопителем и интерфейсом ввода/вывода.

Главной задачей TPM является предоставление в распоряжение операционной системы гарантированно безопасных служб. Например, чипы TPM хранят криптоключи, использующиеся для шифрования данных на жестком диске. Кроме того, модуль подтверждает идентичность всей платформы и проверяет систему на возможные вмешательства хакеров в работу аппаратных средств. На практике TPM в тандеме с UEFI Secure Boot обеспечивает пользователю полностью защищенный и безопасный процесс запуска операционной системы.

Этап, на котором загружается ПО стороннего разработчика (антивирусный сканер), Microsoft обозначает как Measured Boot. Для драйвера ELAM (Early Launch Anti-Malware, ранний запуск антивредоносной программы) от разработчиков антивирусного ПО Microsoft предоставляет свою подпись. Если же она отсутствует, UEFI прерывает процесс загрузки. Ядро проверяет антивирусную защиту при запуске. Если ELAM-драйвер проходит проверку, ядро признает действительными и остальные драйверы. Это исключает возможность того, что руткиты окажут влияние на процесс загрузки Windows и «воспользуются ситуацией», когда антивирусный сканер еще не активен.

Предыдущая спецификация TPM 1.2 использовала устаревшую технологию с внедренными в аппаратной части алгоритмами шифрования RSA-2048 и SHA-1 (последний считается как раз небезопасным). Вместо использования строго определенных алгоритмов в чипах TPM в версии 2.0 можно предусмотреть симметричные и асимметричные методы шифрования. Например, в настоящий момент доступны SHA-2, HMAC, ECC и AES. К тому же в TPM 2.0 путем обновления можно добавить поддержку новых криптоалгоритмов.

TPM-чипы генерируют ключи для BitLocker - системы шифрования в Windows

Подход к использованию ключей также изменился. Если раньше в качестве фундамента для всех предлагаемых служб задействовались два фиксированных криптографических ключа, то TPM 2.0 работает с очень большими случайными числами - так называемыми начальными. При этом нужные ключи генерируются посредством математических функций с использованием начальных чисел в качестве исходных данных. TPM 2.0 предоставляет также возможность генерации ключей только для однократного использования.

Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.

TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.

Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.
Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.

(adsbygoogle = window.adsbygoogle || ).push({});

В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup. Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign. Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.
Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).

Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).
Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.
При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации. Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.

Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).

Как работает TPM

Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).
В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.

Настройка TPM в Windows

В следующем руководстве описывается использование служб TPM в Windows Vista:
http://www.oszone.net/display.php?id=4903.
В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:
http://www.securitylab.ru/contest/300318.php; http://www.oszone.net/4934/VistaBitLocker.

Готовые системы с поддержкой TPM

Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).
Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).

Зачем нужна TPM

Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.
Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.
Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.
В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.

Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.
Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.

Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.

Что такое TPM

TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.

Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.

Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.

В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup . Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign . Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.

Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).

Задачи TPM

Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).

Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.

При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации.

Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.

«Железо» и математика

Логично предположить, что сам чип TPM на материнской плате ничего не решает. Нужна поддержка со стороны остального «железа» и математики – программного обеспечения.

Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).

Рис. П37. Жесткий диск Seagate Momentus 5400 FDE.2

Что касается ОС, технология TPM поддерживается большинством современных операционных систем – Windows Vista, Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux (начиная с версии 9.2) и Enterprise Linux (начиная с версии 3 update 3).

Как работает TPM

Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).

В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.

Настройка TPM в Windows

В следующем руководстве описывается использование служб TPM в Windows Vista:

В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:

Рис. П38. Компоненты BitLocker
Рис. П39. Шифрование BitLocker выключено: модуль TPM не установлен или выключен (в BIOS)
Рис. П40. Схема взаимодействия Full Volume Encryption и TPM в Windows

Готовые системы с поддержкой TPM

Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).

Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).

Рис. П41. Материнская плата ASUS M2N32-SLI Premium (с поддержкой TPM)

Зачем нужна TPM

Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.

Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.

Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.

В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.

TPM не панацея

Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.

Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.

Примечания:

Прежде чем приступить к чтению этой книги, стоит поговорить о единицах измерения информации. Базовая единица измерения информации – это один бит. Бит может содержать одно из двух значений – или 0, или 1. Восемь битов формируют байт. Этого количества битов достаточно, чтобы с помощью ноликов и единичек закодировать 1 символ. То есть в одном байте помещается 1 символ информации – буква, цифра и т. д. 1024 байта – это один килобайт (Кб), а 1024 килобайта – это 1 мегабайт (Мб). 1024 мегабайта – это 1 гигабайт (Гб), а 1024 гигабайта – это 1 терабайт (Тб).

Обратите внимание: именно 1024, а не 1000. Почему было выбрано значение 1024? Потому что в компьютере используется двоичная система счисления (есть только 2 значения – 0 и 1), 2 в 10-й степени – это и есть 1024.

Не всегда, но часто большая буква «Б» при указании единицы измерения информации означает «байт», а маленькая – «бит». Например, 528 Мб – это 528 мегабит, если перевести эту величину в мегабайты (просто разделите на 8), то получится 66 мегабайтов (66 МБ).

2,5-дюймовый жесткий диск Momentus 5400 FDE.2 (full disk encryption) от Seagate поставляется в составе ноутбуков ASI C8015+ (стоимость ноутбука примерно 2100 долларов). Винчестер обладает встроенной системой динамического шифрования с аппаратным ускорением и поддержкой TPM. Кроме того, в состав ноутбука включена система считывания отпечатков пальцев, что делает его примерно на 20 % дороже обычного ноутбука с такой же конфигурацией. Размер жесткого диска Momentus может быть 80, 100, 120 и 160 Гб. Используется интерфейс SATA 3 Гбит/с.

Главная особенность Momentus FDE.2 заключается в шифровании/дешифровании записываемой и считываемой информации с помощью алгоритма AES со 128-битным ключом на уровне микропрограммного обеспечения (firmware) DriveTrust. Шифрование данных производится абсолютно прозрачно, то есть незаметно для пользователя. В открытом (незашифрованном) виде информация представляется только в приложениях. На жестком диске данные хранятся только в зашифрованном виде.

Обычно процесс программного шифрования существенно снижает производительность системы (кто работал с PGPDisk, тот понимает, о чем идет речь). Но поскольку в случае с Momentus FDE.2 шифрование осуществляется на аппаратном уровне, то это увеличивает загрузку центрального процессора всего на несколько процентов.

При загрузке TPM-системы пользователь должен ввести свой пароль. Пароль нужен не только для продолжения загрузки, но и для дешифрования данных. Раньше тоже можно было установить пароль в SETUP, без которого невозможна загрузка операционной системы. Но ведь можно было снять жесткий диск и подключить его к другому компьютеру. Если не применялись какие-либо криптографические средства, то считывание информации с жесткого диска не представляло проблем. В случае с TPM, даже если вы снимете HDD и подключите его к другому компьютеру, вы не сможете прочитать информацию, поскольку она зашифрована, а вы не знаете пароля для ее расшифровки.

А что делать, если пользователь забыл пароль? Тогда можно применить главный пароль. А если забыт главный пароль (или вы его попросту не знаете), тогда…

Кроме того, предусмотрена функция crypto-erase, которая предназначена для уничтожения всех данных с жесткого диска. Такая операция необходима при списании винчестера или при передаче его другому пользователю.