Інші ідентичні назви опції: Security Chip, Execute TPM Command.

До опцій BIOS, призначених для захисту інформації комп'ютера, входить опція Trusted Platform Module. Вона дозволяє включити підтримку однойменного апаратно-програмного комплексу захисту інформації. Користувач може вибрати лише два варіанти значень опції – Enabled (Увімкнено) та Disabled (Вимкнено).

Навряд чи знайдеться такий користувач, якого абсолютно не хвилювала проблема захисту конфіденційної інформації, розташованої на його комп'ютері. У комерційній та промисловій сфері на вирішення цієї проблеми витрачаються величезні кошти, але досі ефективного і при цьому недорогого засобу, що дозволяє захистити комп'ютерні дані, так і не було знайдено.

Система Trusted Platform Module є однією із спроб задовольнити нагальну потребу у подібній технології. Хоча вона і не є панацеєю, проте вона здатна значно підвищити рівень захисту інформації як на рівні комп'ютерних мереж, так і на рівні окремих комп'ютерів та інших пристроїв, що містять важливі дані.

Trusted Platform Module (TPM, довірений платформний модуль) – це програмно-апаратний комплекс захисту інформації. Комплекс може встановлюватися на будь-які комп'ютери і навіть окремі накопичувачі та мобільні пристрої, такі як смартфони. Найчастіше комплексом TPM оснащуються ноутбуки. Що важливо, комп'ютерні системи, оснащені апаратними модулями TPM, коштують не набагато дорожче, ніж аналогічні за характеристиками системи, не оснащені TPM.

Основні властивості даних, які покликана забезпечити технологія TPM:

• Захист
• Цілісність
• Безпека
• Авторство

Стандарт TPM був розроблений рядом відомих виробників програмного та апаратного забезпечення, до яких входять Microsoft, HP, Intel, IBM. Згодом до них приєдналися такі компанії, як Sun, AMD, Sony і Verisign.

Використання TPM дозволяє запобігти зламу комп'ютера та витоку важливої ​​інформації, зараження його троянськими програмами та вірусами, зберегти цілісність ліцензійного програмного забезпечення, забезпечити захист мережевого трафіку. Система TPM може гарантувати захист програмного забезпечення від модифікації, а також захист даних від копіювання.

Накопичувачі, що підтримують систему TPM, здатні здійснювати апаратне шифрування даних, що забезпечує захист конфіденційної інформації. При авторизації користувача в системі TPM можуть використовуватися різні методи, у тому числі біометричні, такі, як сканування відбитків пальців.

Специфікація TPM дозволяє використовувати як програмну, так і апаратно-програмну реалізацію технології. Насправді в більшості випадків використовується другий варіант, як дає найбільшу ступінь захисту.

Основою системи TPM є спеціальний чіп, вбудований у материнську плату. Цей чіп, який часто називають криптографічним процесором або просто криптопроцесором, містить необхідні для захисту інформації програмні та апаратні засоби. Його призначення – зберігати та генерувати ключі, проводити асиметричне шифрування та хешування даних. Мікросхеми криптопроцесорів на сьогоднішній день виготовляються багатьма виробниками та встановлені на мільйонах комп'ютерів.

При завантаженні комп'ютера з встановленою системою TPM за допомогою криптопроцесора проводиться перевірка на ідентичність всіх основних компонентів комп'ютера, як апаратних, так і програмних, таких як BIOS та операційна система. У разі успіху подібної перевірки комп'ютер вважається таким, що працює в так званому перевіреному стані. У цьому стані можуть виконуватися будь-які програми, у тому числі й ті, що вимагають захисту та збереження конфіденційності даних, а також може здійснюватися доступ до зашифрованих даних.

На програмному рівні для роботи TPM необхідна підтримка технології операційної системи, а також наявність спеціального програмного забезпечення. Технологія Trusted Platform Module підтримується більшістю сучасних операційних систем Windows, починаючи з Windows XP SP2, а також сучасними версіями Linux.

Опція Trusted Platform Module дозволяє включити до BIOS підтримку цієї технології. Вона доступна лише у тому випадку, якщо материнська плата комп'ютера оснащена криптопроцесором-мікросхемою TPM. Вибір значення Enabled дозволяє користувачеві увімкнути цю мікросхему, а значення Disabled – вимкнути.

Чи варто вмикати?

Відповідь на це запитання залежить від того, чи встановлена ​​у вас на комп'ютері система Trusted Platform Module. Якщо так, систему варто включити. Однак, необхідно пам'ятати, що використання системи не є панацеєю і не завжди може замінити застосування традиційних антивірусів, брандмауерів та інших засобів комп'ютерної безпеки.

Виробники BIOS пропонують користувачеві вибір, і ви завжди зможете вимкнути цю систему, якщо ви не потребуєте її допомоги. Само собою, якщо ваш комп'ютер оснащений старою операційною системою, що не підтримує TPM (Windows XP SP1 і старіші ОС), то включення її також не має сенсу.

Філософи минулого любили розмірковувати про волю. «Ті, хто готовий віддати свою свободу, щоб придбати недовговічний захист від небезпеки, не заслуговують ні на свободу, ні на безпеку», - стверджував Бенджамін Франклін. «Людина не може бути рабом, то вільною. Він або вільний - або його взагалі немає», - категорично заявляв Жан-Поль Сартр. "Свобода є усвідомлена необхідність", - наводили цитату Бенедикта Спінози марксисти.

Що таке свобода? Чи важливо людині бути вільною, і чи готова вона обміняти свободу на безпеку? На роздуми на цю тему підштовхнув не помічений широкою громадськістю привід. Влітку цього року завершилося голосування Технічного комітету JTC1 про затвердження, у передбаченому процедурою PAS спрощеному порядку, нової версії стандарту ISO/IEC 11889:2015, яку представив консорціум Trusted Computing Group (TCG), заснований американськими компаніями AMD, Cisco, HP, IBM, Intel , Microsoft та Wave Systems. І 29 червня в Портленді (шт. Орегона) TCG оголосив, що його стандарт Trusted Platform Module (TPM) 2.0 остаточно затверджений міжнародним.

Переваги TPM

TPM - це назва специфікації, що описує криптомодуль, у якому зберігаються криптографічні ключі захисту інформації. Можна сказати і простіше: це модуль інформаційної безпеки, який може бути встановлений на сервери, персональні комп'ютери, мережні та мобільні пристрої. Він підтримує віддалену атестацію, що забезпечує зв'язок апаратних та програмних засобів комп'ютера.

Модуль зручний для правовласників, оскільки дозволяє перевіряти ліцензійність програмних засобів, контролювати незаконне копіювання музики, фільмів чи комп'ютерних ігор. Він однозначно визначає комп'ютер та дозволяє аутентифікувати користувача. При цьому TPM дозволяє генерувати ключі, має функції хешування, генерації випадкових чисел.

Апаратні можливості TPM дуже обмежені за потужністю та не дозволяють безпосередньо шифрувати великі обсяги даних із високою швидкістю. Функцію масового шифрування файлів на дисках можна виконувати за допомогою Windows Bitlocker. При цьому криптоключі самі шифруються за допомогою TPM, що виключає ймовірність їх крадіжки.

Таким чином, TPM може у зв'язці з Windows Bitlocker шифрувати диск, захищати дані при втраті або крадіжці комп'ютера, програмного забезпечення від модифікації та ураження вірусами, а також банківські та поштові програми.

Модуль може підтвердити справжність комп'ютера і навіть його працездатність ще до отримання доступу до мережі. В цілому він суттєво підвищує безпеку користувачів, особливо тих, хто мало розуміється на питаннях ІБ і не може вирішити їх самостійно.

Дійсно, TPM річ важлива та корисна. Істотно підвищує безпеку користувача. Але постає питання ціни безпеки. Якщо людина встановлює веб-камеру у себе в будинку, вона підвищує безпеку свого житла. Він може постійно віддалено контролювати квартиру і викликати поліцію у разі появи злодіїв. Але якщо у нього перехоплять можливість керування веб-камерою, то з пристрою безпеки вона може перетворитися на пристрій стеження. Зібрана інформація про людину - відповідно до засобів контролю та управління. А на камеру, щоправда, швидше на тюремну, перетворюється сама його квартира.

Позиція Німеччини

Результат голосування Технічного комітету ISO/IEC JTC1 був передбачуваним. Проти проголосувала лише Німеччина. Росія утрималася, втім, її голос «проти» все одно нічого вже не вирішив би. Більшість підтримала позицію американців. Не допомогла і безпрецедентна акція – розсилка членам комітету закритого листа від офіційних представників федерального міністерства внутрішніх справ та федерального міністерства економіки та енергетики ФРН із проханням «поховати» проект. Інформація про цей документ просочилася до німецького друку і наробила багато галасу.

На державному рівні наявність такого листа спростувала німецька влада, втім, чого ще в такому разі можна очікувати від офіційної влади. У тексті німецького листа, наявного в розпорядженні редакції і в справжності якого ми не маємо підстав сумніватися, написано, що «...представлені в проекті стандарту специфікації недостатньо опрацьовані для прийняття рішення; зокрема, в результаті ретельного розгляду питання ми маємо підстави вважати, що їх реалізація може значно погіршити можливість управління ІКТ-системою, що захищається, а також потенційно призводити до ситуацій повного блокування роботи системи, що здійснюється на користь деяких виробників засобів обчислювальної техніки. Крім цього, ми вважаємо, що потенційний вплив запропонованих специфікацій на рівень забезпечення конфіденційності персональних даних та безпеки ІТ може виявитися досить проблематичним, і побоюємося того, що це увійде в суперечність із відповідними нормами законодавства Німеччини».

При цьому німецькі ІБ-фахівці не виступали проти TPM у принципі. Їх влаштовував попередній стандарт TPM 1.2, при якому користувач залишав повний контроль за своєю платформою. Модуль TPM можна було легко вимкнути. У стандарті TPM 2.0 це не вийде.

Крім того, вони викликали побоювання сам підхід до розробки стандарту, в якому брали участь тільки американські компанії. Журналісти Zeit повідомили, що німецький уряд намагався взяти участь у розробці TPM 2.0, проте отримав відмову. Вони ж вказали на активну співпрацю розробників стандарту з АНБ США та навели оцінки безпеки TPM 2.0 з боку незалежних експертів. Видання попередило, що TPM можна розглядати як бекдор і є більша ймовірність, що доступ до криптографічних ключів має АНБ.

Форточки та вікна

Експертів німецького федерального відомства безпеки в інформаційних технологіях (BSI) насторожувало, що з переходом на специфікацію TPM 2.0 цей стандарт стає обов'язковим для всіх пристроїв під Windows 8.1 і вище, причому ця функція не підлягає дезактивації.

Фактично комп'ютер з TPM 2.0 не можна розглядати як пристрій, який знаходиться під повним контролем користувача. Було висловлено побоювання, що Windows 8 з TPM 2.0 може дозволяти Microsoft керувати комп'ютером віддалено через вбудований чорний хід.

Китайські експерти також читали про німецьке попередження. Вони досліджували проблему, розібралися в деталях та ухвалили рішення. У травні 2014 р. китайська урядова агенція Сіньхуа повідомила про заборону встановлення Windows 8 на урядові комп'ютери. А це швидше за все комп'ютери, що належать не тільки державі, а й тим структурам, які державою контролюються, - найбільшим банкам, підприємствам сфери ІБ, телекому, а також іншим компаніям, які бажають дотримуватися рекомендацій свого уряду.

В іншому внутрішньому документі BSI, отриманому німецьким виданням, йдеться: «Windows 7 може керуватися безпечно до 2020 р. Після цього для адміністрування ІТ-систем мають бути знайдені інші рішення». На сайті BSI прямо написано, що механізм роботи Windows 8 з TPM 2.0 «може бути використаний для диверсій з боку третіх осіб» і що фахівці вважають неприпустимим застосування нової версії TPM урядовими організаціями та об'єктами критично важливої ​​інфраструктури. Тож, схоже, німці та китайці не поспішатимуть оновлювати Windows 7 у держсекторі навіть до Windows 8.

Позиція Росії

Щоб дізнатися про позицію Росії, ми звернулися до експертів - членів Технічного комітету ISO/IEC JTC1, російських компаній «Акваріус» та «Крафтвей» та до компанії Microsoft з проханням прокоментувати серйозність побоювань Німеччини та Китаю щодо нового стандарту.

На жаль, експерти або проігнорували наші запитання, або заявили, що відмовляються відповідати на них. Єдиний фахівець, який погодився на інтерв'ю, - незалежний експерт з кібербезпеки в автоматизованих системах управління Вадим Подольний.

Чим хороший і небезпечний TPM?

TPM, чи це найбільш поширений зараз TPM 1.2 або впроваджуваний TPM 2.0, це технологічний стандарт, що просувається великими американськими компаніями. Насправді TPM - це окремий модуль, який інтегрується в комп'ютери.

Зараз у нас, крім ПК, серверів, терміналів, мережевих маршрутизаторів, з'явилося ще багато нових компонентів, підключених до мережі. Це контролери для промислової автоматизації, пристрої Інтернету речей, пристрої, які відповідають за здоров'я людини, - кардіостимулятори, глюкометри, вбудовані в годиннику... Внаслідок хакерського втручання вони можуть помилково спрацювати або, навпаки, помилково не спрацювати. Модулі довіри TPM вирішують важливе завдання – довіри до даних, довіри до системи, підтверджуючи, що вона спрацює коректно.

Ідея TPM правильна. Має бути стандартні модулі, які забезпечують юридичну значущість інформації. Сама концепція така: зробити модуль, який складно зробити хакерам і зробити який може лише велика держава. Це як купюра як метод захисту грошей. В цьому немає нічого поганого.

Запитання в іншому. У Windows 7 була іконка "Мій комп'ютер". У Windows 10 вона називається "Цей комп'ютер". Це вже не ваш комп'ютер. Нам нав'язують технології, які забезпечуватимуть нашу безпеку незалежно від того, хочемо ми цього чи ні. Начебто держава запроваджує сухий закон і каже, що тепер ви не пиячитимете, бо суспільству потрібні здорові солдати. Так і тут.

Якщо ваш комп'ютер захоплюють, то він комусь для чогось потрібен. Можливо, щоб стежити за вами. Якщо ви не можете вимкнути цей функціонал, це не засіб захисту. Це пасивний засіб нападу. Збір інформації – це пошук точки для нападу. Microsoft відбирає у вас комп'ютер за ваші гроші. Вона продає вам свою операційну систему та забирає у вас контроль.

Чи можна перевірити, чи є у TPM-модулі бекдор чи ні?

Можна проаналізувати стандарт. Але коли до вас приходить комп'ютер, у чию материнську плату впаяно модуль TPM, вироблений не на підприємстві, яке ви контролюєте, - ви не знаєте, що там усередині. Туди можуть додати будь-що.

Але додати закладку можна і в будь-який процесор чи контролер?

Так звичайно. І підхід має бути таким самим. У військових системах регулятори ніколи не дозволять застосовувати чіп, зроблений невідомо ким, навіть за відкритим стандартом. Тому в нас з'являються процесори «Байкал» та «Ельбрус». Інженерних сил Росії достатньо, щоб спроектувати свій TPM. Поки що ми не можемо зробити його на наших заводах. Як і процесор. Але ми можемо спроектувати, а потім перевірити – чи зробили нам так, як нам потрібно було, чи туди щось додали. Такий механізм дозволить використовувати TPM.

А що нам робити зараз, коли свого TPM ми не маємо?

Використовувані аналоги TPM, що багато в чому виконують його роль, - це апаратні модулі довіреного завантаження. Вони використовують навіть зараз, коли на материнських платах з'явилися TPM.

З'явилася також можливість модифікування BIOS, з'явилася технологія UEFI, стандарт, який дозволяє створювати модулі довіреного завантаження програмно. Практично у яких можна розмістити програми, эмулирующие роботу TPM, що робиться у багатьох технологіях. Наприклад, операційній системі seOS, сертифікованої ФСБ.

А що щодо російського модуля TPM?

У нас і зараз у Росії є компанії, які для своїх проектів замовляють материнські плати. Наприклад, "Акваріус", "Крафтвей", "Т-Платформи", МЦСТ та інші. Кожна з них цілком спроможна спроектувати свій модуль TPM. І він, напевно, буде створений найближчим часом, за допомогою вітчизняних ГОСТованих криптографічних алгоритмів. А це важливо не лише для оборонних підприємств, а й для широкого кола споживачів, які зобов'язані виконувати положення закону 152-ФЗ «Про персональні дані».

Чому проти стандарту TPM 2.0 так різко виступили німці?

Дуже просто. Вони хочуть захищати свої дані та технології від США. Помнете, як з'явився SUSE Linux? Це сталося після того, як з'ясувалося, що при передачі документів з одного департаменту Бундесверу в іншу інформація спочатку опинялася до АНБ. Тоді в Німеччині було створено SUSE Linux і відомство було переведено на роботу із цією ОС.

У Linux, починаючи з ядра 3.2, також анонсована підтримка TPM 2.0. Але її можна вимкнути. А в ОС Windows вище вісімки не можна. Windows дуже зручна операційна система користувача. Вона чудово продумана. Десятки тисяч програмістів працюють над тим, щоб користувачам було зручно та комфортно. Але будь-яка зміна, яку примусово нав'язують, говорячи, що це для вашої безпеки, напружує. І спеціалістів, і посадових осіб, і уряду.

Щоб не боятися TPM, потрібно зайнятися спеціальними дослідженнями, провести перевірку та з'ясувати, є там щось небезпечне чи ні. Це цілком стандартна процедура. Іноді вона виконується із виїздом на виробництво. Це нормальна практика, коли представники країни приїжджають у країну виробника і якийсь час сидять на виробництві, розуміються на процесах.

А хто цим займатиметься?

Це може бути цікавим для великих комерційних компаній. Я думаю, якісь дослідницькі роботи у такому форматі вже йдуть. А державі це одразу не цікаво, бо там немає нашої криптографії, тож для оборонних галузей існуючі модулі не годяться.

А чи можна використовувати комп'ютери з TPM у держорганах?

Питання використання TPM у держорганах досить складне. Думаю, що в наступних редакціях TPM вже з'явиться можливість заміни криптоалгоритмів. Можна вже зараз знову прошити BIOS і додати свої компоненти. Так буде й у TPM. Щодо поточного використання у держсекторі – про це говорити рано. Але займатися дослідженням можливості реалізації стандарту необхідно. А також необхідно брати участь у розробці наступної його версії. Щоб мати можливість зашивати нашу криптографію у чужій TPM.

... Загалом позиція зрозуміла. TPM – новий рівень у забезпеченні безпеки. Держава якось вирішить питання в оборонці, а інші користуватимуться тим, що є. Здебільшого від диких хакерів TPM захистить (у тих питаннях захисту, які забезпечує TPM), а від уваги Великого брата все одно нікуди не дінешся.

Сам консорціум, який стартував як суто американський проект, розширюється. Зараз у складі TCG числяться 11 членів у статусі Promoter (AMD, Cisco, Fujitsu, HP, IBM, Infenion, Intel, Juniper, Lenovo, Microsoft та Wave Systems) та 74 члени у статусі Contributor. У цих списках з'явилися японські та китайські компанії. Але російських представників там, як і раніше, немає.

Свобода чи безпека? Часи екзистенціалістів Сартра і Камю, які обирали «дороги свободи» і вивчали вільну людину, що стоїть на межі «ніщо», пішли в минуле разом із минулим століттям. Більшість людей обрала безпеку. І зараз сперечається лише про довжину повідця. Отже, для масового користувача проблеми TPM не існує. Але державі має бути не байдуже питання, на чиєму повідку знаходяться його держструктури. Та й його громадяни також.

Постійно зростаюча кількість «хробаків», вірусів та елементарних дірок у сучасних операційних системах та мережевих сервісах змушує ІТ-фахівців розробляти все нові та нові засоби інформаційної безпеки. Раніше використовувалися переважно програмні рішення – апаратно-програмні були доступні далеко не всім. Зараз завдяки технології TPM (Trusted Platform Module) дані рішення прийшли в маси і стали доступні кожному. У цьому додатку ми поговоримо про те, що таке TPM і чому є сенс використовувати цю технологію на підприємстві.

Що таке TPM

TPM є мікроконтролером, призначеним для реалізації основних функцій щодо забезпечення безпеки з використанням ключів шифрування. Чіп TPM встановлюється на материнській платі комп'ютера та здійснює взаємодію Космосу з іншими компонентами системи через системну шину.

Концепція «платформних модулів, що довіряються» (саме так перекладається російською мовою абревіатура TPM) належить консорціуму Trusted Computing Group (TCG), який існує з 2004 року.

Сама технологія TPM з'явилася не 2004 року, а раніше. У 1999 році було створено Альянс довірених комп'ютерних платформ (Trusted Computing Platform Alliance, TCPA). До цього альянсу входили найважливіші розробники апаратного та програмного забезпечення – IBM, HP, Microsoft та ін. рішення, прийняте іншими членами), тому TPM розвивалася досить неспішно.

У 2004 році альянс TCPA був перетворений на консорціум. TrustedComputingGroup. Структура цієї організації була іншою. Важливі рішення можуть ухвалювати лише обрані компанії (вони називаються промоутерами – promoters). Такими компаніями зараз є Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoftі Verisign. Інші компанії (їх більше тисячі) мають право лише брати участь у розробці чорнових специфікацій або просто отримувати більш ранній доступ до нових розробок.

Основним результатом діяльності TCPA/TCG є «модуль, що довіряється», який раніше називався «чіпом Фріца» (Fritz Chip). Названий він був на честь американського сенатора Фріца Холлінгса (Fritz Hollings), відомого підтримкою системи захисту авторських прав на цифрову інформацію (Digital Rights Management, DRM).

Завдання TPM

Основне завдання TPM – це створення безпечного комп'ютера, в якому перевіряються та захищаються всі процеси зв'язку, а також апаратне та програмне забезпечення. Під захистом зв'язку мається на увазі процес захисту мережевого з'єднання, а захист процесу взаємодії між окремими частинами системи (наприклад, ОС).

Модуль TPM може використовуватись і для перевірки цілісності та авторства даних. Доступ до даних повинні мати тільки авторизовані користувачі, при цьому повинна забезпечуватися безпека передачі самої інформації. Перевірка цілісності забезпечить захист системи від вірусів, черв'яків та інших програм, що змінюють дані без повідомлення користувача.

При розробці TPM не ставилося завдання створити модуль тільки для захисту персональних комп'ютерів або ноутбуків від вірусів - цю технологію можна використовувати для безпеки мобільних телефонів, КПК, пристроїв введення, дискових накопичувачів. Разом із ним можна застосовувати пристрої біометричної ідентифікації.

Захистом мережевих з'єднань займається окремий підрозділ TCG – Trusted Network Connect (TNC). Ми не розглядатимемо плоди діяльності TNC, а обмежимося лише TPM.

«Залізо» та математика

Логічно припустити, що сам чіп TPM на материнській платі не вирішує. Потрібна підтримка з боку решти «заліза» та математики – програмного забезпечення.

Наприклад, можна встановити жорсткий диск з підтримкою TPM (мал. П37). Такі жорсткі диски вже давно випускає Seagate(Momentus 5400 FDE.2). Але Seagate- далеко не єдиний виробник вінчестерів з функцією шифрування. Інші виробники, наприклад Hitachi, також випускають криптографічні накопичувачі. Отже, вибір «заліза» у вас є (прочитати про інших виробників апаратного та програмного забезпечення з підтримкою TPM можна на сайті www.tonymcfadden.net).

Мал. П37. Жорсткий диск Seagate Momentus 5400 FDE.2

Що стосується ОС, технологія TPM підтримується більшістю сучасних операційних систем – Windows Vista, Microsoft Windows Server 2003 SP1, Windows XP SP2, Windows XP Professional x64, SUSE Linux (починаючи з версії 9.2) та Enterprise Linux (починаючи з версії 3 update 3) .

Як працює TPM

Як зазначалося, модуль TPM реалізується як чіпа на материнській платі. Чіп TPM інтегрується в процес завантаження комп'ютера і перевіряє хеш системи за допомогою алгоритму SHA1 (Secure Hash Algorithm), він обчислюється на основі інформації про всі компоненти комп'ютера як апаратних (процесора, жорсткого диска, відеокарти), так і програмних (ОС).

У процесі завантаження комп'ютера чіп перевіряє стан системи, яка може бути запущена тільки в перевіреному режимі (authorized condition), що можливе лише у разі правильного значення хеша.

Налаштування TPM у Windows

У цьому посібнику описано використання служб TPM у Windows Vista:

У Windows Vista і Windows Server 2008 застосовується технологія шифрування дисків BitLocker, яка тісно взаємопов'язана з модулями, що довіряються (рис. П38). Про налаштування BitLocker у Windows Server 2008 та Vista (рис. П39, П40) можна прочитати тут:

Мал. П38. Компоненти BitLocker
Мал. П39. Шифрування BitLocker вимкнено: модуль TPM не встановлений або вимкнений (BIOS)
Мал. П40. Схема взаємодії Full Volume Encryption та TPM у Windows

Готові системи з підтримкою TPM

Готові TPM-комп'ютери вже давно є у вільному продажу: як ноутбуки, і настільні комп'ютери. Зазвичай такі системи випускаються відомими виробниками типу HP, тому їх вартість може бути трохи завищена (доплата «за марку»).

Бажаючим заощадити можна порекомендувати купити залізо з підтримкою TPM і зібрати все разом самостійно. Необхідні материнські плати випускаються багатьма виробниками, наприклад ASUS (M2N32-SLI Premium), MSI (Q35MDO) та інших. (рис. П41).

Мал. П41. Материнська плата ASUS M2N32-SLI Premium (з підтримкою TPM)

Навіщо потрібна TPM

По-перше, TPM – це підвищення загальної безпеки системи та додатковий, реалізований на апаратному рівні захист від вірусів, «троянів» та іншої комп'ютерної нечисті. А на безпеці, особливо на підприємстві, як ми знаємо, заощаджувати не варто.

По-друге, TPM – це шифрування даних на жорсткому диску. TPM дозволяє знайти компроміс між безпекою та продуктивністю.

Оскільки шифрування складає апаратному рівні, це мало відбивається на продуктивності.

По-третє, за допомогою TPM можна взагалі обійтися без пароля, використавши замість нього відбиток пальця користувача. Погодьтеся, досить ефективне рішення. Вчора подібні системи ми бачили наполовину фантастичних фільмах, а сьогодні – це вже реальність.

TPM не панацея

Важливо пам'ятати, що TPM не універсальний засіб і панацея від усіх комп'ютерних негараздів. Хороший антивірус та брандмауер ніхто не скасовував. TPM розроблявся більше для захисту інтересів софтварних гігантів: щоб не дозволити користувачеві запускати неліцензійний софт. З цієї точки зору ще не ясно, TPM – це добре чи погано з огляду на кількість неліцензійних програм на наших просторах. Давайте будемо дивитися правді у вічі – піратського софту дуже багато.

Також не слід забувати про людський чинник. Людина може навмисно повідомити пароль до своєї системи або записати його десь на жовтому папірці, який приклеїти до монітора, або просто встановити дуже простий пароль, який нескладно підібрати. У цій ситуації TPM точно не допоможе. Тут на допомогу приходить софт, а саме системи контролю доступу, але це інша історія.

Примітки:

Перш ніж приступити до читання цієї книги, варто поговорити про одиниці виміру інформації. Базова одиниця виміру інформації – це один біт. Біт може містити одне з двох значень - або 0 або 1. Вісім бітів формують байт. Цієї кількості бітів достатньо, щоб за допомогою нуліків та одиниць закодувати 1 символ. Тобто в одному байті міститься 1 символ інформації - буква, цифра і т. д. 1024 байти - це один кілобайт (Кб), а 1024 кілобайти - це 1 мегабайт (Мб). 1024 мегабайти – це 1 гігабайт (Гб), а 1024 гігабайти – це 1 терабайт (Тб).

Зверніть увагу: саме 1024, а не 1000. Чому було вибрано значення 1024? Тому що в комп'ютері використовується двійкова система числення (є лише 2 значення - 0 і 1), 2 в 10-му ступені - це і є 1024.

Не завжди, але часто велика літера "Б" при вказівці одиниці виміру інформації означає "байт", а маленька - "біт". Наприклад, 528 Мб - це 528 мегабіт, якщо перевести цю величину в мегабайти (просто розділіть на 8), то вийде 66 мегабайт (66 МБ).

2,5-дюймовий жорсткий диск Momentus 5400 FDE.2 (full disk encryption) Seagateпоставляється у складі ноутбуків ASI C8015+ (вартість ноутбука приблизно 2100 доларів). Вінчестер має вбудовану систему динамічного шифрування з апаратним прискоренням і підтримкою TPM. Крім того, до складу ноутбука включена система зчитування відбитків пальців, що робить його приблизно на 20% дорожчим за звичайний ноутбук з такою ж конфігурацією. Розмір жорсткого диска Momentus може бути 80, 100, 120 та 160 Гб. Використовується інтерфейс SATA 3 Гбіт/с.

Головна особливість Momentus FDE.2 полягає у шифруванні/дешифруванні записуваної та зчитуваної інформації за допомогою алгоритму AES зі 128-бітним ключем на рівні мікропрограмного забезпечення (firmware) DriveTrust. Шифрування даних здійснюється абсолютно прозоро, тобто непомітно для користувача. У відкритому (незашифрованому) вигляді інформація подається лише у додатках. На жорсткому диску дані зберігаються лише у зашифрованому вигляді.

Зазвичай процес програмного шифрування істотно знижує продуктивність системи (хто працював із PGPDisk, той розуміє, про що йдеться). Але оскільки у випадку з Momentus FDE.2 шифрування здійснюється на апаратному рівні, це збільшує завантаження центрального процесора всього на кілька відсотків.

При завантаженні TPM-системи користувач має ввести пароль. Пароль необхідний як продовження завантаження, а й дешифрування даних. Раніше також можна було встановити пароль у SETUP, без якого неможливе завантаження операційної системи. Але можна було зняти жорсткий диск і підключити його до іншого комп'ютера. Якщо не застосовувалися якісь криптографічні засоби, то зчитування інформації з жорсткого диска не мало проблем. У випадку з TPM, навіть якщо ви знімете HDD та підключите його до іншого комп'ютера, ви не зможете прочитати інформацію, оскільки вона зашифрована, а ви не знаєте пароля для її розшифрування.

А що робити, якщо користувач забув пароль? Тоді можна застосувати головний пароль. А якщо забутий головний пароль (або ви його просто не знаєте), тоді…

Крім того, передбачено функцію crypto-erase, яка призначена для знищення всіх даних з жорсткого диска. Така операція необхідна при списанні вінчестера або передачі його іншому користувачеві.

Trusted Platform Module

У обчислювальній техніці, Trusted Platform Module(TPM) - назва специфікації, що описує криптопроцесор , в якому зберігаються криптографічні ключі для захисту інформації, а також узагальнене найменування реалізацій зазначеної специфікації, наприклад у вигляді чипу TPM або пристрою безпеки TPM (Dell). Раніше називався "чіпом Фріца" (колишній сенатор Ернест "Фріц" Холлінгс відомий своєю гарячою підтримкою системи захисту авторських прав на цифрову інформацію, DRM). Специфікація TPM розроблена Trusted Computing Group (англ.). Поточна версія специфікації TPM - 1.2 ревізія 116, видання 3 березня 2011 року.

Короткий огляд

Trusted Platform Module (TPM), криптопроцесор, забезпечує засоби безпечного створення ключів шифрування, здатних обмежити використання ключів (як для підпису так і для шифрування/дешифрування), з таким самим ступенем неповторюваності, як і генератор випадкових чисел . Також цей модуль включає наступні можливості: віддалену атестацію, прив'язку та надійне захищене зберігання. Віддалена атестація створює зв'язок апаратних засобів, завантаження системи та конфігурації хоста (ОС комп'ютера), дозволяючи третій особі (на зразок цифрового магазину музики) перевіряти, щоб програмне забезпечення, або музика, завантажена з магазину, не були змінені або скопійовані користувачем (див. ТСЗАП ). Криптопроцесор шифрує дані таким способом, що вони можуть бути розшифровані тільки на комп'ютері, де були зашифровані, під керуванням того самого програмного забезпечення. Прив'язка шифрує дані, використовуючи ключ підтвердження TPM - унікальний ключ RSA, записаний у чіп у процесі його виробництва, або інший ключ, якому довіряють.

Модуль TPM можна використовувати для підтвердження справжності апаратних засобів. Так як кожен чіп TPM унікальний для специфічного пристрою, це уможливлює однозначне встановлення справжності платформи. Наприклад, щоб перевірити, що система, до якої здійснюється доступ, - очікувана система.

Архітектура TPM

В архітектурі чіпа реалізовані такі захисні алгоритми:

• захищене управління пам'яттю,
• шифрування шини та даних,
• активне екранування.

Активне екранування дозволяє чіпу детектувати електричне тестування та, у разі потреби, блокувати чіп. Крім того, при виготовленні TPM використовують і нестандартні технологічні кроки, такі як заплутування топології шарів ІС. Ці заходи значно ускладнюють зламування чіпа, збільшують вартість злому, що веде до зменшення потенційних порушників.

Введення/Виведення (англ. I/O)

Цей компонент управляє потоком інформації по шині. Надсилає повідомлення до відповідних компонентів. I/O компонент вводить у дію політику доступу, пов'язану з функціями TPM.

Криптографічний процесор

Здійснює криптографічні операції усередині TPM. Ці операції включають:

• генерація асиметричних ключів (RSA);
• Асиметричне шифрування/розшифрування (RSA);
• Хешування (SHA-1);
• Генерація випадкових чисел.

TPM використовує ці можливості для генерації випадкових послідовностей, генерації асиметричних ключів, цифрового підпису та конфіденційності даних, що зберігаються. Також TPM підтримує симетричне шифрування для внутрішніх потреб. Всі ключі, що зберігаються, по силі повинні відповідати ключу RSA довжиною 2048 біт.

Енергонезалежна пам'ять (англ. Non-Volatile Storage)

Використовується для зберігання ключа підтвердження, кореневого ключа (англ. Storage Root Key, SRK), авторизаційних даних, різних прапорів.

Ключ підтвердження (англ. Endorsement Key, EK)

Генератор ключів RSA (англ. RSA Key Generator)

Створює кілька ключів RSA. TCG не накладає мінімальних вимог на час генерації ключів.

Пристрій RSA (англ. RSA Engine)

Використовується для цифрових підписів та шифрування. Немає обмежень на реалізацію алгоритму RSA. Виробники можуть використовувати китайську теорему про залишки або будь-який інший метод. Мінімально рекомендована довжина ключа – 2048 біт. Значення відкритої експоненти має бути.

Довірена платформа (англ. The trusted Platform)

У системах TCG коріння довіри (roots of trust) – компоненти, яким потрібно довіряти. Повний набір коренів довіри має мінімальну функціональність, необхідну для опису платформи, що впливає на довіреність цій платформі. Є три корені довіри: корінь довіри для вимірювань (RTM), корінь довіри для зберігання (RTS) та корінь довіри для повідомлень (RTR). RTM - обчислювальний механізм, який виготовляє надійні виміри цілісності платформи. RTS – обчислювальний механізм, здатний зберігати хеші значень цілісності. RTR - механізм, який надійно повідомляє про інформацію, що зберігається в RTS. Дані вимірювань описують властивості та характеристики компонентів, що вимірюються. Хеші цих вимірів – «знімок» стану комп'ютера. Їх зберігання здійснюється функціональністю RTS та RTR. Порівнюючи хеш виміряних значень з хеш довіреного стану платформи можна говорити про цілісність системи.

Можливі застосування

Аутентифікація

TPM може розглядатися як токен (Security token) аутентифікації наступного покоління. Криптопроцесор підтримує автентифікацію користувача та комп'ютера, забезпечуючи доступ до мережі лише авторизованим користувачам та комп'ютерам. Це може використовуватися, наприклад, для захисту електронної пошти, що базується на шифруванні або підписуванні за допомогою цифрових сертифікатів , прив'язаних до TPM. Також відмова від паролів та використання TPM дозволяють створити сильніші моделі аутентифікації для дротового, бездротового та VPN доступу.

Захист даних від крадіжки

Це основне призначення "захищеного контейнера". Пристрої, що самошифруються, реалізовані на основі специфікацій Trusted Computing Group, роблять доступними вбудоване шифрування і контроль доступу до даних. Такі пристрої забезпечують повне шифрування диска, захищаючи дані у разі втрати або крадіжки комп'ютера.

Переваги:

• Поліпшення продуктивності

Апаратне шифрування дозволяє оперувати з усім спектром даних без втрат продуктивності.

• Посилення безпеки

Шифрування завжди увімкнено. Крім того, ключі генеруються всередині пристрою і ніколи не залишають його.

• Низькі витрати використання

Не потрібні модифікації операційної системи, додатків тощо. буд. Для шифрування не використовуються ресурси центрального процесора.

Великі перспективи має зв'язка TPM + Bitlocker. Таке рішення дозволяє прозоро від ПЗ шифрувати весь диск.

Керування доступом до мережі (NAC)

TPM може підтверджувати справжність комп'ютера і навіть його працездатність ще до отримання доступу до мережі та, якщо необхідно, поміщати комп'ютер у карантин.

Захист ПЗ від зміни

Сертифікація програмного коду забезпечить захист ігор від читерства, а чутливі програми на кшталт банківських та поштових клієнтів – від навмисної модифікації. Відразу буде припинено додавання «троянського коня» в інсталятор свіжої версії месенджера.

Захист від копіювання

Захист від копіювання заснований на такому ланцюжку: програма має сертифікат, що забезпечує їй (і лише їй) доступ до ключа розшифровки (який також зберігається в TPM'і). Це дає захист від копіювання, який неможливо оминути програмними засобами.

Реалізація

Виробники

Вже понад 300 "000" 000 комп'ютерів було оснащено чіпом TPM. У майбутньому TPM може встановлюватись на такі пристрої, як мобільні телефони. Мікроконтролери TPM виробляються такими компаніями:

• Sinosun,
• Nuvoton,

Критика

Trusted Platform Module критикується і за назву (довіра – анг. trust- завжди взаємне, у той час як користувачеві розробники TPM і не довіряють), так і за утиски свободи, пов'язані з ним. За ці утиски пристрій часто називають Treacherous computing(«Вероломні обчислення»).

Втрата «володіння» комп'ютером

Власник комп'ютера більше не може робити з ним все, що завгодно, передаючи частину прав виробникам програмного забезпечення. Зокрема, TPM може заважати (через помилки в ПЗ або навмисне рішення розробників):

• переносити дані на інший комп'ютер;
• вільно вибирати програмне забезпечення для свого комп'ютера;
• обробляти наявні дані будь-якими доступними програмами.

Втрата анонімності

Досить згадати суперечки з приводу ідентифікаційного номера процесора Pentium III , щоб зрозуміти, до чого може призвести ідентифікатор комп'ютера, що віддалено читається і незмінний.

Придушення конкурентів

Програма, яка стала лідером галузі (як AutoCAD, Microsoft Word або Adobe Photoshop) може встановити шифрування на свої файли, унеможливлюючи доступ до цих файлів за допомогою програм інших виробників, створюючи, таким чином, потенційну загрозу вільної конкуренції на ринку прикладного ПЗ.

Несправність

При поломці TPM захищені контейнери виявляються недоступними, а дані в них - невідновними. TPM практичний лише якщо існує складна система резервного копіювання – природно, для забезпечення таємності вона повинна мати свої TPM'и.

Зломи

На конференції з комп'ютерної безпеки Black Hat 2010 було оголошено про зламування чіпа Infineon SLE66 CL PE, виготовленого за специфікацією TPM. Цей чіп використовується в комп'ютерах, устаткуванні супутникового зв'язку та ігрових приставках. Для злому використовувався електронний мікроскоп (вартістю близько $70 000). Оболонка чіпа була розчинена кислотою, для перехоплення команд були використані дрібні голки. Infineon стверджують, що вони знали про можливість фізичного зламування чіпа. Борчерт (Borchert), віце-президент компанії, запевнив, що дороге обладнання та технічна складність злому не становить небезпеки для переважної більшості користувачів чіпів.

Довірений платформний модуль, або TPM (trusted platform module) – це окремий мікрочіп на системній платі комп'ютера, який виконує специфічне коло завдань, пов'язаних із криптографією та захистом комп'ютера.

Наприклад, за допомогою криптопроцесора TPM можна шифрувати жорсткий диск комп'ютера. Звичайно, це може робити і центральний процесор, але тоді йому доведеться виконувати більше завдань, і швидкість шифрування та розшифрування буде набагато нижчою. Апаратно реалізоване шифрування у модулі TPM відбувається практично без втрати продуктивності.

Розшифрування (decryption) іноді некоректно називають дешифруванням (deciphering). Різниця між ними в тому, що при розшифруванні вам відомий алгоритм та секретний ключ, яким зашифровані дані, а при дешифруванні – ні.

Також TPM може захищати облікові дані та перевіряти програми, запущені в системі. Запобігає зараженню руткітами і буткітами (різновиди шкідливих програм, які проникають до комп'ютера до завантаження операційної системи або приховують свою присутність у системі, і тому не можуть бути розпізнані системою), стежачи за тим, щоб конфігурація комп'ютера не була змінена без відома користувача.

Крім того, кожен криптографічний модуль TPM має унікальний ідентифікатор, записаний прямо в мікросхему і не може бути змінений. Тому крипточип може використовуватися для перевірки автентичності при доступі до мережі або додатку.

TPM може генерувати стійкі ключі шифрування, коли потрібно операційній системі (ОС).

Але перш ніж використовувати модуль TPM, його необхідно налаштувати. Налаштування модуля зводиться до кількох простих дій.

• По-перше, чіп потрібно активувати в BIOS комп'ютера (якщо він не активовано).
• По-друге, потрібно стати його власником лише на рівні операційної системи.

Розглянемо ці кроки докладніше.

1 Увімкнення модуля TPMу BIOS комп'ютера

Щоб увімкнути модуль, зайдіть у BIOS і перейдіть до розділу, пов'язаного з безпекою. Хоча BIOS може суттєво відрізнятися на різних комп'ютерах, зазвичай розділ з налаштуваннями безпеки називається "Security". У цьому розділі має бути опція, яка називається Security Chip.

Модуль може перебувати в трьох станах:

• Вимкнено (Disabled).
• Включено і не задіяно (Inactive).
• Включений та задіяний (Active).

У першому випадку він не буде видно в операційній системі, у другому - він буде видно, але система не його використовуватиме, а в третьому - чіп видно і буде використовуватися системою. Встановіть стан активний.

Тут же в налаштуваннях можна очистити старі ключі згенеровані чіпом.

Очищення TPM може стати в нагоді, якщо ви, наприклад, захочете продати свій комп'ютер. Зверніть увагу, що стерши ключі, ви не зможете відновити дані, закодовані цими ключами (якщо, звичайно, ви шифруєте свій жорсткий диск).

Збережіть зміни ("Save and Exit" або клавіша F10) і перезавантажте комп'ютер.

Після завантаження комп'ютера відкрийте диспетчер пристроїв і переконайтеся, що довірений модуль з'явиться у списку пристроїв. Він повинен знаходитись у розділі «Пристрої безпеки».

2 Ініціалізація модуля TPMу Windows

Залишилось ініціалізувати чіп в операційній системі. Для цього потрібно відкрити оснастку керування модулем TPM. Натисніть кнопки Windows+R(відкриється вікно "Виконати"), введіть у поле введення tpm.msc і натисніть "Введення". Запуститься оснащення «Керування довіреним платформним модулем (TPM) на локальному комп'ютері».

Тут, до речі, можна почитати додаткову інформацію - що таке TPM, коли його потрібно включати та вимикати, змінювати пароль тощо. Хороший цикл статей, присвячений TPM, є на сайті Microsoft.

У правій частині оснастки знаходиться меню дій. Натисніть кнопку «Ініціалізувати TPM…». Якщо ця можливість не активна, то ваш чіп вже ініціалізований. Якщо він ініціалізований не вами, і ви не знаєте пароль власника, бажано виконати скидання та очищення пам'яті модуля, як описано в попередньому пункті.

Коли запуститься майстер ініціалізації TPM, він запропонує створити пароль. Виберіть "Автоматично створити пароль".

Програма ініціалізації модуля TPM згенерує пароль. Збережіть його у файлі або роздрукуйте. Тепер натисніть кнопку "Ініціалізувати" і трохи зачекайте.

Після завершення програма повідомить про успішну ініціалізацію модуля. Після завершення ініціалізації всі подальші дії з модулем – відключення, очищення, відновлення даних при збоях, скидання блокування – будуть можливі лише за допомогою пароля, який ви щойно отримали.

Тепер дія ініціалізації стала неактивною, натомість з'явилася можливість відключити TPM, змінити пароль власника та скинути блокування модуля, якщо це сталося (модуль блокує сам себе для запобігання шахрайству або атакі).

Власне, на цьому закінчуються можливості керування модулем TPM. Всі подальші операції, які вимагатимуть можливості чіпа, відбуватимуться автоматично – прозоро для операційної системи та непомітно для вас. Все це має бути реалізовано у програмному забезпеченні. У нових операційних системах, наприклад Windows 8 і Windows 10, можливості TPM використовуються ширше , ніж у старіших ОС.