Instrutor: Nesta
lição, falaremos sobre o Trusted Platform Module (TPM)
e o módulo de segurança de hardware (HSM) que
existe como parte da UEFI.
Mas, primeiro, quero apresentá-lo
à raiz de confiança do hardware, conhecida como RoT.
Agora, uma raiz de confiança de hardware é a base
da qual dependem todas as operações seguras de um sistema de computação.
Ele contém as chaves usadas para funções criptográficas
e permite um processo de inicialização seguro.
Isso é inerentemente confiável
e, portanto, deve ser seguro por design.
Agora, uma raiz de confiança de hardware
é um módulo criptográfico incorporado em um sistema de computador que pode
endossar a execução confiável e atestar
as configurações e as métricas de inicialização.
Isso pode parecer um conceito complicado,
mas você usa uma raiz de confiança o tempo todo.
De fato, o módulo TPM dentro da UEFI do seu computador
é uma raiz de confiança de hardware.
Essencialmente, uma raiz de confiança será usada para verificar
as métricas de inicialização do sistema e os arquivos
do sistema operacional.
E, em seguida, a Raiz de
Confiança pode enviar um relatório ao processador
assinado digitalmente usando o certificado da Raiz de Confiança
para indicar que ele é confiável.
Essencialmente, essa raiz de confiança
de hardware é um certificado
digital, mas está incorporada em seu chip
como parte do firmware do sistema.
Agora, a raiz de confiança de hardware mais comumente
usada é o Trusted Platform Module (TPM) que existe
em seu computador.
O TPM é uma especificação para armazenamento baseado em hardware
de certificados digitais, chaves, hashes de senha e outras informações
de identificação de usuários e plataformas.
Cada microprocessador TPM é codificado
com uma chave exclusiva e imutável,
conhecida como chave de endosso ou EK.
Seu sistema usará esse TPM e sua chave para garantir que o firmware
do sistema, o gerenciador de inicialização e o kernel do sistema operacional
não tenham sido adulterados ou modificados por
meio de várias funções diferentes executadas
no Trusted Platform Module.
Primeiro, o TPM fornece um método seguro de entrada e saída.
Em segundo lugar, há um processador criptográfico dentro dele que
fornece um verdadeiro gerador de números aleatórios.
O TPM também tem um gerador de chaves RSA, um gerador
de hash SHA-1 e um mecanismo de
assinatura de criptografia e descriptografia.
Além de tudo isso, o TPM também
tem uma memória persistente que contém uma
chave digital conhecida como chave de endosso e uma
chave raiz de armazenamento conhecida como SRK.
O TPM também tem uma memória versátil localizada nele, que
inclui os Registros de Configuração da
Plataforma (Platform Configuration Registers, PCRs), as Chaves
de Identidade de Atestado (Attestation Identity Keys, AIKs) e
as chaves de armazenamento.
Isso representa uma grande quantidade
de funcionalidades em um único chip TPM.
Então, você deve estar se perguntando: preciso memorizar
todas essas coisas diferentes para o exame?
Bem, a boa notícia é que não, mas eu gostaria de
apresentar esse conceito a você,
pois você o verá repetidamente à medida
que avançar em sua carreira de TI e segurança cibernética.
Em vez disso, para o exame, preciso
apenas que você se lembre de que
o Trusted Platform Module ou TPM é uma raiz de confiança
de hardware e que faz parte do
seu sistema.
Isso permitirá que você tenha a capacidade
de garantir que a inicialização
do sistema seja feita com segurança,
pois esse TPM atesta que a UEFI não foi modificada
ou adulterada e que o TPM também pode ser usado para fornecer
criptografia aos dispositivos de armazenamento.
Sim, essa é mais uma função do TPM, pois ele pode ser usado como
chave secreta em conjunto com a criptografia
de disco completo em um sistema para proteger o conteúdo
do seu dispositivo de armazenamento.
Por exemplo, se você estiver usando o BitLocker com
criptografia de disco completo em um sistema Windows, ele
está, na verdade, usando a chave dentro do TPM para garantir que os
dados no dispositivo de armazenamento permaneçam
criptografados com segurança.
O TPM pode ser ativado ou desativado na ferramenta
de configuração UEFI ou você pode gerenciá-lo
usando ferramentas do sistema operacional,
se o sistema operacional
for compatível com isso.
Por exemplo, o sistema operacional
Windows permite que você gerencie
o TPM usando o tpm. msc no Windows ou, se estiver usando
o ambiente do Windows Server, poderá modificá-lo
usando o Group Policy Editor.
Agora, para o exame, você
não precisa saber como modificar ou configurar o TPM, mas no mundo
real, como técnico, você pode ser solicitado
a trabalhar com o Trusted Platform Module.
Se for o caso, você sempre pode consultar a documentação
mais recente na Microsoft. com para saber como
modificar e configurar o TPM corretamente.
Outra forma de raiz de confiança
de hardware que devemos
analisar é conhecida como módulo de segurança de hardware ou HSM.
Agora, um módulo de segurança de hardware é um dispositivo
para gerar e armazenar chaves criptográficas que é
menos suscetível a adulterações e ameaças internas do que o uso
de soluções baseadas em armazenamento.
Agora, os módulos de segurança de hardware
são usados para proteger nossos sistemas usando a passagem de criptografia,
porque são muito mais seguros do
que usar uma senha tradicional ou uma chave secreta.
Em vez disso, um módulo de segurança de hardware
contém uma chave digital confiável e protegida que pode ser
usada com um dispositivo de criptografia.
Há muitas maneiras diferentes
de criar módulos de segurança de hardware,
e eles também são produzidos em diferentes formatos.
Por exemplo, aqui na tela, você pode
ver o módulo de segurança de hardware nCipher e ele
tem três modelos diferentes.
Há um que é uma placa interna que pode
ser colocada dentro de seu sistema,
há um que é um sistema montado em rack e
há outro que é mais
uma solução do tipo Internet das coisas.
A vantagem real desses tipos de sistemas é que eles
são automatizados, o que significa
que as chaves não podem ser comprometidas por envolvimento
humano.
Ao remover a pessoa da equação, podemos
ter mais segurança para nossos sistemas e garantir
que eles sejam mais seguros.
Outra forma de módulo de segurança de hardware é um
dispositivo que se parece com um pen drive ou uma unidade flash USB que pode conter
uma chave digital usada para criptografar
um disco rígido ou outro dispositivo de armazenamento.
Em seguida, para descriptografar e ler essa unidade,
você precisaria inserir o HSM no sistema, ler e verificar
essa chave digital e, então, o dispositivo de
armazenamento poderia ser descriptografado.
Essa é, na verdade, uma maneira muito comum de criptografar discos
rígidos antes de o Trusted Platform Module ser comumente incluído como parte
de nossos computadores modernos.