Instructeur : Dans
cette leçon, nous allons parler du Trusted Platform Module
(TPM) et du Hardware Security Module (HSM) qui
font partie de l'UEFI.
Mais tout d'abord, je voudrais vous
présenter la racine de confiance matérielle, connue sous le nom de RoT.
Aujourd'hui, une racine de confiance matérielle est le fondement
sur lequel reposent toutes les opérations sécurisées d'un système informatique.
Il contient les clés utilisées pour les fonctions cryptographiques
et permet un processus de démarrage sécurisé.
Il est intrinsèquement fiable
et doit donc être sécurisé dès sa conception.
Aujourd'hui, une racine de confiance
matérielle est un module cryptographique intégré dans un système informatique
qui peut approuver une exécution de confiance
et attester des paramètres et des mesures de démarrage.
Ce concept peut sembler compliqué, mais vous
utilisez une racine de confiance en permanence.
En fait, le module TPM intégré à l'UEFI de votre ordinateur
est une racine de confiance matérielle.
Essentiellement, une racine de confiance va être utilisée pour
analyser les métriques de démarrage du système et les fichiers
du système d'exploitation.
La racine de confiance peut
ensuite envoyer au processeur un rapport signé numériquement
à l'aide du certificat de la racine de confiance pour indiquer
qu'elle est digne de confiance.
Essentiellement, cette racine de confiance
matérielle est un certificat numérique,
mais elle est intégrée à votre puce dans le cadre du
micrologiciel de votre système.
Aujourd'hui, la racine de confiance matérielle la plus couramment utilisée
est le module de plate-forme de confiance (Trusted Platform Module ou
TPM) qui se trouve dans votre ordinateur.
Le TPM est une spécification pour le stockage matériel de certificats
numériques, de clés, de hachages de mots de passe et d'autres informations
d'identification de l'utilisateur et de la plateforme.
Chaque microprocesseur TPM est codé en
dur avec une clé unique et inaltérable,
appelée clé d'endossement ou EK.
Votre système va utiliser ce TPM et sa clé pour s'assurer que le micrologiciel
du système, le chargeur de démarrage et le noyau du système d'exploitation
n'ont pas été altérés ou modifiés à l'aide de plusieurs
fonctions différentes exécutées au sein
du Trusted Platform Module.
Tout d'abord, la MTP fournit une méthode sécurisée d'entrée et de sortie.
Deuxièmement, il contient un processeur cryptographique qui fournit
un véritable générateur de nombres aléatoires.
La MPT dispose également d'un générateur de clés RSA, d'un
générateur de hachage SHA-1 et d'un
moteur de signature pour le chiffrement et le déchiffrement.
En plus de tout cela, le MPT
possède également une mémoire persistante
qui contient une clé numérique appelée clé d'endossement
et une clé racine de stockage appelée SRK.
Le TPM possède également une mémoire polyvalente
qui comprend les registres de
configuration de la plate-forme (PCR), les clés
d'identité d'attestation (AIK) et les clés de
stockage.
Il s'agit là d'un grand nombre de fonctionnalités
au sein d'une seule petite puce TPM.
Vous vous demandez donc probablement si je dois
mémoriser toutes ces choses pour l'examen.
La bonne nouvelle, c'est que non, mais je tenais à vous présenter
ce concept, car vous le verrez encore et encore
au fur et à mesure que vous progresserez dans votre
carrière dans les technologies de l'information et la cybersécurité.
Au lieu de cela, pour l'examen, j'ai
juste besoin que vous vous rappeliez
que le Trusted Platform Module (TPM) est une racine de confiance
matérielle et qu'il fait partie
de votre système.
Il vous permettra de vous assurer que
le démarrage de votre système se
fait en toute sécurité, car
ce TPM atteste que notre UEFI n'a pas été modifié
ou altéré, et ce TPM peut également être utilisé
pour assurer le chiffrement de vos périphériques
de stockage.
Oui, il s'agit là d'une autre fonction du TPM, car il peut être utilisé
comme clé secrète en conjonction avec le
chiffrement intégral du disque d'un système pour protéger
le contenu de votre périphérique de stockage.
Par exemple, si vous utilisez BitLocker avec le chiffrement
intégral du disque sur un système Windows, il utilise en
fait la clé à l'intérieur de votre TPM pour s'assurer que les données
sur votre périphérique de stockage restent cryptées
en toute sécurité.
Le TPM peut être activé ou désactivé à partir
de votre outil de configuration UEFI ou vous
pouvez le gérer à l'aide d'outils du
système d'exploitation,
si ce dernier le prend en charge.
Par exemple, le système d'exploitation
Windows vous permet de gérer le TPM
à l'aide de la fonction tpm. msc dans Windows, ou si vous utilisez l'environnement
Windows Server, vous pouvez le modifier à l'aide de
l'éditeur de stratégie de groupe.
Pour l'examen, il n'est pas
nécessaire de savoir comment modifier ou configurer le TPM, mais dans le
monde réel, en tant que technicien, vous pouvez
être amené à travailler avec le Trusted Platform Module.
Si c'est le cas, vous pouvez toujours consulter la documentation
la plus récente sur le site de Microsoft. com pour savoir comment
modifier et configurer correctement le TPM.
Une autre forme de racine de confiance
matérielle que nous
devons examiner est connue sous le nom de module de sécurité matériel ou HSM.
Aujourd'hui, un module de sécurité matériel est un appareil permettant
de générer et de stocker des clés cryptographiques qui est
moins susceptible d'être altéré et de faire l'objet de menaces internes
que les solutions basées sur le stockage.
Aujourd'hui, les modules de sécurité matériels
sont utilisés pour protéger nos systèmes à l'aide d'une passe de cryptage,
car ils sont beaucoup plus sûrs que l'utilisation
d'un mot de passe traditionnel ou d'une clé secrète.
Au lieu de cela, un module de sécurité matériel contient
une clé numérique fiable et protégée qui peut être utilisée
avec un dispositif de cryptage.
Il existe de nombreuses façons
de créer des modules de sécurité matériels,
et ils sont également produits dans différents facteurs de forme.
Par exemple, ici à l'écran, vous pouvez
voir le module de sécurité matériel nCipher et il existe
trois modèles différents.
Il existe une carte interne qui peut
être insérée dans votre système, un
système monté en rack et enfin une solution
qui s'apparente
davantage à l'Internet des objets.
Le véritable avantage de ces types de systèmes est qu'ils
sont automatisés, ce qui signifie
que les clés ne peuvent pas être compromises par une intervention
humaine.
En supprimant la personne de l'équation,
nous pouvons améliorer la sécurité de nos systèmes
et veiller à ce qu'ils soient plus sûrs.
Une autre forme de module de sécurité matériel est
un dispositif qui ressemble à une clé USB ou à un lecteur flash et qui peut contenir
une clé numérique utilisée pour
crypter un disque dur ou un autre dispositif de stockage.
Ensuite, pour décrypter et lire ce disque,
il faut insérer le HSM dans le système, faire lire
et vérifier la clé numérique, puis décrypter
le dispositif de stockage.
Il s'agit en fait d'une méthode très courante de cryptage
des disques durs avant que le Trusted Platform Module ne soit intégré
à nos ordinateurs modernes.