Otros nombres de opciones idénticos: Chip de seguridad, ejecutar comando TPM.

Las opciones de BIOS diseñadas para proteger la información de la computadora incluyen la opción Módulo de plataforma confiable. Le permite habilitar el soporte para el complejo de hardware y software de seguridad de la información del mismo nombre. El usuario puede seleccionar solo dos opciones para esta opción: Activado y Desactivado.

Difícilmente habrá un usuario que no se preocupe en absoluto por el problema de proteger la información confidencial que se encuentra en su ordenador. En el ámbito comercial e industrial se gastan enormes cantidades de dinero para solucionar este problema, pero hasta el momento no se ha encontrado ningún medio eficaz y económico para proteger los datos informáticos.

El sistema Trusted Platform Module es un intento de abordar la necesidad urgente de dicha tecnología. Aunque no es una panacea, puede aumentar significativamente el nivel de protección de la información tanto a nivel de redes informáticas como de ordenadores individuales y otros dispositivos que contienen datos importantes.

Trusted Platform Module (TPM, módulo de plataforma confiable) es un sistema de software y hardware para proteger la información. El complejo se puede instalar en cualquier ordenador e incluso en dispositivos de almacenamiento individuales y dispositivos móviles como teléfonos inteligentes. La mayoría de las veces, las computadoras portátiles están equipadas con un complejo TPM. Lo importante es que los sistemas informáticos equipados con módulos TPM de hardware no cuestan mucho más que los sistemas con características similares que no están equipados con TPM.

Las principales propiedades de datos que la tecnología TPM está diseñada para proporcionar:

• Proteccion
• Integridad
• Seguridad
• Paternidad literaria

El estándar TPM fue desarrollado por varios fabricantes de software y hardware de renombre, incluidos Microsoft, HP, Intel e IBM. Posteriormente se sumaron a sus filas empresas como Sun, AMD, Sony y Verisign.

El uso de TPM le permite evitar la piratería informática y la fuga de información importante, la infección con troyanos y virus, mantener la integridad del software con licencia y proteger el tráfico de la red. El sistema TPM puede garantizar la protección del software contra modificaciones, así como la protección de los datos contra copias.

Las unidades que admiten el sistema TPM son capaces de cifrar datos basados ​​en hardware, lo que garantiza la protección de la información confidencial. A la hora de autorizar a un usuario en el sistema TPM, se pueden utilizar varios métodos, incluidos los biométricos, como el escaneo de huellas dactilares.

La especificación TPM permite el uso de la implementación de la tecnología tanto en software como en hardware-software. En la práctica, en la mayoría de los casos se utiliza la segunda opción, ya que proporciona el mayor grado de protección.

La base del sistema TPM es un chip especial integrado en la placa base. Este chip, a menudo llamado procesador criptográfico o simplemente criptoprocesador, contiene el software y el hardware necesarios para proteger la información. Su finalidad es almacenar y generar claves, realizar cifrado asimétrico y hash de datos. Hoy en día, muchos fabricantes fabrican chips de criptoprocesadores y los instalan en millones de computadoras.

Cuando arranca una computadora con el sistema TPM instalado, el criptoprocesador verifica la identidad de todos los componentes principales de la computadora, tanto hardware como software, como el BIOS y el sistema operativo. Si dicha verificación tiene éxito, se considera que la computadora está funcionando en el llamado estado verificado. En este estado, se puede ejecutar cualquier aplicación, incluidas aquellas que requieren protección y confidencialidad de datos, y también se puede acceder a datos cifrados.

A nivel de software, TPM requiere soporte tecnológico del sistema operativo, así como un software especial. La tecnología Trusted Platform Module es compatible con la mayoría de los sistemas operativos Windows modernos, comenzando con Windows XP SP2, así como con las versiones modernas de Linux.

La opción Trusted Platform Module le permite habilitar la compatibilidad con esta tecnología en el BIOS. Sólo está disponible si la placa base de la computadora está equipada con un chip criptoprocesador TPM. Seleccionar Activado le permite al usuario habilitar este chip y Desactivado le permite al usuario desactivarlo.

¿Debería incluirlo?

La respuesta a esta pregunta depende de si tiene el Módulo de plataforma segura instalado en su computadora. En caso afirmativo, entonces el sistema debe estar encendido. Sin embargo, hay que recordar que el uso del sistema no es una panacea y no siempre puede sustituir el uso de antivirus, cortafuegos y otras herramientas de seguridad informática tradicionales.

Los fabricantes de BIOS ofrecen opciones al usuario y siempre puede apagar un sistema determinado si no necesita su ayuda. Por supuesto, si su computadora está equipada con un sistema operativo antiguo que no es compatible con TPM (Windows XP SP1 y sistemas operativos anteriores), habilitarlo tampoco tiene sentido.

A los filósofos del pasado les encantaba hablar de libertad. "Aquellos que están dispuestos a renunciar a su libertad para obtener una protección de corta duración contra el peligro no merecen ni libertad ni seguridad", argumentó Benjamín Franklin. “Una persona no puede ser ni esclava ni libre. O es libre o no lo es en absoluto”, afirmó categóricamente Jean-Paul Sartre. “La libertad es una necesidad consciente”, citaron los marxistas a Benedict Spinoza.

¿Qué es la libertad? ¿Es importante que una persona sea libre? ¿Está dispuesta a cambiar libertad por seguridad? Una razón que el público en general no notó me impulsó a pensar en este tema. Este verano, el Comité Técnico del JTC1 votó a favor de aprobar, de forma simplificada prevista por el procedimiento PAS, una nueva versión de la norma ISO/IEC 11889:2015, que fue presentada por el consorcio Trusted Computing Group (TCG), fundado por las empresas estadounidenses AMD, Cisco, HP, IBM, Intel, Microsoft y Wave Systems. Y el 29 de junio en Portland, Oregon, TCG anunció que su estándar Trusted Platform Module (TPM) 2.0 finalmente fue aprobado como internacional.

Beneficios del TPM

TPM es el nombre de una especificación que describe un módulo criptográfico que almacena claves criptográficas para proteger la información. Se puede decir de manera más simple: este es un módulo de seguridad de la información que se puede instalar en servidores, computadoras personales, redes y dispositivos móviles. Admite la certificación remota, lo que permite la comunicación entre el hardware y el software de la computadora.

El módulo es conveniente para los titulares de derechos de autor, ya que les permite verificar las licencias de software y controlar la copia ilegal de música, películas o juegos de computadora. Identifica de forma única la computadora y permite la autenticación del usuario. Al mismo tiempo, TPM permite generar claves, tiene funciones hash y genera números aleatorios.

Las capacidades del hardware TPM tienen una potencia muy limitada y no le permiten cifrar directamente grandes cantidades de datos a alta velocidad. La función de cifrado masivo de archivos en discos puede realizarse mediante el programa Windows Bitlocker. Al mismo tiempo, las claves criptográficas utilizadas están cifradas mediante TPM, lo que elimina la posibilidad de robo.

Así, TPM, junto con Windows Bitlocker, puede cifrar un disco, proteger datos en caso de pérdida o robo de una computadora, software contra modificaciones e infecciones por virus, así como programas bancarios y de correo electrónico.

El módulo puede confirmar la autenticidad de la computadora e incluso su funcionalidad incluso antes de acceder a la red. En general, aumenta significativamente la seguridad de los usuarios, especialmente aquellos que tienen pocos conocimientos sobre problemas de seguridad de la información y no pueden resolverlos por sí solos.

De hecho, TPM es algo importante y útil. Aumenta significativamente la seguridad del usuario. Pero surge la cuestión del precio de la seguridad. Si una persona instala una cámara web en su casa, aumenta la seguridad de su hogar. Puede controlar de forma remota el apartamento todo el tiempo y llamar a la policía si aparecen ladrones. Pero si se intercepta la capacidad de controlar la cámara web, ésta puede pasar de ser un dispositivo de seguridad a convertirse en un dispositivo de vigilancia. La información recopilada sobre una persona se utiliza, por tanto, como medio de control y gestión. Y su propio apartamento se convierte en una celda, aunque más bien como una celda de prisión.

La posición de Alemania

El resultado de la votación del Comité Técnico ISO/IEC JTC1 era predecible. Sólo Alemania votó en contra. Rusia se abstuvo, pero su voto “en contra” no habría decidido nada. La mayoría apoyó la posición estadounidense. Tampoco ayudó una acción sin precedentes: el envío de una carta cerrada a los miembros del comité por parte de representantes oficiales del Ministerio Federal del Interior y del Ministerio Federal de Economía y Energía de la República Federal de Alemania con una solicitud para "enterrar" el proyecto. La información sobre este documento se filtró a la prensa alemana y causó mucho ruido.

A nivel estatal, las autoridades alemanas negaron la existencia de tal carta, pero ¿qué más se puede esperar en este caso de las autoridades oficiales? En el texto de la carta alemana, a disposición de los editores y cuya autenticidad no tenemos motivos para dudar, se escribe que “... las especificaciones presentadas en el proyecto de norma no están suficientemente desarrolladas para tomar una decisión; en particular, como resultado de una cuidadosa consideración del tema, tenemos razones para creer que su implementación puede degradar significativamente la capacidad de administrar el sistema de TIC protegido, y también potencialmente conducir a situaciones de bloqueo completo del sistema, llevadas a cabo en el intereses de algunos fabricantes de equipos informáticos. Además, creemos que el impacto potencial de las especificaciones propuestas sobre la privacidad y la seguridad de TI puede ser muy problemático y nos preocupa que esto entre en conflicto con la legislación alemana pertinente”.

Al mismo tiempo, los especialistas alemanes en seguridad de la información no se opusieron en principio al TPM. Estaban satisfechos con el estándar anterior TPM 1.2, en el que el usuario conservaba el control total sobre su plataforma. El módulo TPM podría simplemente desactivarse. En el estándar TPM 2.0 esto ya no funcionará.

Además, les preocupaba el enfoque mismo del desarrollo de la norma, en el que sólo participaban empresas estadounidenses. Los periodistas de Zeit informaron que el gobierno alemán intentó participar en el desarrollo de TPM 2.0, pero fue rechazado. También destacaron la cooperación activa de los desarrolladores del estándar con la NSA estadounidense y proporcionaron evaluaciones de la seguridad de TPM 2.0 por parte de expertos independientes. La publicación advirtió que TPM puede considerarse una puerta trasera y existe una alta probabilidad de que la NSA tenga acceso a claves criptográficas.

Ventilaciones y ventanas

Los expertos de la Oficina Federal Alemana para la Seguridad de las Tecnologías de la Información (BSI) se alarmaron porque con la transición a la especificación TPM 2.0, este estándar se vuelve obligatorio para todos los dispositivos que ejecutan Windows 8.1 y superior, y esta función no se puede desactivar.

De hecho, un ordenador con TPM 2.0 no puede considerarse un dispositivo bajo control total del usuario. Han surgido preocupaciones de que Windows 8 con TPM 2.0 podría permitir a Microsoft controlar la computadora de forma remota a través de una puerta trasera incorporada.

Los expertos chinos también leyeron sobre la advertencia alemana. Investigaron el problema, descubrieron los detalles y tomaron una decisión. En mayo de 2014, la agencia gubernamental china Xinhua informó que había prohibido la instalación de Windows 8 en computadoras gubernamentales. Y lo más probable es que se trate de computadoras que pertenecen no solo al estado, sino también a aquellas estructuras controladas por el estado: los bancos más grandes, las empresas de seguridad de la información, las telecomunicaciones y otras empresas que quieren seguir las recomendaciones de su gobierno. .

Otro documento interno de BSI obtenido por la publicación alemana dice: "Windows 7 podrá gestionarse de forma segura hasta 2020. Después, habrá que encontrar otras soluciones para la administración de los sistemas informáticos". Y en el sitio web de BSI se escribe directamente que el mecanismo de Windows 8 con TPM 2.0 “puede ser utilizado para sabotajes por parte de terceros” y que los expertos consideran inaceptable el uso de la nueva versión de TPM por parte de organizaciones gubernamentales e instalaciones de infraestructura crítica. Por lo tanto, parece que los alemanes y los chinos no se apresurarán a actualizar Windows 7 en el sector público ni siquiera a Windows 8.

La posición de Rusia

Para conocer la posición de Rusia, nos dirigimos a los expertos, miembros del Comité Técnico ISO/IEC JTC1, las empresas rusas Aquarius y Craftway y Microsoft, para pedirles que comentaran sobre la gravedad de las preocupaciones de Alemania y China con respecto a la nueva norma.

Lamentablemente, los expertos ignoraron nuestras preguntas o afirmaron que se negaban a responderlas. El único especialista que accedió a una entrevista fue un experto independiente en ciberseguridad en sistemas de control automatizados Vadim Podolny.

¿Qué tiene de bueno y qué es peligroso el TPM?

TPM, ya sea el TPM 1.2 más común actualmente o el cada vez más implementado TPM 2.0, es un estándar tecnológico promovido por las grandes empresas estadounidenses. Básicamente, TPM es un módulo independiente que se integra en las computadoras.

Ahora, además de PC, servidores, terminales y enrutadores de red, tenemos muchos componentes nuevos conectados a la red. Se trata de controladores para la automatización industrial, dispositivos de Internet de las cosas, dispositivos responsables de la salud humana: marcapasos, glucómetros integrados en relojes... Debido a la intervención de un hacker, pueden dispararse falsamente o, por el contrario, no dispararse falsamente. Los módulos de confianza de TPM resuelven un problema importante: confiar en los datos, confiar en el sistema y confirmar que funcionará correctamente.

La idea de TPM es correcta. Deben existir módulos estándar que garanticen la importancia jurídica de la información. El concepto en sí es este: crear un módulo que sea difícil de crear para los piratas informáticos y que sólo un estado grande pueda crear. Es como un billete, un método para proteger el dinero. No hay nada malo.

La pregunta es diferente. Windows 7 tenía un icono de Mi PC. En Windows 10 se llama "Esta PC". Esta ya no es tu computadora. Se nos están imponiendo tecnologías que garantizarán nuestra seguridad, lo queramos o no. Parece que el estado introduce la prohibición y dice que ahora no se puede beber alcohol, ya que la sociedad necesita soldados sanos. Así es aquí.

Si tu computadora es capturada, significa que alguien la necesita para algo. Quizás para vigilarte. Si no puede desactivar esta funcionalidad, entonces no es una característica de seguridad. Es un medio pasivo de ataque. Recopilar información es encontrar un punto de ataque. Microsoft le está quitando su computadora por su dinero. Te vende su sistema operativo y te quita el control.

¿Es posible comprobar si un módulo TPM tiene puerta trasera o no?

Puedes analizar el estándar. Pero cuando llega una computadora con un módulo TPM soldado en su placa base que no fue fabricado en una empresa que usted controla, no sabe lo que hay dentro. Pueden agregar cualquier cosa allí.

¿Pero puedes agregar un marcador a cualquier procesador o controlador?

Si seguro. Y el enfoque debería ser el mismo. En los sistemas militares, los reguladores nunca permitirán el uso de un chip fabricado por alguien desconocido, ni siquiera según un estándar abierto. Por eso tenemos los procesadores “Baikal” y “Elbrus”. Las fuerzas de ingeniería de Rusia son suficientes para diseñar su propio TPM. Todavía no podemos hacerlo en nuestras fábricas. También lo es el procesador. Pero podemos diseñar y luego comprobar si lo hicieron como lo necesitábamos o si se agregó algo allí. Un mecanismo de este tipo ya permitirá el uso de TPM.

¿Qué debemos hacer ahora que no tenemos nuestro propio TPM?

Los análogos de TPM comúnmente utilizados, que cumplen en gran medida su función, son los módulos de arranque confiables de hardware. Se utilizan incluso ahora que han aparecido los TPM en las placas base.

También se hizo posible modificar el BIOS y apareció la tecnología UEFI, un estándar que le permite crear módulos de arranque confiables mediante programación. De hecho, pueden alojar programas que emulen el funcionamiento de TPM, que es lo que se hace en muchos desarrollos. Por ejemplo, en el sistema operativo seOS, certificado por el FSB.

¿Qué pasa con el módulo TPM ruso?

Todavía tenemos empresas en Rusia que encargan placas base para sus proyectos. Por ejemplo, Aquarius, Craftway, T-Platforms, MCST y otros. Cada uno de ellos es bastante capaz de diseñar su propio módulo TPM. Y probablemente se creará en un futuro próximo, con el apoyo de algoritmos criptográficos GOST nacionales. Y esto es importante no sólo para las empresas de defensa, sino también para una amplia gama de consumidores que están obligados a cumplir con las disposiciones de la Ley 152-FZ "Sobre Datos Personales".

¿Por qué los alemanes se opusieron tan tajantemente al estándar TPM 2.0?

Muy simple. Quieren proteger sus datos y tecnología de Estados Unidos. ¿Recuerdas cuando surgió SUSE Linux? Esto sucedió después de que quedó claro que cuando los documentos se transferían de un departamento de la Bundeswehr a otro, la información primero terminaba en la NSA. Luego se creó SUSE Linux en Alemania y el departamento fue transferido para trabajar con este sistema operativo.

En Linux, a partir del kernel 3.2, también se anunció la compatibilidad con TPM 2.0. Pero se puede apagar. Pero en el sistema operativo Windows no puedes pasar de ocho. Windows es un sistema operativo muy fácil de usar. Está maravillosamente pensado. Decenas de miles de programadores trabajan para que sea cómodo y cómodo para los usuarios. Pero cualquier cambio que te impongan, diciendo que es por tu seguridad, es molesto. Y especialistas, funcionarios y gobiernos.

Para no tener miedo del TPM, es necesario realizar una investigación especial, realizar una verificación y descubrir si hay algo peligroso allí o no. Este es un procedimiento completamente estándar. A veces se realiza in situ en el sitio de producción. Esta es una práctica normal cuando los representantes de un país vienen al país del fabricante y se sientan en la producción durante algún tiempo, entendiendo los procesos.

¿Y quién hará esto?

Esto puede ser de interés para las grandes empresas comerciales. Creo que ya se están realizando algunos trabajos de investigación en este formato. Pero el estado no está inmediatamente interesado en esto, ya que nuestra criptografía no existe, por lo que los módulos existentes no son adecuados para las industrias de defensa.

¿Es posible utilizar computadoras con TPM en agencias gubernamentales?

La cuestión del uso de TPM en agencias gubernamentales es bastante compleja. Creo que en las próximas ediciones de TPM será posible reemplazar los algoritmos criptográficos. Ahora puede actualizar el BIOS nuevamente y agregar sus propios componentes. Este será el caso en TPM. En cuanto al uso actual en el sector público, es demasiado pronto para hablar de ello. Pero es necesario investigar la posibilidad de implementar el estándar por su cuenta. También es necesario participar en el desarrollo de su próxima versión. Poder incrustar nuestra criptografía en el TPM de otra persona.

... En general, la posición es clara. TPM es un nuevo nivel en seguridad. El Estado de alguna manera resolverá el problema en la industria de defensa y el resto utilizará lo que tiene. En la mayoría de los casos, TPM lo protegerá de los piratas informáticos salvajes (en aquellos asuntos de protección que brinda TPM), pero aún así no podrá escapar de la atención del Gran Hermano.

El propio consorcio, que empezó como un proyecto puramente americano, se está ampliando. Actualmente, TCG cuenta con 11 miembros Promotores (AMD, Cisco, Fujitsu, HP, IBM, Infenion, Intel, Juniper, Lenovo, Microsoft y Wave Systems) y 74 miembros Colaboradores. En estas listas aparecieron empresas japonesas y chinas. Pero todavía no hay representantes rusos allí.

¿Libertad o seguridad? Los tiempos de los existencialistas Sartre y Camus, que eligieron los “caminos de la libertad” y estudiaron a una persona libre al borde de la “nada”, son cosa del pasado junto con el siglo pasado. La mayoría de la gente eligió la seguridad. Y ahora sólo discute sobre la longitud de la correa. Entonces, para el usuario masivo el problema del TPM no existe. Pero el Estado no debería ser indiferente a la cuestión de quién controla sus agencias gubernamentales. Y sus ciudadanos también.

El número cada vez mayor de gusanos, virus y agujeros elementales en los sistemas operativos y servicios de red modernos obliga a los especialistas en TI a desarrollar cada vez más herramientas nuevas de seguridad de la información. Anteriormente, se utilizaban principalmente soluciones de software; el hardware y el software no estaban disponibles para todos. Ahora, gracias a la tecnología TPM (Trusted Platform Module), estas soluciones han llegado a las masas y están disponibles para todos. En esta aplicación, hablaremos sobre qué es TPM y por qué tiene sentido utilizar esta tecnología en su empresa.

¿Qué es TPM?

El TPM es un microcontrolador diseñado para implementar funciones básicas de seguridad mediante claves de cifrado. El chip TPM está instalado en la placa base de la computadora e interactúa con otros componentes del sistema a través del bus del sistema.

El concepto de “módulos de plataforma confiable” (así se traduce la abreviatura TPM al ruso) pertenece al consorcio Trusted Computing Group (TCG), que existe desde 2004.

La tecnología TPM en sí no apareció en 2004, sino antes. En 1999, se creó la Trusted Computing Platform Alliance (TCPA). Esta alianza incluía a los desarrolladores de hardware y software más importantes: IBM, HP, Microsoft, etc. A pesar de la eminencia de los participantes, las actividades de la alianza recordaban la conocida fábula sobre el cisne, el cangrejo y el lucio: todos “tiraron de la carga” sobre sí mismos (cada miembro de la alianza tenía derecho a cancelar las decisiones tomadas por otros miembros), por lo que TPM se desarrolló con bastante lentitud.

En 2004, la alianza TCPA se transformó en un consorcio. Grupo de Computación Confiable. La estructura de esta organización era diferente. Sólo las empresas seleccionadas (se les llama promotores) pueden tomar decisiones importantes. Estas empresas son ahora Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft Y verisign. El resto de empresas (hay más de mil) sólo tienen derecho a participar en el desarrollo de borradores de especificaciones o simplemente a recibir acceso anticipado a nuevos desarrollos.

El principal resultado de TCPA/TCG es el "módulo de plataforma confiable", que anteriormente se llamaba "Fritz Chip". Lleva el nombre del senador estadounidense Fritz Hollings, conocido por su apoyo a la gestión de derechos digitales (DRM).

Objetivos del TPM

La tarea principal de TPM es crear una computadora segura en la que todos los procesos de comunicación, así como el hardware y el software, estén verificados y protegidos. La seguridad de la comunicación no significa el proceso de proteger una conexión de red, sino proteger el proceso de interacción entre partes individuales del sistema (por ejemplo, el sistema operativo).

El módulo TPM también se puede utilizar para verificar la integridad y autoría de los datos. Sólo los usuarios autorizados deben tener acceso a los datos y debe garantizarse la seguridad de la transmisión de la información en sí. La verificación de integridad protegerá el sistema de virus, gusanos y otros programas que cambian los datos sin notificar al usuario.

Al desarrollar TPM, el objetivo no era crear un módulo solo para proteger computadoras personales o portátiles de virus; esta tecnología se puede utilizar para garantizar la seguridad de teléfonos móviles, PDA, dispositivos de entrada y unidades de disco. Junto con él, se pueden utilizar dispositivos de identificación biométrica.

La protección de las conexiones de red está a cargo de una división separada de TCG: Trusted Network Connect (TNC). No consideraremos los frutos de las actividades de TNC, sino que nos limitaremos únicamente al TPM.

"Hierro" y matemáticas.

Es lógico suponer que el propio chip TPM de la placa base no soluciona nada. Necesitamos apoyo del resto del hardware y matemáticas - software.

Por ejemplo, puede instalar un disco duro compatible con TPM (Fig. P37). Estos discos duros se fabrican desde hace mucho tiempo. Seagate(Momento 5400 FDE.2). Pero Seagate está lejos de ser el único fabricante de discos duros con función de cifrado. Otros fabricantes, como Hitachi, también producen "unidades criptográficas". De modo que puede elegir entre hardware (puede leer sobre otros fabricantes de hardware y software compatibles con TPM en el sitio web www.tonymcfadden.net).

Arroz. P37. Disco duro Seagate Momentus 5400 FDE.2

En cuanto al sistema operativo, la tecnología TPM es compatible con la mayoría de los sistemas operativos modernos: Windows Vista, Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux (desde la versión 9.2) y Enterprise Linux (desde la versión 3, actualización 3). ).

Cómo funciona TPM

Como ya se señaló, el módulo TPM se implementa como un chip en la placa base. El chip TPM está integrado en el proceso de arranque de la computadora y verifica el hash del sistema usando el algoritmo SHA1 (Secure Hash Algorithm); se calcula en base a información sobre todos los componentes de la computadora, tanto hardware (procesador, disco duro, tarjeta de video) como software ( SO).

Durante el proceso de arranque de la computadora, el chip verifica el estado del sistema, que solo puede iniciarse en una condición autorizada, lo cual solo es posible si se detecta el valor hash correcto.

Configurar TPM en Windows

La siguiente guía describe cómo utilizar los servicios TPM en Windows Vista:

Windows Vista y Windows Server 2008 utilizan la tecnología de cifrado de disco BitLocker, que está estrechamente relacionada con módulos confiables (Figura A38). Puede leer sobre la configuración de BitLocker en Windows Server 2008 y Vista (Fig. P39, P40) aquí:

Arroz. P38. Componentes de BitLocker
Arroz. P39. El cifrado de BitLocker está deshabilitado: TPM no está instalado o deshabilitado (en BIOS)
Arroz. P40. Esquema de interacción entre Full Volume Encryption y TPM en Windows

Sistemas listos con soporte TPM

Los ordenadores TPM ya preparados llevan mucho tiempo en el mercado: tanto portátiles como de sobremesa. Normalmente, estos sistemas son producidos por fabricantes conocidos como HP, por lo que su precio puede estar ligeramente inflado (recargo "por la marca").

A aquellos que quieran ahorrar dinero se les puede recomendar que compren hardware con soporte TPM y lo monten todo ellos mismos. Las placas base necesarias las producen muchos fabricantes, por ejemplo ASUS (M2N32-SLI Premium), MSI (Q35MDO), etc. (Fig. A41).

Arroz. P41. Placa base ASUS M2N32-SLI Premium (con soporte TPM)

¿Por qué necesitas TPM?

En primer lugar, TPM es un aumento en la seguridad general del sistema y una protección adicional, implementada a nivel de hardware, contra virus, troyanos y otros espíritus malignos informáticos. Y como sabemos, no se debe escatimar en seguridad, especialmente en una empresa.

En segundo lugar, TPM es el cifrado de datos en un disco duro. TPM permite un equilibrio entre seguridad y rendimiento.

Dado que el cifrado se realiza en hardware, prácticamente no hay impacto en el rendimiento.

En tercer lugar, con la ayuda de TPM puedes prescindir completamente de una contraseña, utilizando en su lugar la huella digital del usuario. De acuerdo, una solución bastante eficaz. Ayer vimos sistemas de este tipo en películas de media ficción, pero hoy ya son una realidad.

TPM no es una panacea

Es importante recordar que TPM no es una solución universal ni una panacea para todos los males informáticos. Nadie ha cancelado un buen antivirus y firewall. TPM se desarrolló más para proteger los intereses de los gigantes del software: para evitar que el usuario ejecute software sin licencia. Desde este punto de vista, aún no está claro si TPM es bueno o malo, dada la cantidad de programas sin licencia en nuestros espacios abiertos. Seamos realistas: hay mucho software pirateado.

Además, no te olvides del factor humano. Una persona puede dar deliberadamente la contraseña de su sistema, o escribirla en algún lugar de una hoja de papel amarilla que pega al monitor, o simplemente establecer una contraseña muy simple que no sea difícil de adivinar. En esta situación, TPM definitivamente no ayudará. Aquí es donde el software viene al rescate, es decir, los sistemas de control de acceso, pero esa es otra historia.

Notas:

Antes de comenzar a leer este libro, vale la pena hablar sobre las unidades de medida de información. La unidad básica de información es un bit. Un bit puede contener uno de dos valores: 0 o 1. Ocho bits forman un byte. Esta cantidad de bits es suficiente para codificar 1 carácter usando ceros y unos. Es decir, un byte contiene 1 carácter de información: una letra, un número, etc. 1024 bytes es un kilobyte (KB) y 1024 kilobytes es 1 megabyte (MB). 1024 megabytes son 1 gigabyte (GB) y 1024 gigabytes son 1 terabyte (TB).

Tenga en cuenta: es 1024, no 1000. ¿Por qué se eligió 1024? Debido a que la computadora usa el sistema numérico binario (solo hay 2 valores: 0 y 1), 2 elevado a la décima potencia es 1024.

No siempre, pero sí a menudo, la letra mayúscula "B" al indicar la unidad de medida de información significa "byte" y la letra minúscula "bit". Por ejemplo, 528 MB son 528 megabits, si conviertes este valor a megabytes (simplemente divide entre 8), obtienes 66 megabytes (66 MB).

Disco duro Momentus 5400 FDE.2 (cifrado de disco completo) de 2,5 pulgadas de Seagate Viene como parte de las computadoras portátiles ASI C8015+ (la computadora portátil cuesta aproximadamente $2,100). El disco duro tiene un sistema de cifrado dinámico incorporado con aceleración de hardware y soporte TPM. Además, la computadora portátil viene con un lector de huellas digitales, lo que la hace aproximadamente un 20% más cara que una computadora portátil normal con la misma configuración. Los tamaños de disco duro Momentus están disponibles en 80, 100, 120 y 160 GB. Se utiliza la interfaz SATA 3 Gb/s.

La característica principal de Momentus FDE.2 es el cifrado/descifrado de información escrita y leída mediante el algoritmo AES con una clave de 128 bits a nivel de firmware DriveTrust. El cifrado de datos se realiza de forma absolutamente transparente, es decir, invisible para el usuario. La información se presenta en forma abierta (sin cifrar) solo en las aplicaciones. Los datos se almacenan en el disco duro sólo de forma cifrada.

Normalmente, el proceso de cifrado del software reduce significativamente el rendimiento del sistema (aquellos que han trabajado con PGPDisk entienden de qué estamos hablando). Pero como en el caso del Momentus FDE.2 el cifrado se realiza a nivel de hardware, esto aumenta la carga de la CPU sólo en un pequeño porcentaje.

Al iniciar el sistema TPM, el usuario debe ingresar su contraseña. La contraseña es necesaria no sólo para continuar con la descarga, sino también para descifrar los datos. Anteriormente, también era posible establecer una contraseña en SETUP, sin la cual era imposible iniciar el sistema operativo. Pero puedes quitar el disco duro y conectarlo a otra computadora. Si no se utilizaron medios criptográficos, leer la información del disco duro no fue un problema. En el caso del TPM, incluso si retiras el HDD y lo conectas a otro ordenador, no podrás leer la información porque está cifrada y no sabes la contraseña para descifrarla.

¿Qué hacer si el usuario ha olvidado la contraseña? Luego puede aplicar la contraseña maestra. Y si has olvidado la contraseña principal (o simplemente no la sabes), entonces…

Además, existe una función de borrado criptográfico, que está diseñada para destruir todos los datos del disco duro. Esta operación es necesaria al desmantelar un disco duro o transferirlo a otro usuario.

Modulo de plataforma confiable

En tecnología informática, Modulo de plataforma confiable(TPM) es el nombre de una especificación que describe un criptoprocesador en el que se almacenan claves criptográficas para proteger la información, así como un nombre genérico para implementaciones de la especificación especificada, por ejemplo, en forma de "chip TPM" o " Dispositivo de seguridad TPM” (Dell). Anteriormente llamado "chip Fritz" (el exsenador Ernest "Fritz" Hollings es conocido por su entusiasta apoyo al sistema de gestión de derechos digitales, DRM). La especificación TPM fue desarrollada por Trusted Computing Group. La versión actual de la especificación TPM es 1.2 revisión 116, edición del 3 de marzo de 2011.

Breve reseña

El Módulo de plataforma segura (TPM), un criptoprocesador, proporciona un medio para generar de forma segura claves de cifrado que pueden restringir el uso de claves (tanto de firma como de cifrado/descifrado) con el mismo grado de no repetibilidad que un generador de números aleatorios. Este módulo también incluye las siguientes características: certificación remota, vinculación y almacenamiento seguro confiable. La certificación remota crea un vínculo entre el hardware, el arranque del sistema y la configuración del host (SO de la computadora), lo que permite a un tercero (como una tienda de música digital) verificar que el usuario no haya modificado ni copiado el software o la música descargados de la tienda. (ver TSZAP). El criptoprocesador cifra los datos de tal manera que sólo se pueden descifrar en la computadora donde fueron cifrados, ejecutando el mismo software. El enlace cifra los datos utilizando una clave de confirmación TPM: una clave RSA única escrita en el chip durante su proceso de fabricación u otra clave confiable.

El TPM se puede utilizar para verificar la autenticidad del hardware. Dado que cada chip TPM es exclusivo de un dispositivo específico, permite establecer sin ambigüedades la autenticidad de la plataforma. Por ejemplo, para comprobar que el sistema al que se accede es el sistema esperado.

Arquitectura TPM

La arquitectura del chip implementa los siguientes algoritmos de seguridad:

• gestión segura de la memoria,
• cifrado de bus y datos,
• blindaje activo.

El blindaje activo permite que el chip detecte pruebas eléctricas y, si es necesario, bloquee el chip. Además, en la fabricación de TPM también se utilizan pasos tecnológicos no estándar, como entrelazar la topología de las capas de CI. Estas medidas hacen que sea mucho más difícil piratear el chip, aumentan el costo del pirateo, lo que conduce a una disminución de posibles infractores.

Entrada/Salida (ing. E/S)

Este componente controla el flujo de información en el autobús. Enruta mensajes a los componentes apropiados. El componente de E/S aplica la política de acceso asociada con las funciones de TPM.

Procesador criptográfico

Realiza operaciones criptográficas dentro del TPM. Estas operaciones incluyen:

• Generación de claves asimétricas (RSA);
• Cifrado/descifrado asimétrico (RSA);
• Hash (SHA-1);
• Generación de números aleatorios.

TPM utiliza estas capacidades para generar secuencias aleatorias, generación de claves asimétricas, firma digital y confidencialidad de los datos almacenados. TPM también admite cifrado simétrico para necesidades internas. Todas las claves almacenadas deben coincidir con la potencia de una clave RSA de 2048 bits.

Almacenamiento no volátil

Se utiliza para almacenar la clave de confirmación, la clave raíz (Storage Root Key, SRK), datos de autorización y varios indicadores.

Clave de respaldo (EK)

Generador de claves RSA

Crea pares de claves RSA. TCG no impone requisitos mínimos de tiempo de generación de claves.

Motor RSA

Se utiliza para firmas digitales y cifrado. No existen restricciones sobre la implementación del algoritmo RSA. Los fabricantes pueden utilizar el teorema chino de residuos o cualquier otro método. La longitud mínima de clave recomendada es 2048 bits. El valor del exponente abierto debe ser .

La plataforma confiable

En los sistemas TCG, las raíces de la confianza son componentes en los que se debe confiar. Un conjunto completo de raíces de confianza tiene la funcionalidad mínima requerida para describir una plataforma, lo que afecta la confianza en esa plataforma. Hay tres raíces de confianza: la raíz de confianza para mediciones (RTM), la raíz de confianza para almacenamiento (RTS) y la raíz de confianza para mensajes (RTR). RTM es un motor computacional que realiza mediciones confiables de la integridad de la plataforma. RTS es un motor informático capaz de almacenar hashes de valores de integridad. RTR es un mecanismo que informa de manera confiable la información almacenada en RTS. Los datos de medición describen las propiedades y características de los componentes que se miden. Los hashes de estas medidas son una "instantánea" del estado de la computadora. Su almacenamiento se realiza mediante la funcionalidad RTS y RTR. Comparando el hash de los valores medidos con el hash del estado confiable de la plataforma, podemos hablar de la integridad del sistema.

Posibles aplicaciones

Autenticación

TPM puede considerarse como un token de seguridad de próxima generación. El criptoprocesador admite la autenticación tanto de usuarios como de computadoras, lo que garantiza que solo los usuarios y computadoras autorizados tengan acceso a la red. Esto se puede utilizar, por ejemplo, al proteger el correo electrónico mediante cifrado o firmar con certificados digitales vinculados a un TPM. Además, la eliminación de contraseñas y el uso de TPM permiten modelos de autenticación más sólidos para el acceso por cable, inalámbrico y VPN.

Protección de datos contra robo

Este es el objetivo principal de un "contenedor seguro". Los dispositivos de autocifrado basados ​​en las especificaciones de Trusted Computing Group permiten el cifrado integrado y el control de acceso a los datos. Estos dispositivos proporcionan cifrado completo del disco, protegiendo los datos en caso de pérdida o robo de su computadora.

Ventajas:

• Mejora del rendimiento

El cifrado de hardware le permite operar con toda la gama de datos sin pérdida de rendimiento.

• Seguridad incrementada

El cifrado siempre está habilitado. Además, las claves se generan dentro del dispositivo y nunca salen de él.

• Bajos costos de uso

No se requieren modificaciones en el sistema operativo, aplicaciones, etc.. No se utilizan recursos de CPU para el cifrado.

La combinación TPM+Bitlocker tiene grandes perspectivas: esta solución permite cifrar todo el disco de forma transparente desde el software.

Control de acceso a la red (NAC)

TPM puede confirmar la identidad de una computadora e incluso su funcionalidad antes de obtener acceso a la red y, si es necesario, poner la computadora en cuarentena.

Protección del software contra cambios.

La certificación del código del programa protegerá a los juegos de las trampas, y los programas sensibles, como los clientes bancarios y postales, estarán protegidos de modificaciones intencionales. La adición de un "caballo de Troya" al instalador de la última versión del Messenger se detendrá inmediatamente.

Protección de copia

La protección contra copia se basa en la siguiente cadena: el programa tiene un certificado que le proporciona a él (y sólo a él) acceso a la clave de descifrado (que también se almacena en el TPM). Esto proporciona protección contra copia que el software no puede eludir.

Implementación

Fabricantes

Ya se han equipado más de 300.000.000 de ordenadores con un chip TPM. En el futuro, es posible que TPM se instale en dispositivos como teléfonos móviles. Los microcontroladores TPM son fabricados por las siguientes empresas:

• sinosun,
• Nuvotón,

Crítica

Trusted Platform Module también es criticado por su nombre. confianza- siempre mutuo, mientras los desarrolladores de TPM no confíen en el usuario), y por las violaciones de la libertad asociadas con ello. Por estas infracciones, el dispositivo suele denominarse Computación traicionera(“cálculos traicioneros”).

Perder la "propiedad" de la computadora

El propietario de una computadora ya no puede hacer con ella lo que quiera, transfiriendo algunos derechos a los fabricantes de software. En particular, TPM puede interferir (debido a errores en el software o a una decisión intencionada de los desarrolladores):

• transferir datos a otra computadora;
• elija libremente el software para su computadora;
• procesar datos existentes utilizando cualquier programa disponible.

Pérdida de anonimato

Basta recordar la controversia sobre el número de identificación del procesador Pentium III para comprender a qué puede conducir un identificador de computadora legible de forma remota e inmutable.

Supresión de competidores

Un programa líder en la industria (como AutoCAD, Microsoft Word o Adobe Photoshop) puede instalar cifrado en sus archivos, lo que imposibilita que programas de terceros accedan a esos archivos, amenazando así potencialmente la libre competencia en el mercado de software de aplicaciones.

Rotura

Si el TPM falla, los contenedores protegidos se vuelven inaccesibles y los datos que contienen se vuelven irrecuperables. TPM es práctico sólo si hay un sistema de respaldo complejo; naturalmente, para garantizar el secreto, debe tener sus propios TPM.

trucos

En la conferencia de seguridad informática Black Hat 2010, se anunció que el chip Infineon SLE66 CL PE, fabricado según las especificaciones TPM, había sido pirateado. Este chip se utiliza en ordenadores, equipos de comunicaciones por satélite y consolas de juegos. Para el truco se utilizó un microscopio electrónico (que costó alrededor de 70.000 dólares). La cubierta del chip se disolvió con ácido y se utilizaron pequeñas agujas para interceptar las órdenes. Infineon afirma que sabían que el chip podía piratearse físicamente. Borchert, vicepresidente de la empresa, aseguró que los costosos equipos y la complejidad técnica del hackeo no suponen un peligro para la gran mayoría de los usuarios de chips.

Un módulo de plataforma confiable, o TPM (módulo de plataforma confiable), es un microchip separado en la placa base de una computadora que realiza una gama específica de tareas relacionadas con la criptografía y la seguridad informática.

Por ejemplo, utilizando el criptoprocesador TPM puede cifrar el disco duro de una computadora. Por supuesto, el procesador central puede hacer esto, pero luego tendrá que realizar más tareas y la velocidad de cifrado y descifrado será mucho menor. El cifrado basado en hardware en el TPM se produce prácticamente sin pérdida de rendimiento.

El descifrado a veces se denomina incorrectamente descifrar. La diferencia entre ellos es que al descifrar, usted conoce el algoritmo y la clave secreta con la que se cifran los datos, pero al descifrar, no.

TPM también puede proteger las credenciales y verificar los programas que se ejecutan en el sistema. Previene la infección por rootkits y bootkits (tipos de malware que penetran en el ordenador antes de que arranque el sistema operativo u ocultan su presencia en el sistema y, por tanto, no pueden ser reconocidos por el sistema), asegurando que la configuración del ordenador no se cambie sin el conocimiento del usuario.

Además, cada módulo criptográfico TPM tiene un identificador único que está escrito directamente en el chip y no se puede cambiar. Por lo tanto, el criptochip se puede utilizar para la autenticación al acceder a una red o cualquier aplicación.

TPM puede generar claves de cifrado seguras cuando lo requiera el sistema operativo (SO).

Pero antes de poder utilizar el TPM, es necesario configurarlo. Configurar el módulo se reduce a unos sencillos pasos.

• Primero, el chip debe activarse en el BIOS de la computadora (si no está activado).
• En segundo lugar, debe convertirse en su propietario a nivel del sistema operativo.

Veamos estos pasos con más detalle.

1 Habilitando el TPM en el BIOS de la computadora

Para habilitar el módulo, vaya al BIOS y vaya a la sección de seguridad. Aunque el BIOS puede variar significativamente de una computadora a otra, como regla general, la sección con configuraciones de seguridad se llama "Seguridad". Debería haber una opción en esta sección llamada "Chip de seguridad".

El módulo puede estar en tres estados:

• Desactivado.
• Habilitado y no activado (Inactivo).
• Habilitado y habilitado (Activo).

En el primer caso no será visible en el sistema operativo, en el segundo será visible pero el sistema no lo utilizará y en el tercero el chip será visible y será utilizado por el sistema. Establezca el estado en "activo".

También puedes borrar las claves antiguas generadas por el chip en la configuración.

Borrar el TPM puede resultar útil si desea vender su computadora, por ejemplo. Tenga en cuenta que si borra las claves, no podrá recuperar los datos cifrados por estas claves (a menos, por supuesto, que cifre su disco duro).

Ahora guarde los cambios ("Guardar y salir" o tecla F10) y reinicie la computadora.

Después de que su computadora arranque, abra el Administrador de dispositivos y asegúrese de que el módulo confiable aparezca en la lista de dispositivos. Debería estar en la sección "Dispositivos de seguridad".

2 Inicializando el TPM en Windows

Todo lo que queda es inicializar el chip en el sistema operativo. Para hacer esto, debe abrir el complemento de administración del módulo TPM. Haga clic en los botones Windows+R(Se abrirá la ventana "Ejecutar"), ingrese tpm.msc en el campo de entrada y presione "Entrar". El complemento comenzará "Administración del Módulo de plataforma segura (TPM) en la computadora local".

Aquí, por cierto, puede leer información adicional: qué es TPM, cuándo necesita encenderlo y apagarlo, cambiar la contraseña, etc. En el sitio web de Microsoft hay una buena serie de artículos dedicados a TPM.

En el lado derecho del complemento hay un menú de acciones. Haga clic en "Inicializar TPM...". Si esta opción no está activa, entonces su chip ya ha sido inicializado. Si usted no lo inicializó y no conoce la contraseña del propietario, entonces es recomendable restablecer y borrar la memoria del módulo, como se describe en el párrafo anterior.

Cuando se inicie el Asistente de inicialización de TPM, le pedirá que cree una contraseña. Seleccione la opción Generar contraseña automáticamente.

El programa de inicialización de TPM generará una contraseña. Guárdelo como un archivo o imprímalo. Ahora haga clic en el botón "Inicializar" y espere un poco.

Al finalizar, el programa informará que la inicialización del módulo fue exitosa. Una vez completada la inicialización, todas las acciones adicionales con el módulo (deshabilitar, limpiar, recuperar datos en caso de fallas, restablecer el bloqueo) solo serán posibles utilizando la contraseña que acaba de recibir.

Ahora la acción de inicialización se ha vuelto inactiva, pero ahora es posible deshabilitar el TPM, cambiar la contraseña del propietario y restablecer el bloqueo del módulo si esto sucede (el módulo se bloquea solo para evitar fraudes o ataques).

En realidad, aquí terminan las capacidades de gestión del módulo TPM. Todas las operaciones adicionales que requieran las capacidades del chip se realizarán automáticamente, de forma transparente para el sistema operativo e invisible para usted. Todo esto debe implementarse en software. Los sistemas operativos más recientes, como Windows 8 y Windows 10, utilizan las capacidades de TPM más ampliamente que los sistemas operativos más antiguos.