インストラクター：このレッスンでは､
Trusted Platform Module（TPM）と､ UEFIの一部として存在するハードウェアセキュリティモジュール（HSM）についてお話しします｡
その前に､ RoTとして知られるハードウェアのRoot
of Trustを紹介したい｡
現在､ ハードウェアのRoot of Trustは､ コンピューティング・システムのすべての安全なオペレーションが依存する基盤となっている｡
暗号化機能に使用される鍵が含まれ､ 安全なブートプロセスを可能にする｡
これは本質的に信頼できるものであり､
したがって設計上安全でなければならない｡
ハードウェア・ルート・オブ・トラストとは､
コンピュータ・システム内に組み込まれた暗号モジュールで､ 信頼された実行を承認し､ ブート設定とメトリクスを証明することができる｡
これは複雑な概念のように聞こえるかもしれないが､
あなたは常に信頼の根を使用している｡
実際､ コンピュータのUEFIに内蔵されているTPMモジュールは､ ハードウェアのRoot
of Trust（信頼の根）である｡
基本的に､ Root of Trustは､ システムおよびオペレーティング・システム・ファイルへのブート・メトリクスをスキャンするために使用される｡
そして､ ルート・オブ・トラストは､
ルート・オブ・トラスト証明書を使ってデジタル署名されたレポートをプロセッサーに送り､ 信頼できることを示すことができる｡
基本的に､ このハードウェアRoot of
Trustはデジタル証明書ですが､
システムのファームウェアの一部としてチップの内部に組み込まれています｡
現在､ 最も一般的に使用されているハードウェアのRoot of
Trustは､ コンピュータ内に存在するTrusted Platform
Module（TPM）である｡
TPMは､ デジタル証明書､ 鍵､ パスワードハッシュ､
その他ユーザーやプラットフォームの識別情報をハードウェアベースで保存するための仕様である｡
各TPMマイクロプロセッサーには､ エンドースメント・キーまたはEKと呼ばれるユニークで変更不可能なキーがハードコードされている｡
あなたのシステムは､ このTPMとそのキーを使って､ システム・ファームウェア､
ブート・ローダー､ OSカーネルが改ざんされていないこと､ あるいはトラステッド・プラットフォーム・モジュール内で実行される複数の異なる機能を使って変更されていないことを確認します｡
第一に､ TPMは安全な入出力方法を提供する｡
第二に､ 暗号化プロセッサが内蔵されており､
真の乱数発生器を提供する｡
TPMはまた､ RSA鍵生成器､ SHA-1ハッシュ生成器､
暗号化と復号の両方の署名エンジンを備えている｡
さらにTPMは､ エンドースメント・キーと呼ばれるデジタル・キーと､
SRKと呼ばれるストレージ・ルート・キーを含む永続的なメモリも備えている｡
TPMはまた､ その中にある多用途のメモリを持っており､
これにはプラットフォーム・コンフィギュレーション・レジスタ（PCR）､ 認証アイデンティティ・キー（AIK）､
ストレージ・キーが含まれる｡
この小さなTPMチップ1つで､
多くの機能を実現しているのだ｡
では､ 試験のためにいろいろなことを暗記しなければならないのかと疑問に思うだろう｡
しかし､ ITやサイバーセキュリティのキャリアを積んでいく中で､
このコンセプトを何度も目にすることになるだろう｡
その代わり､ 試験においては､ TPM（Trusted
Platform Module）がハードウェアのRoot
of Trustであり､ システムの一部であることを覚えておいてほしい｡
このTPMは､ UEFIが変更または改ざんされていないことを証明するものであり､
TPMはストレージ・デバイスの暗号化にも使用できる｡
そう､ これもTPMの機能のひとつで､ システムのフルディスク暗号化と組み合わせて秘密鍵として使用することで､
ストレージ・デバイスの内容を保護することができるからだ｡
例えば､ WindowsシステムでBitLockerをフルディスク暗号化で使用している場合､
ストレージ・デバイス上のデータが安全に暗号化されたままであることを確認するために､
実際にはTPM内部のキーを使用しています｡
TPMは､ UEFIコンフィギュレーション・ツールから有効化または無効化することができるほか､
オペレーティング・システムがサポートしていれば､ オペレーティング・システム内のツールを使って管理することもできる｡
例えば､ ウィンドウズ・オペレーティング・システムでは､
tpmを使ってTPMを管理することができる｡
Windows内のmscコンソールツール､
またはWindows Server環境を使用している場合は､ グループポリシーエディターを使用して変更することができます｡
試験では､ TPMを変更したり設定したりする方法を知る必要はありませんが､
実際の現場では､ 技術者としてTPMを扱うことを求められることがあります｡
もしそうなら､ マイクロソフトでいつでも最新のドキュメントを調べることができる｡
comで､
TPMを適切に変更・設定する方法をご覧ください｡
ハードウェア・セキュリティ・モジュールまたはHSMとして知られる､
ハードウェアRoot of Trustのもう一つの形態に注目する必要がある｡
現在､ ハードウェア・セキュリティ・モジュールは､
暗号鍵を生成・保存するためのアプライアンスであり､
ストレージベースのソリューションを使用するよりも改ざんや内部脅威の影響を受けにくい｡
ハードウェア・セキュリティ・モジュールは､
従来のパスワードや秘密鍵を使用するよりもはるかに安全であるため､
暗号化パスを使用してシステムを保護するために使用されるようになった｡
その代わり､ ハードウェア・セキュリティ・モジュールには､
暗号化装置で使用できる信頼され保護されたデジタル鍵が含まれている｡
ハードウェア・セキュリティ・モジュールの作り方にはさまざまな方法があり､
さまざまなフォームファクターで製造されている｡
例えば､ ここにnCipherハードウェア・セキュリティ・モジュールが見えますが､
ここには3つの異なるモデルがあります｡
システム内に設置できる内蔵カード型､
ラックマウント型､ そしてよりモノのインターネットに近いタイプのソリューションがある｡
この種のシステムの本当の利点は､
自動化されていることである｡
方程式から個人を取り除くことで､
私たちはシステムのセキュリティを向上させ､
より安全にすることができる｡
ハードウェア・セキュリティ・モジュールのもう一つの形態は､
USBメモリやフラッシュ・ドライブのように見えるデバイスで､ ハードディスク・ドライブやその他のストレージ・デバイスを暗号化するために使用されるデジタル・キーを格納することができる｡
そして､ そのドライブを復号化して読み込むには､
HSMをシステムに挿入し､ デジタル・キーを読み取って検証し､
ストレージ・デバイスを復号化する必要がある｡
これは､ トラステッド・プラットフォーム・モジュールが現代のコンピューターの一部として一般的に搭載される以前は､
ハードディスクを暗号化する方法として非常に一般的なものだった｡