Instructeur: In
deze les gaan we het hebben over de Trusted Platform Module
of TPM en de hardware beveiligingsmodule of HSM
die deel uitmaakt van je UEFI.
Maar eerst wil ik je kennis laten
maken met de hardware Root of Trust, beter bekend als de RoT.
Een hardware Root of Trust is de basis waar
alle veilige operaties van een computersysteem van afhangen.
Het bevat de sleutels die gebruikt worden voor cryptografische
functies en maakt een veilig opstartproces mogelijk.
Dit is inherent vertrouwd
en daarom moet het veilig zijn door het ontwerp.
Een Hardware Root of Trust is een
cryptografische module ingebed in een computersysteem dat een vertrouwde
uitvoering kan onderschrijven en de opstartinstellingen
en metriek kan bevestigen.
Dit klinkt misschien als een ingewikkeld concept,
maar je gebruikt een Root of Trust voortdurend.
In feite is de TPM-module in het UEFI van je computer
een hardware Root of Trust.
In wezen wordt een Root of Trust gebruikt om de opstartmetriek
van het systeem en de bestanden van het besturingssysteem
te scannen.
En dan kan de Root of Trust
een rapport naar de processor sturen dat digitaal
ondertekend is met het certificaat van de Root of Trust
om aan te geven dat ze te vertrouwen zijn.
In wezen is deze hardware Root of Trust
een digitaal certificaat,
maar het is ingebed in je chip als onderdeel
van de firmware op je systeem.
De meest gebruikte hardware Root of Trust
is de Trusted Platform Module of TPM die
in je computer zit.
De TPM is een specificatie voor hardwarematige opslag van
digitale certificaten, sleutels, wachtwoord-hashes en andere
identificatie-informatie over gebruikers en platforms.
Elke TPM-microprocessor is gecodeerd met een
unieke en onveranderlijke sleutel
die de goedkeuringssleutel of EK wordt genoemd.
Je systeem gaat deze TPM en zijn sleutel gebruiken om ervoor
te zorgen dat er niet geknoeid is met de systeemfirmware, bootloader
en OS-kernel door gebruik te maken van meerdere
verschillende functies die uitgevoerd
worden binnen de Trusted Platform Module.
Ten eerste biedt de TPM een veilige methode voor invoer en uitvoer.
Ten tweede zit er een cryptografische processor in die
zorgt voor een echte random getalgenerator.
De TPM heeft ook een RSA sleutelgenerator, een
SHA-1 hashgenerator en zowel
een encryptie- als decryptiehandtekeningmotor.
Naast dit alles heeft de TPM
ook een permanent geheugen dat een digitale
sleutel bevat die bekend staat als de endorsement sleutel
en een opslag root sleutel die bekend staat als de SRK.
Nu heeft de TPM ook een veelzijdig geheugen
dat erin zit en dit omvat de Platform
Configuratie Registers of PCR's, de Attestatie
Identiteit Sleutels of AIK's en de opslagsleutels.
Dat is heel wat functionaliteit
binnen die ene kleine TPM chip.
Dus je vraagt je waarschijnlijk af: moet ik al deze verschillende
dingen uit mijn hoofd leren voor het examen?
Nou, het goede nieuws is nee, dat hoeft niet, maar ik
wilde je wel laten kennismaken met dit
concept omdat je het steeds weer zult tegenkomen
als je verder gaat in je IT- en cyberbeveiligingscarrière.
In plaats daarvan wil ik dat
je voor het examen onthoudt dat
de Trusted Platform Module of TPM een hardware Root
of Trust is en dat het deel uitmaakt
van je systeem.
En het zal je in staat stellen om ervoor
te zorgen dat wanneer je systeem
opstart, dit veilig gebeurt,
omdat deze TPM bevestigt dat onze UEFI niet
gewijzigd of gemanipuleerd is en dat TPM ook gebruikt
kan worden om je opslagapparaten te versleutelen.
Ja, dit is nog een andere functie van de TPM, omdat het gebruikt
kan worden als de geheime sleutel in combinatie
met de volledige schijfversleuteling op een systeem om
de inhoud van je opslagapparaat te beschermen.
Als je bijvoorbeeld BitLocker gebruikt met
volledige schijfversleuteling op een Windows-systeem,
wordt de sleutel in je TPM gebruikt om ervoor te zorgen dat
de gegevens op je opslagapparaat veilig
versleuteld blijven.
De TPM kan in- of uitgeschakeld worden vanuit
je UEFI-configuratietool of je kunt het beheren
met hulpmiddelen binnen het besturingssysteem, als je besturingssysteem
dat ondersteunt.
Met het Windows-besturingssysteem
kun je bijvoorbeeld de TPM beheren
via de tpm. msc-consoletool binnen Windows, of
als je de Windows Server-omgeving gebruikt, kun
je deze aanpassen met de Editor voor Groepsbeleid.
Voor het examen hoef je niet
te weten hoe je de TPM moet aanpassen of configureren, maar in de echte
wereld kan je als technicus gevraagd worden
om met de Trusted Platform Module te werken.
Als dat zo is, kun je altijd de nieuwste documentatie
opzoeken bij microsoft. com over hoe je de TPM
op de juiste manier aanpast en configureert.
Een andere vorm van hardware Root
of Trust die we moeten
bekijken staat bekend als de hardware beveiligingsmodule of HSM.
Nu is een hardware beveiligingsmodule een apparaat voor het
genereren en opslaan van cryptografische sleutels dat minder
gevoelig is voor manipulatie en bedreigingen van binnenuit dan het gebruik
van oplossingen op basis van opslag.
Nu worden hardware beveiligingsmodules
gebruikt om onze systemen te beveiligen met encryptiepassen, omdat
deze veel veiliger zijn dan het gebruik
van een traditioneel wachtwoord of een geheime sleutel.
In plaats daarvan bevat een hardware beveiligingsmodule
een vertrouwde en beschermde digitale sleutel die kan worden gebruikt
met een versleutelingsapparaat.
Er zijn veel verschillende
manieren om hardwarebeveiligingsmodules
te maken en ze worden ook in verschillende vormen geproduceerd.
Hier op het scherm zie je bijvoorbeeld
de nCipher hardware beveiligingsmodule en er zijn
drie verschillende modellen.
Er is er één die een interne kaart is die
in je systeem kan worden geplaatst, er is
er één die in een rek kan worden gemonteerd
en er is er één die meer
een Internet of things type oplossing is.
Het echte voordeel van dit soort systemen is dat ze geautomatiseerd
zijn, en dat betekent dat de sleutels
niet gecompromitteerd kunnen worden door menselijke tussenkomst.
Door de persoon uit de vergelijking te halen,
kunnen we onze systemen beter beveiligen en ervoor
zorgen dat ze veiliger zijn.
Een andere vorm van hardware beveiligingsmodule is
een apparaat dat eruit ziet als een USB thumb drive of flash drive die een digitale
sleutel kan bevatten die wordt gebruikt
om een harde schijf of ander opslagapparaat te versleutelen.
Om die schijf vervolgens te ontsleutelen en
te lezen, moet je de HSM in het systeem plaatsen, de digitale
sleutel laten lezen en verifiëren en vervolgens
het opslagapparaat ontsleutelen.
Dit is eigenlijk een heel gebruikelijke manier om harde schijven te
versleutelen voordat de Trusted Platform Module algemeen werd opgenomen
als onderdeel van onze moderne computers.