Istruttore: In
questa lezione parleremo del Trusted Platform Module
o TPM e del modulo di sicurezza hardware o
HSM che fa parte dell'UEFI.
Ma prima voglio presentarvi
la Root of Trust hardware, nota come RoT.
Ora, una Root of Trust hardware è la base da
cui dipendono tutte le operazioni sicure di un sistema informatico.
Contiene le chiavi utilizzate per le funzioni crittografiche
e consente un processo di avvio sicuro.
Si tratta di un sistema intrinsecamente
affidabile, che quindi deve essere sicuro per sua stessa natura.
Ora un Hardware Root of Trust è
un modulo crittografico incorporato in un sistema informatico che
può avallare l'esecuzione affidabile
e attestare le impostazioni e le metriche di avvio.
Può sembrare un concetto complicato,
ma si usa sempre una Root of Trust.
Infatti, il modulo TPM all'interno dell'UEFI del computer
è un Root of Trust hardware.
In sostanza, un Root of Trust verrà utilizzato per
analizzare le metriche di avvio del sistema
e i file del sistema operativo.
Il Root of Trust può quindi
inviare all'elaboratore un rapporto firmato
digitalmente con il certificato del Root of Trust per
indicare che ci si può fidare di lui.
In sostanza, questo Root of Trust
hardware è un certificato
digitale, ma è incorporato nel chip come
parte del firmware del sistema.
Attualmente il Root of Trust hardware più comunemente
utilizzato è il Trusted Platform Module o TPM, presente
all'interno del computer.
Il TPM è una specifica per la memorizzazione su base hardware
di certificati digitali, chiavi, hash di password e altre informazioni
di identificazione dell'utente e della piattaforma.
Ogni microprocessore TPM è dotato di
una chiave unica e immutabile,
denominata chiave di approvazione o EK.
Il sistema utilizzerà questo TPM e la sua chiave per garantire
che il firmware del sistema, il boot loader e il kernel del sistema operativo
non siano stati manomessi o modificati utilizzando
diverse funzioni eseguite all'interno
del Trusted Platform Module.
In primo luogo, il TPM fornisce un metodo sicuro di input e output.
In secondo luogo, al suo interno è presente un processore crittografico che
fornisce un vero e proprio generatore di numeri casuali.
Il TPM dispone anche di un generatore di chiavi RSA,
di un generatore di hash SHA-1 e di
un motore di firma per la crittografia e la decrittografia.
Oltre a tutto ciò, il TPM dispone
anche di una memoria persistente che contiene
una chiave digitale nota come chiave di avallo e una
chiave radice di archiviazione nota come SRK.
Ora il TPM ha anche una memoria versatile che si trova
al suo interno e che comprende i registri
di configurazione della piattaforma o PCR, le chiavi
di identità di attestazione o AIK e le chiavi di memorizzazione.
Si tratta di un sacco di funzionalità
all'interno di un piccolo chip TPM.
Quindi vi starete chiedendo: devo memorizzare
tutte queste cose diverse per l'esame?
La buona notizia è che non è così, ma ho voluto introdurvi
a questo concetto perché lo vedrete
sempre più spesso mentre proseguite la vostra
carriera nel settore dell'IT e della cybersicurezza.
Per l'esame, invece, è
sufficiente ricordare che
il Trusted Platform Module o TPM è un Root
of Trust hardware e che
fa parte del sistema.
Inoltre, vi consentirà di garantire
che l'avvio del sistema avvenga
in modo sicuro, perché
il TPM attesta che l'UEFI non è stato modificato
o manomesso e può essere utilizzato anche per
crittografare i dispositivi di archiviazione.
Sì, questa è un'altra funzione del TPM, perché può essere utilizzata
come chiave segreta insieme alla crittografia
del disco intero di un sistema per proteggere il contenuto
del dispositivo di archiviazione.
Ad esempio, se si utilizza BitLocker con la crittografia
dell'intero disco su un sistema Windows, in realtà si
utilizza la chiave all'interno del TPM per garantire che i dati
sul dispositivo di archiviazione rimangano
crittografati in modo sicuro.
Il TPM può essere attivato o disattivato
dallo strumento di configurazione UEFI oppure
può essere gestito tramite strumenti
del sistema operativo,
se quest'ultimo lo supporta.
Ad esempio, il sistema operativo
Windows consente di gestire il
TPM utilizzando il tpm. msc all'interno di Windows o, se si utilizza
l'ambiente Windows Server, è possibile modificarlo
utilizzando l'Editor Criteri di gruppo.
Per l'esame non è necessario
sapere come modificare o configurare il TPM, ma nel mondo reale,
come tecnici, potrebbe essere richiesto
di lavorare con il Trusted Platform Module.
Se lo siete, potete sempre consultare la documentazione
più recente presso microsoft. com per la modifica
e la configurazione corretta del TPM.
Un'altra forma di Root of Trust
hardware che dobbiamo
esaminare è nota come modulo di sicurezza hardware o HSM.
Ora un modulo di sicurezza hardware è un dispositivo per la
generazione e l'archiviazione di chiavi crittografiche
che è meno soggetto a manomissioni e minacce interne rispetto alle
soluzioni basate sull'archiviazione.
Ora i moduli di sicurezza hardware sono utilizzati
per proteggere i nostri sistemi utilizzando i passaggi di crittografia,
perché sono molto più sicuri rispetto
all'utilizzo di una password tradizionale o di una chiave segreta.
Un modulo di sicurezza hardware contiene invece una
chiave digitale affidabile e protetta che può essere utilizzata
con un dispositivo di crittografia.
Esistono molti modi diversi
per creare moduli di sicurezza hardware
e sono prodotti in diversi fattori di forma.
Ad esempio, qui sullo schermo è possibile
vedere il modulo di sicurezza hardware nCipher,
con tre diversi modelli.
C'è una scheda interna che può essere
inserita all'interno del sistema,
una che è un sistema montato su rack e una
che è più una soluzione
di tipo Internet delle cose.
Il vero vantaggio di questo tipo di sistemi è che sono
automatizzati, il che significa
che le chiavi non possono essere compromesse dal coinvolgimento
umano.
Eliminando la persona dall'equazione,
possiamo migliorare la sicurezza dei nostri sistemi
e garantire che siano più sicuri.
Un'altra forma di modulo di sicurezza hardware
è un dispositivo simile a una chiavetta USB che può contenere una chiave
digitale utilizzata per crittografare
un disco rigido o un altro dispositivo di archiviazione.
Per decifrare e leggere l'unità, è necessario
inserire l'HSM nel sistema, far leggere e verificare
la chiave digitale e quindi decifrare
il dispositivo di memorizzazione.
Questo è in realtà un modo molto comune di crittografare i dischi
rigidi prima che il Trusted Platform Module fosse comunemente incluso
nei nostri computer moderni.