Instruktor: W
tej lekcji porozmawiamy o module TPM (Trusted Platform
Module) i module HSM (Hardware Security Module),
które są częścią UEFI.
Najpierw jednak chciałbym
przedstawić sprzętowy Root of Trust, znany jako RoT.
Obecnie sprzętowy Root of Trust jest fundamentem,
od którego zależą wszystkie bezpieczne operacje systemu komputerowego.
Zawiera klucze używane do funkcji kryptograficznych
i umożliwia bezpieczny proces rozruchu.
Jest to z natury zaufane
i dlatego musi być bezpieczne z założenia.
Obecnie Hardware Root of Trust
to moduł kryptograficzny osadzony w systemie komputerowym, który
może zatwierdzać zaufane wykonanie
i poświadczać ustawienia rozruchowe i metryki.
Może to brzmieć jak skomplikowana koncepcja,
ale z Root of Trust korzystasz cały czas.
W rzeczywistości moduł TPM wewnątrz UEFI komputera
jest sprzętowym Root of Trust.
Zasadniczo Root of Trust będzie używany do skanowania
metryk rozruchowych systemu i plików systemu
operacyjnego.
Następnie Root of Trust
może wysłać raport do procesora, który jest
podpisany cyfrowo przy użyciu certyfikatu Root of
Trust, aby wskazać, że można mu zaufać.
Zasadniczo ten sprzętowy Root of Trust
jest certyfikatem cyfrowym,
ale jest osadzony w chipie jako część oprogramowania
układowego w systemie.
Obecnie najczęściej używanym sprzętowym Root
of Trust jest Trusted Platform Module lub TPM,
który istnieje w komputerze.
TPM to specyfikacja sprzętowego przechowywania cyfrowych
certyfikatów, kluczy, skrótów haseł i innych informacji
identyfikujących użytkownika i platformę.
Każdy mikroprocesor TPM jest zakodowany na stałe
unikalnym i niezmiennym kluczem, który
jest określany jako klucz zatwierdzający lub EK.
System będzie korzystał z tego modułu TPM i jego klucza, aby upewnić
się, że oprogramowanie układowe systemu, program ładujący i jądro systemu
operacyjnego nie zostały naruszone lub zmodyfikowane
przy użyciu wielu różnych funkcji wykonywanych
w module Trusted Platform Module.
Po pierwsze, TPM zapewnia bezpieczną metodę wejścia i wyjścia.
Po drugie, znajduje się w nim procesor kryptograficzny, który
zapewnia prawdziwy generator liczb losowych.
TPM posiada również generator kluczy RSA,
generator skrótu SHA-1 oraz
silnik podpisu szyfrowania i deszyfrowania.
Oprócz tego TPM ma również
trwałą pamięć, która zawiera klucz
cyfrowy znany jako klucz zatwierdzający i
klucz główny pamięci masowej znany jako SRK.
Teraz TPM ma również wszechstronną pamięć,
która znajduje się w nim i obejmuje
rejestry konfiguracji platformy (PCR), klucze
tożsamości atestacji (AIK) i klucze pamięci.
To bardzo dużo funkcji w
jednym małym układzie TPM.
Pewnie zastanawiasz się, czy muszę zapamiętać
te wszystkie różne rzeczy na egzamin?
Cóż, dobra wiadomość jest taka, że nie, ale chciałem
przedstawić ci tę koncepcję, ponieważ
będziesz ją widział wielokrotnie, gdy będziesz
kontynuował swoją karierę w IT i cyberbezpieczeństwie.
Zamiast tego, na egzaminie
wystarczy pamiętać, że Trusted
Platform Module lub TPM jest sprzętowym Root
of Trust i że jest częścią
systemu.
Pozwoli ci to mieć pewność, że podczas uruchamiania
systemu odbywa się to w bezpieczny
sposób, ponieważ TPM potwierdza
fakt, że nasz UEFI nie został zmodyfikowany
ani zmodyfikowany, a TPM może być również używany do
zapewnienia szyfrowania urządzeń pamięci masowej.
Tak, to kolejna funkcja modułu TPM, ponieważ może on być
używany jako tajny klucz w połączeniu
z pełnym szyfrowaniem dysku w systemie w celu ochrony
zawartości urządzenia pamięci masowej.
Na przykład, jeśli korzystasz z funkcji BitLocker
z szyfrowaniem całego dysku w systemie Windows, w rzeczywistości
używa ona klucza wewnątrz modułu TPM, aby upewnić się, że dane na
urządzeniu pamięci masowej pozostają bezpiecznie
zaszyfrowane.
Moduł TPM można włączyć lub wyłączyć za
pomocą narzędzia konfiguracyjnego UEFI lub
zarządzać nim za pomocą narzędzi w systemie
operacyjnym, jeśli system
operacyjny to obsługuje.
Na przykład system operacyjny Windows
umożliwia zarządzanie modułem
TPM za pomocą tpm. msc w systemie Windows lub jeśli korzystasz
ze środowiska Windows Server, możesz zmodyfikować
go za pomocą Edytora zasad grupy.
Teraz na egzaminie nie musisz
wiedzieć, jak modyfikować lub konfigurować TPM, ale w prawdziwym
świecie, jako technik, możesz zostać poproszony
o pracę z Trusted Platform Module.
Jeśli tak, zawsze możesz sprawdzić najnowszą dokumentację
na stronie microsoft. com, aby dowiedzieć się,
jak prawidłowo zmodyfikować i skonfigurować moduł TPM.
Inną formą sprzętowego Root of
Trust, której musimy
się przyjrzeć, jest sprzętowy moduł bezpieczeństwa (HSM).
Obecnie sprzętowy moduł bezpieczeństwa jest urządzeniem
do generowania i przechowywania kluczy kryptograficznych,
które jest mniej podatne na manipulacje i zagrożenia wewnętrzne niż
rozwiązania oparte na pamięci masowej.
Obecnie sprzętowe moduły bezpieczeństwa
są używane do ochrony naszych systemów za pomocą szyfrowania,
ponieważ są one znacznie bezpieczniejsze
niż tradycyjne hasło lub tajny klucz.
Zamiast tego sprzętowy moduł bezpieczeństwa
zawiera zaufany i chroniony klucz cyfrowy, który może
być używany z urządzeniem szyfrującym.
Istnieje wiele różnych
sposobów tworzenia sprzętowych modułów
bezpieczeństwa i są one produkowane w różnych formach.
Na przykład, tutaj na ekranie można
zobaczyć sprzętowy moduł bezpieczeństwa nCipher,
który ma trzy różne modele.
Istnieje jedna karta wewnętrzna, którą
można umieścić w systemie, jedna karta
do montażu w szafie, a także jedna karta,
która jest bardziej
rozwiązaniem typu Internet rzeczy.
Prawdziwą zaletą tego typu systemów jest to, że są
one zautomatyzowane, a to
oznacza, że klucze nie mogą zostać naruszone przez
zaangażowanie człowieka.
Usuwając osobę z równania, możemy lepiej
zabezpieczyć nasze systemy i zapewnić ich
większe bezpieczeństwo.
Inną formą sprzętowego modułu bezpieczeństwa jest
urządzenie wyglądające jak pendrive lub pamięć flash USB, które może zawierać
klucz cyfrowy używany do szyfrowania
dysku twardego lub innego urządzenia pamięci masowej.
Następnie, aby odszyfrować i odczytać dysk,
należy włożyć moduł HSM do systemu, odczytać i zweryfikować
klucz cyfrowy, a następnie odszyfrować
urządzenie pamięci masowej.
Jest to w rzeczywistości bardzo powszechny sposób szyfrowania dysków
twardych, zanim moduł Trusted Platform Module został powszechnie włączony jako
część naszych nowoczesnych komputerów.