Мы слегка познакомились с модулем TPM, когда знакомились с . Сегодня немного расширим наши познания о ней и поговорим о том, как им можно управлять.
Управление модулем TPM
Управление модулем TPM с помощью операционной системы заканчивается на его первоначальной настройке. Все вычисления чип TPM производит у себя, вне доступа операционной системы, что позволяет ей не бояться уязвимостей операционной системы. Единственным инструментом для управления модулем TPM в клиентских операционных системах Windows является консоль Управление TPM . Данную консоль можно вызвать из (tpm.msc ), либо найти его по адресу Панель управления — Шифрование диска BitLocker — Администрирование доверенного платформенного модуля . Кстати, ответ на вопрос «есть ли у меня модуль TPM» можно получить и в данной консоли. Если модуля нет, то Вы увидите надпись «Не удается найти совместимый доверенный платформенный модул ь». Ну а если он у Вас есть, то Вы можете включить, выключить данный модуль; сохранить информацию для восстановления TPM; удалить TPM; восстановить модуль TPM после блокировки и так далее.
На этом возможности по управлению модулем TPM с помощью операционной системы почти что заканчиваются. Дополнительным плюсом может выступить только то, что на некоторых компьютерах данных модуль можно включать/выключать и в BIOS компьютера.
Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.
Что такое TPM
TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.
Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.
Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.
В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup . Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign . Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.
Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).
Задачи TPM
Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).
Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.
При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации.
Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.
«Железо» и математикаЛогично предположить, что сам чип TPM на материнской плате ничего не решает. Нужна поддержка со стороны остального «железа» и математики – программного обеспечения.
Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).
Рис. П37. Жесткий диск Seagate Momentus 5400 FDE.2
Что касается ОС, технология TPM поддерживается большинством современных операционных систем – Windows Vista, Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux (начиная с версии 9.2) и Enterprise Linux (начиная с версии 3 update 3).
Как работает TPM
Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).
В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.
Настройка TPM в Windows
В следующем руководстве описывается использование служб TPM в Windows Vista:
В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:
Рис. П38. Компоненты BitLocker
Рис. П39. Шифрование BitLocker выключено: модуль TPM не установлен или выключен (в BIOS)
Рис. П40. Схема взаимодействия Full Volume Encryption и TPM в Windows
Готовые системы с поддержкой TPM
Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).
Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).
Рис. П41. Материнская плата ASUS M2N32-SLI Premium (с поддержкой TPM)
Зачем нужна TPM
Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.
Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.
Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.
В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.
TPM не панацея
Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.
Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.
Примечания:
Прежде чем приступить к чтению этой книги, стоит поговорить о единицах измерения информации. Базовая единица измерения информации – это один бит. Бит может содержать одно из двух значений – или 0, или 1. Восемь битов формируют байт. Этого количества битов достаточно, чтобы с помощью ноликов и единичек закодировать 1 символ. То есть в одном байте помещается 1 символ информации – буква, цифра и т. д. 1024 байта – это один килобайт (Кб), а 1024 килобайта – это 1 мегабайт (Мб). 1024 мегабайта – это 1 гигабайт (Гб), а 1024 гигабайта – это 1 терабайт (Тб).
Обратите внимание: именно 1024, а не 1000. Почему было выбрано значение 1024? Потому что в компьютере используется двоичная система счисления (есть только 2 значения – 0 и 1), 2 в 10-й степени – это и есть 1024.
Не всегда, но часто большая буква «Б» при указании единицы измерения информации означает «байт», а маленькая – «бит». Например, 528 Мб – это 528 мегабит, если перевести эту величину в мегабайты (просто разделите на 8), то получится 66 мегабайтов (66 МБ).
2,5-дюймовый жесткий диск Momentus 5400 FDE.2 (full disk encryption) от Seagate поставляется в составе ноутбуков ASI C8015+ (стоимость ноутбука примерно 2100 долларов). Винчестер обладает встроенной системой динамического шифрования с аппаратным ускорением и поддержкой TPM. Кроме того, в состав ноутбука включена система считывания отпечатков пальцев, что делает его примерно на 20 % дороже обычного ноутбука с такой же конфигурацией. Размер жесткого диска Momentus может быть 80, 100, 120 и 160 Гб. Используется интерфейс SATA 3 Гбит/с.
Главная особенность Momentus FDE.2 заключается в шифровании/дешифровании записываемой и считываемой информации с помощью алгоритма AES со 128-битным ключом на уровне микропрограммного обеспечения (firmware) DriveTrust. Шифрование данных производится абсолютно прозрачно, то есть незаметно для пользователя. В открытом (незашифрованном) виде информация представляется только в приложениях. На жестком диске данные хранятся только в зашифрованном виде.
Обычно процесс программного шифрования существенно снижает производительность системы (кто работал с PGPDisk, тот понимает, о чем идет речь). Но поскольку в случае с Momentus FDE.2 шифрование осуществляется на аппаратном уровне, то это увеличивает загрузку центрального процессора всего на несколько процентов.
При загрузке TPM-системы пользователь должен ввести свой пароль. Пароль нужен не только для продолжения загрузки, но и для дешифрования данных. Раньше тоже можно было установить пароль в SETUP, без которого невозможна загрузка операционной системы. Но ведь можно было снять жесткий диск и подключить его к другому компьютеру. Если не применялись какие-либо криптографические средства, то считывание информации с жесткого диска не представляло проблем. В случае с TPM, даже если вы снимете HDD и подключите его к другому компьютеру, вы не сможете прочитать информацию, поскольку она зашифрована, а вы не знаете пароля для ее расшифровки.
А что делать, если пользователь забыл пароль? Тогда можно применить главный пароль. А если забыт главный пароль (или вы его попросту не знаете), тогда…
Кроме того, предусмотрена функция crypto-erase, которая предназначена для уничтожения всех данных с жесткого диска. Такая операция необходима при списании винчестера или при передаче его другому пользователю.
Хелловичик всем Сегодня речь пойдет об Trusted Platform Module, узнаем что это дичь. Немного сложно, но понял что Trusted Platform Module (TPM) — модуль, который располагается на материнской плате и хранит в себе криптографические ключи для защиты информации. Есть версия 1.0, и более продвинутая современная 2.0
Еще есть версия TPM 1.2, она была выпущена 3 марта в 2011 году. То есть можно сделать вывод, что технология не такая уж и новая, а как бы уже давно существует
Как я понимаю, то Trusted Platform Module применяется в алгоритмах шифрования, делая их еще безопаснее.
Фишка в том что модуль TPM может помочь зашифровать ну и расшифровать. Но вот чтобы расшифровать, то нужны криптографические ключи. А эти ключики хранятся в самом чипе. Вот такая сложная технология
Ага! Еще есть такое — модуль способен не только создавать ключи эти, но и привязывать их к оборудованию. Понимаете? И расшифровать можно только если конфигурация компа, которая была при зашифровке, совпадает с той которая сейчас.. короч серьезно
Также чип принимает участие в работе технологии BitLocker Drive Encryption (шифрование содержимого дисков ПК).
Вот нашел странную картинку.. тут упоминается TPM, но причем тут кухонная плита понять сложно:
Что это все значит и кто за этим стоит?
Внешний вид чипа
Вот его величество сам чип TPM (отдельно, не на материнке):
Хм, интересно, а возможно ли купить новый.. и заменить? Ну например если старый поломался там, сгорел… и смотря на эту картинку, кажется что купить таки можно:
Ну что я могу тут сказать? Круто в общем Но если новый купить чип, то можно будет ли расшифровать данные, которые были зашифрованы старым чипом? А вот это уже вопрос нереально серьезный!
Вот собственно чип на материнской плате:
Судя по внешнему виду и конструкции — заменить его реально в домашних условиях так бы сказать
Опция в биосе TPM Device
Ну а вот сама и опция Trusted Platform Module в биосе — можно включить (Enabled) или выключить (Disabled):
Может быть название и TPM Device или.. TPM Embedded Security (сори за качество господа):
Еще в биосе может присутствовать опция Discrete TPM FW Switch (раздел Security):
Выяснил, Discrete TPM FW Switch — управление дискретным чипом. Дискретный, то есть это тот чип что можно поменять, снимаемый так бы сказать. Тут мысль меня посетила — а на материнке могут присутствовать два чипа TPM? Интегрированный и дискретный? И вот управление ими происходит в биосе.. не знаю короч..
Еще пример — опции TPM SUPPORT, TPM State, Pending TPM operation:
Вывод — опции зависят от материнки. Если чип TPM включен в биосе, тогда у вас в диспетчере устройств (чтобы запустить — Win + R > devmgmt.msc) будет такое устройство в разделе Security devices:
Как видите напротив устройства указывается версия — выше на картинке устаревшая 1.2, а у вас может быть современная 2.0 (зависит от года выпуска материнки). Так, стопачки! Если версия чипа устаревшая, то возможно заменить старый чип на новый реально? Просто мысли, однако думаю что замена вполне себе реальна..
Еще в разделе System devices может быть Infineon Trusted Platform Module:
Некоторые выводы и мои мысли по поводу Trusted Platform Module
Напишу все что я думаю об этом всем, окей? Смотрите:
Настройки Trusted Platform Module
Чисто случайно узнал, что оказывается в Windows есть настройки Trusted Platform Module, а то даже и не знал! Как открыть настройки? Зажимаете кнопки Win + R, далее вставляете командушку:
У себя открыл и тут опачки, у меня пишет что Не удается найти совместимый доверенный платформенный модуль:
Вот блина, попадос конкретный Я просто думал что модуль.. нет, ну наверно модуль то у меня есть! Но он в биосе видимо не включен. Ну и ладненько.. А вы посмотрите у себя, у вас там что будет? ну настройки будут? Гляньте, окей?
И еще — там в настройках можно очистить данные TPM. Я надеюсь вы понимаете что этого делать не нужно, если вы не шарите в этом. Иди знай что за данные там. А может у вас что-то зашифровано на ПК и если очистите данные, то потом не сможете расшифровать. В общем — я вас предупредил
Для нормальный работы TPM нужно чтобы было в виндовсе установлено специальное обновление. Оно как бы способно установится автоматически. А если нет — то нужно скачать с сайта производителя вашей материнки. Тут просто под обновлением как я понимаю имеется ввиду драйвер TPM, ведь виндовс и дрова ставить умеет, подтягивая их с интернета..
Вот и все. Удачи вам и терпения, до новых встреч господа!
04.11.2018Trusted Platform Modules (доверяемые платформенные модули) представляют собой небольшие чипы, служащие для защиты данных и уже несколько лет используемые в компьютерах, консолях, смартфонах, планшетах и ресиверах. В настоящее время чипами TPM оснащен приблизительно миллиард устройств, причем 600 миллионов из них - это офисные ПК.
С 2001 года сторонники «теории заговора» стали рассматривать чипы в качестве инструмента контроля, позволяющего якобы ограничивать права пользователя: теоретически TPM-чипы можно применять, например, чтобы ограничить нелегальное копирование фильмов и музыки.Однако за последние 12 лет не было ни одного подобного случая. Более того, Windows использует подобный модуль для безопасной загрузки и шифрования данных жесткого диска посредством BitLocker. Таким образом, TPM обеспечивает преимущество в борьбе с вредоносным ПО и хищением данных.
Несмотря на все это, спецификация версии 2.0 привлекла к себе немало внимания, ведь теперь TPM-чипы запущены «по умолчанию» (раньше пользователю нужно было активировать их самостоятельно). По всей видимости, в скором времени будет сложно найти в продаже устройства без TPM 2.0, так как компания Microsoft соответствующим образом изменила критерии сертификации для Windows. Начиная с 2015 года стандарт TPM 2.0 является обязательным для всех, в противном случае производитель аппаратного обеспечения не получит подтверждение о пройденной сертификации.
TPM-менеджер в окне Панели управления Windows отображает статус и версию чипа TPM
TPM-чип гарантирует безопасность ОС
Самым эффективным способом защиты системы, исключающим возможность проникновения хакеров, является использование аппаратного чипа TPM. Он представляет собой небольшой «компьютер в компьютере»: доверяемый модуль с собственным процессором, оперативной памятью, накопителем и интерфейсом ввода/вывода.
Главной задачей TPM является предоставление в распоряжение операционной системы гарантированно безопасных служб. Например, чипы TPM хранят криптоключи, использующиеся для шифрования данных на жестком диске. Кроме того, модуль подтверждает идентичность всей платформы и проверяет систему на возможные вмешательства хакеров в работу аппаратных средств. На практике TPM в тандеме с UEFI Secure Boot обеспечивает пользователю полностью защищенный и безопасный процесс запуска операционной системы.
Этап, на котором загружается ПО стороннего разработчика (антивирусный сканер), Microsoft обозначает как Measured Boot. Для драйвера ELAM (Early Launch Anti-Malware, ранний запуск антивредоносной программы) от разработчиков антивирусного ПО Microsoft предоставляет свою подпись. Если же она отсутствует, UEFI прерывает процесс загрузки. Ядро проверяет антивирусную защиту при запуске. Если ELAM-драйвер проходит проверку, ядро признает действительными и остальные драйверы. Это исключает возможность того, что руткиты окажут влияние на процесс загрузки Windows и «воспользуются ситуацией», когда антивирусный сканер еще не активен.
Предыдущая спецификация TPM 1.2 использовала устаревшую технологию с внедренными в аппаратной части алгоритмами шифрования RSA-2048 и SHA-1 (последний считается как раз небезопасным). Вместо использования строго определенных алгоритмов в чипах TPM в версии 2.0 можно предусмотреть симметричные и асимметричные методы шифрования. Например, в настоящий момент доступны SHA-2, HMAC, ECC и AES. К тому же в TPM 2.0 путем обновления можно добавить поддержку новых криптоалгоритмов.
TPM-чипы генерируют ключи для BitLocker - системы шифрования в Windows Подход к использованию ключей также изменился. Если раньше в качестве фундамента для всех предлагаемых служб задействовались два фиксированных криптографических ключа, то TPM 2.0 работает с очень большими случайными числами - так называемыми начальными. При этом нужные ключи генерируются посредством математических функций с использованием начальных чисел в качестве исходных данных. TPM 2.0 предоставляет также возможность генерации ключей только для однократного использования.
По оценке японской компании Trend Micro в 2002 году вредоносные программы принесли убыток в $378 млн. В 2004 году было насчитано 37,8 млн. инфицированных компьютеров, на 8% больше, чем в 2003. Если судить по месячной статистике, в этом году нас вновь ждёт увеличение числа заражённых компьютеров, однако уровень роста окажется меньше, чем в предыдущие годы, главным образом из-за контрмер. Для ИТ-менеджеров и администраторов заключение будет логичным: они должны предотвратить вторжение вируса, а также выполнение постороннего кода или частей программы.
В любом случае, подобный подход следует отличать от обычных мер безопасности вроде вирусных сканеров, межсетевых экранов и демилитаризованных зон (DMZ). Довольно большое число поставщиков ПО предлагают широкий диапазон продуктов по обеспечению безопасности, но результат пока далёк от удовлетворительного. И главной причиной этого можно считать, что ни одна из перечисленных концепций до сих пор не рассматривала как программную, так и аппаратную сторону проблемы. Ситуацию призвана изменить группа Trusted Computing Group с выпуском решений "доверяемый платформенный модуль" (Trusted Platform Module, TPM).
Рост числа инфицированных компьютеров (источник: Trend Micro, Inc.).
Разработки TCPA/TCG
Ассоциация Trusted Computing Platform Alliance (TCPA) была создана в 1999 году. В то время в ней участвовали важные игроки аппаратной и программной индустрии вроде HP, IBM, Microsoft и других. К сожалению, деятельность TCPA не оказалась успешной из-за структуры: любой из двухсот членов имел право отложить или отменить какое-либо решение. А достигнуть в некоторых сферах компромисса бывает очень сложно.
Именно поэтому в апреле 2004 года TCPA была преобразована в новый консорциум под названием Trusted Computing Group (TCG). В новой организации только немногие компании (названные "promoters") могут принимать решение. Сегодня в их число входят AMD, Hewlett-Packard, IBM, Intel, Microsoft, Seagate, Sony, Sun и Verisign. Оставшиеся члены, числом почти в тысячу, были названы "contributors" или "adopters". Они участвуют в работе над черновыми спецификациями или попросту получают ранний доступ к различным новым разработкам.
Среди результатов деятельности TCPA/TCG можно назвать "доверяемый платформенный модуль" (Trusted Platform Module, TPM), раньше называвшийся "чипом Фрица" (Fritz Chip). Фриц Холлингс (Fritz Hollings) - это американский сенатор, известный своей горячей поддержкой системы защиты авторских прав на цифрую информацию (digital rights management, DRM).
TPM обычно реализуется в виде чипа на материнской плате, который интегрируется в процесс загрузки системы. При включении компьютера он проверяет состояние системы (trusted).
Цели Trusted Computing Group
Одной из целей TCG было создание "безопасного компьютера" ("safe computer"), в котором аппаратное, программное обеспечение, а также все процессы связи проверяются и защищаются. Слово "связь" здесь следует понимать в общем смысле, поскольку сюда же относятся взаимодействия между различными частями ПО. Ниже приведены основные задачи, поставленные TCG.
- Защита данных (Data security).
Данные могут считывать только авторизованные пользователи. Должна обеспечиваться безопасность передачи данных на компьютер и с него. Личные данные не должны раскрываться. - Безопасность данных (Data safety).
Аппаратное и программное обеспечение должно обеспечить надёжную работу с данными. - Целостность данных (Data integrity).
Программное обеспечение и данные не должны изменяться без уведомления (скажем, под воздействием вирусов или "червей"). - Авторство данных (Data authenticity).
Должна существовать возможность проверить авторство получателя и отправителя, а также службы данных (через процесс "assignment"). Каждый чип TPM можно ясно идентифицировать, поэтому он вполне очевидно привязывается к системе.
Конечно, возможности доверяемой платформы не ограничены одним компьютером - сюда можно добавить все современные виды связи. Видение TCG охватывает мобильные телефоны и КПК, а также устройства ввода, накопители и сертификаты. В качестве расширений TPM могут использоваться устройства безопасности вроде считывателя отпечатка пальцев или радужной оболочки глаза. Усилия по разработке в этих направлениях легли на плечи подгрупп TCG. Одна из таких подгрупп - TNC (Trusted Network Connect), работающая над безопасностью сетевых соединений.
Следует отметить техническую проблему, которую часто смешивают с концепцией доверяемых компьютеров - DRM. Отметим, что задачей DRM является предотвращение несанкционированного копирования цифровой информации - фильмов, музыки, текста и т.д.
Конечно, технология доверяемых компьютеров даёт техническую почву для таких мыслей. Но пока что никто не решился на явную реализацию защиты авторских прав на цифровую информацию. Возможно, это связано с жёсткой критикой, которую получила Microsoft за платформу Palladium. Она была переосмыслена Microsoft и теперь существует под названием "Next Generation Secure Computing Base" (NGSCB). Но перед нами не что иное, как старая начинка в новой обёртке...
Шаги развития концепций безопасности (источник: Intel).
Современные разработки наглядно показывают развитие мер в области безопасности. В самом начале решения были чисто программными. Затем появились изолированные приложения с собственным аппаратным обеспечением - те же смарт-карты для работы в банковских программах.
Следующим шагом явились черновые намётки TP-модулей, которые в современном виде представляют решения вроде "чипа Фрица". Первым производителем аппаратного обеспечения, взявшим на вооружение Trusted Computing, стала компания IBM: ноутбук ThinkPad T23 был оснащён TP-модулем от Infineon.
Первым шагом дальше начальной концепции TPM стало введение технологии под названием Execute Disable Bit (XD) у Intel, Non Execute (NX) у AMD и Data Execution Protection (DEP) у Microsoft. Эта технология борется с атаками методом переполнения буфера: память разделяется на области, из которых может выполняться код, и из которых выполнение запрещено. Однако эта функция должна поддерживаться процессором, операционной системой и приложениями. Среди операционных систем функцию поддерживают Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux 9.2 и Enterprise Linux 3 update 3.
Схема работы системы TCG.
Модули TPM (текущая версия 1.2) обеспечивают так называемый хэш (hash) для системы с помощью алгоритма SHA1 (Secure Hash Algorithm). Значение хэша получается из информации, полученной от всех ключевых компонентов вроде видеокарты и процессора, в сочетании с программными элементами (операционной системой, среди всего прочего).
Компьютер будет стартовать только в проверенном состоянии (authorized condition), когда TPM получит правильное значение хэша. В проверенном состоянии операционная система получает доступ к корневому ключу шифрования (encrypted root key), который требуется для работы приложений и доступа к данным, защищённым системой TPM. Если при загрузке было получено неправильное значение хэша, то система считается не доверяемой, и на ней будут работать только обычные, свободные файлы и программы.
Среди сегодняшних производителей модулей Trusted Platform (TPM) можно отметить Infineon, National Semiconductor (хотя его подразделение TPM было недавно продано Winbond) и Atmel. Кроме того, существуют чипы с интеграцией TPM от Phoenix/Award, процессоры от Transmeta и сетевые контроллеры от Broadcom, которые используются Hewlett-Packard. Seagate объявила о решении выпустить контроллеры жёстких дисков с интегрированной функцией TPM.
В области программ, использующих установленные TPM, Wave Systems предлагает среду Embassy Security Center, полный пакет Embassy Trust Suite (управление документами, цифровыми подписями) и инструментарий CSP Toolkit (Cryptographic Service Provider) для программистов Windows. IBM предлагает пакет ThinkVantage (главным образом вместе со своими ноутбуками Thinkpad, поддерживающими TPM), а Ultimaco поставляет программу кодирования данных SafeGuard Easy. Checkpoint продаёт набор продуктов для целого ряда задач в сфере ИТ-инфраструктуры, а Adobe предлагает Acrobat версии 6, который позволяет работать с PDF-файлами через TPM.
Вместе с тем, сегодня существуют побочные технологии и улучшения, чьи характеристики по безопасности реализуются ещё более строго. Среди примеров можно выделить технологию Intel LaGrande, ARM TrustZone, и новинку следующего, 2006 года - AMD Presidio. Отдельное ядро безопасности операционной системы (Nexus в случае Microsoft Vista) связывает модуль TP и компоненты безопасности доверяемых приложений. Благодаря такой поддержке пользователь может проверить, что все аппаратные компоненты являются авторизованными TCG, установленные приложения подписаны, и ни у одного из компонентов нет неправильной подписи/серийного номера.
Если будут определены изменения в аппаратной конфигурации, то TPM сможет повторно сертифицировать новые компоненты в онлайновом режиме. Операционная система с ядром безопасности Nexus работает в областях памяти, защищённых процессором (помните, Data Execution Protection), а данные доверяемых приложений нельзя изменить снаружи.
В текущей версии 1.2 TPM есть некоторые приятные функции. "Direct Anonymous Attestation" (DAA) обеспечивает улучшенную связь с другими надёжными клиентами. "Locality" вводит различные уровни безопасности TPM. "Delegation" различает характеристики безопасности у различных пользователей. "NV Storage" обеспечивает лучшее использование энергонезависимых носителей. "Transport protection" улучшает передачу данных на не-TPM системы, а "Monotonic Counters" прослеживает каждый шаг вашей работы, чтобы предотвратить так называемые атаки "replay".
Сравнение технологии с Intel AMT
Нам требуется хотя бы вскользь поговорить о технологии Intel Active Management Technology (iAMT). Intel подходит к теме платформ с полным пакетом управления, который решает задачи администрирования и безопасности. С лозунгом "Discover, Heal and Protect" ("Найди, вылечи и защити") технология iAMT должна прийтись к месту. Intel обеспечивает централизованное управление, использующее нахождение компьютеров независимо от их состояния и ОС, сокращает время на исправление сбоя и облегчает управление защитой компьютеров против вредоносных программ. Наиболее мощным продуктом на сегодняшний день можно назвать материнскую плату Intel D945GNT в форм-факторе ATX, которая сочетает возможности TC и iAMT.
Риски, опасности и последствия TPM
С каждым выпуском более совершенной технологии защиты можно ожидать поток критики и скепсиса от людей, готовых оспаривать любые улучшения. Но каковы риски и опасности на самом деле?
Сегодня наиболее очевидны усилия музыкальной и видео-индустрии заставить всех компьютерных пользователей подчиняться парадигме DRM. Как только большая часть компьютерных комплектующих будет поддерживать TPM, а операционная система (та же Windows Vista) сможет эффективно работать с TPM, возможно полное отслеживание хранимых данных со стороны владельцев авторских прав.
"Первой ласточкой" можно назвать попытку Microsoft заставить Media Player выполнять обновление DRM без ведома пользователя. В итоге возникает вопрос: какие данные на компьютере можно считать легальными, и как со всем этим поступать? Если посмотреть в сторону таких стран, как Куба или Северная Корея, то здесь возникает опасность в виде новых возможностей цензуры. Скажем, аппаратная защита может разрешать вывод текста и картинок, которые были проверены цензурой данной страны.
Согласитесь, всё это оставляет не очень хорошее послевкусие у пользователей, напоминая "чёрный ящик". Действительно, с помощью постоянного наблюдения за всеми процедурами компьютера можно легко получить всю нужную информацию о пользователе и его работе.
Системы с TPM
Для тестирования мы получили предварительный образец компьютера HP Compaq DC7600. К сожалению, кроме самого чипа TP, комплектующие в компьютере не готовы к концепции TPM. Административное программное обеспечение HP/Altiris находится далеко не в завершённом состоянии, а HP не поставляет другого программного обеспечения TPM и даже не кодирует разделы жёсткого диска. Кроме того, текущая Windows XP, даже в новейшей версии x64, не может использовать TPM или функции кодирования в полной мере. Так что всё описание возможных функций TPM компьютера построено на информации HP/Compaq.
Плата HP использует форм-фактор MicroATX, при этом её можно расширить через дочернюю плату двумя дополнительными слотами PCI.
Компьютер HP Compaq DC7600 оснащён одной из первых материнских плат HP с поддержкой TPM. В линейке 7x00 состоят компьютеры с TP-модулем версии 1.2, причём они доступны и в виде "конфигурации на заказ" (configure-to-order). В то же время, HP интегрировала не только один чип TPM, но и гигабитный контроллер Broadcom NetXTreme BCM5752, который удовлетворяет последним спецификациям доверяемых вычислений. По информации в Интернете, активация функций TC чипа обходится производителю в $10.
Для управления TPM HP добавляет ещё один уровень защиты, названный "ProtectTools". Он используется программой Altiris "HP Client Manager", которая также подходит для администрирования аппаратной составляющей. На данном этапе разработки ProtectTools обеспечивает только две функции: защита идентификационной информации во время входа пользователя в систему, а также кодирование жёстких дисков. Конечно, каждый TPM в компьютерах HP Compaq можно чётко идентифицировать.
Среди самых важных функций концепции TPM компания HP Compaq выделяет следующие:
- встроенная защита HP Tools обеспечивает корневое кодирование (root encoding);
- "виртуальные смарт-карты" (Virtual Smart Card) улучшают работу обычных смарт-карт (SmartCard и Token ID);
- расширение других инструментов безопасности вроде смарт-карт, считывателей отпечатка пальцев;
- встроенное кодирование беспроводной сети, а также защита данных и целостности данных (защита от подмены);
- кодирование файлов и папок;
- кодирование почты (ключи поставляются TPM);
- управление доступом и правами в сетях;
- защита от атак хакеров (системные атаки, DOS/сетевые атаки);
- защищённый вход пользователей в систему, "глобальная" аутентификация пользователей.
Последний гигабитный чип Broadcom поддерживает TPM.
Открытый корпус DC7600.
Целевой аудиторией компьютеров линейки HP Compaq 7x00 - собственно, как и концепции доверяемых компьютеров - являются сети компаний среднего и крупного уровней. Эти сети получат немалое преимущество от функций централизованного управления, а также от более высоких характеристик защиты и безопасности TPM. Сегодня HP продаёт компьютеры линейки в трёх версиях: ультра-тонкий настольный, настольный и "башня".
Мы получили мини-"башню", которую можно также положить набок благодаря резиновым ножкам с правой стороны корпуса. Корпус, если не считать дешёвой пластиковой передней панели, отличается высоким качеством сборки, поэтому он и тяжёлый. Многие детали хорошо продуманы: скажем, дверцу корпуса можно быстро открыть. Точно так же приводы CD/DVD и жёсткие диски устанавливаются без прикручивания. Если вам нужно добавить новый привод, то прикрепляете к нему направляющие и вставляете в отсек.
Корпус предлагает достаточно места для двух дополнительных 5,25" приводов, одного 3,5" привода и дисковода. Блок питания с активным охлаждением выдаёт максимум 345 Вт.
Кроме TPM-расширения, перед нами типичная материнская плата на чипсете 945 со встроенными видео (Intel GMA950) и звуком (AC97). Существующие порты в целом соответствуют типичному офисному компьютеру. Сзади находятся шесть портов USB 2.0 и интерфейс гигабитного Ethernet, а спереди - два порта USB 2.0 аудио-вход и выход. Вы не найдёте портов FireWire, DVI-выхода или разъёма S-Video.
Вид корпуса сзади и спереди.
Эти порты вы найдёте на передней и задней панелях.
Четыре слота PCI. Между ними можно заметить разъём, с помощью которого к материнской плате подключается карта расширения.
В корпусах меньшего форм-фактора HP использует точно такую же материнскую плату MicroATX. А в крупных корпусах (как у нас) к ней подсоединяется дочерняя плата, обеспечивающая дополнительные слоты PCI. На самой плате два 32-битных слота PCI, но их можно расширить ещё двумя с помощью упомянутой дочерней платы.
| Технические спецификации | |
| Процессор | Intel Pentium 4 Processor 630 (3,0 ГГц, 2 Мбайт кэша L2) |
| Память | 2x 256 Мбайт DDR2 (PC2-4200/DDR2-533) |
| Слоты памяти | 4 DIMM |
| Жёсткий диск | 80 Гбайт (7200 об/мин) |
| Отсеки приводов | 3x 5,25", 1x 3,5", 2x внутренних 3,5" |
| Привод CD/DVD | DVD-ROM 16x/48x |
| Дисковод | 1,44 Мбайт |
| Контроллер жёсткого диска | SMART III Serial ATA 3.0 Gb/s |
| Корпус | Мини-"башня" |
| Графический интерфейс | PCI Express x16 |
| ОС | Microsoft Windows XP Professional, Microsoft Windows XP Home и SuSE Linux |
| Слоты | 2 полноразмерных PCI, 1 полноразмерный PCI Express x1, 1 полноразмерный PCI Express x16 (2 дополнительных полноразмерных слота PCI) |
| Звук | Встроенный High Definition Audio с 2-канальным кодеком Realtek ALC260 |
| Сеть | Встроенный гигабитный контроллер Broadcom NetXtreme с поддержкой TPM (BCM5752) |
| Сетевые карты | Intel Pro 1000 MT Gigabit NIC (x1 PCI Express) |
| Внешние порты ввода/вывода | Сзади: 6x USB 2.0, 1x последовательный порт, 1x параллельный порт, 2x PS/2 для клавиатуры/мыши, 1x RJ45 для сети, 1x D-SUB VGA, звуковые порты; спереди: 2 USB 2.0, наушники |
IBM уже некоторое время представляет решения со встроенным TPM. С выпуском ноутбуков T23 ThinkPad пароли и ключи можно хранить в безопасном месте, можно кодировать данные локально, а работу в сетях VPN осуществлять с лучшей защитой.
Сегодня всё больше компьютеров оснащается TP-модулями, причём пользователь об этом зачастую и не подозревает. Когда мы получили в лабораторию ноутбук Dell X1, мы обнаружили, что он оснащён тем же самым сетевым контроллером Broadcom BCM5752m с поддержкой TPM.
Заключение
Концепция доверяемых вычислений (Trusted Computing) является продуманным технологическим подходом, который обеспечивает разумные решения многих рисков безопасности, хотя и не всех. Концепция предлагает более удобные и мощные решения, чем другие подходы.
Дополнительные затраты на оснащение аппаратных комплектующих невелики, а, в особенности, в корпоративной среде с большой ИТ-инфраструктурой TPM способна принести немалую пользу. В ближайшем будущем должны появиться процессоры, поддерживающие доверяемые вычисления. Технологии LaGrande (Intel) и Presidio (AMD) технически схожи, позволяя реализовать "защищённое" системное ядро. Кроме того, процессоры поддерживают дополнительные незащищённые системные разделы, что хорошо покажет себя в паре с технологиями Vanderpool и Pacifica (Intel/AMD).
У нас нет никаких сомнений насчёт успеха платформ TPM. Риски, связанные с новой технологией (собственно, как и с любой другой), существуют только в связи с неправильным использованием её потенциала, что подогревается агрессивными заявлениями некоторых политиков, связанных с огромным влиянием индустрий музыки и фильмов. К сожалению, HP/Compaq не смогла предоставить нам даже бета-версию программного обеспечения, что не позволило более пристально взглянуть на потенциал TPM.
Пока доверяемые вычисления не станут реальностью в корпорациях, комплектующие с поддержкой TPM будут находиться в состоянии своеобразной "спячки". С выходом Windows Vista мы ещё раз вернёмся к технологии TPM, и на сей раз - более пристально.
