导师：在本课中,
我们将讨论作为UEFI一部分存在的可信平台模块（TPM）和硬件安全模块（HSM）｡
但首先, 我想向您介绍硬件信任根,
称为RoT｡
现在, 硬件信任根是计算系统的所有安全操作所依赖的基础｡
它包含用于加密功能的密钥,
并启用安全引导过程｡
这是固有的信任,
因此必须通过设计来确保安全｡
现在, 硬件信任根是嵌入在计算机系统中的加密模块,
可以认可可信执行并证明引导设置和指标｡
这听起来可能是一个复杂的概念,
但您一直在使用信任根｡
事实上, 计算机UEFI中的TPM模块是一个硬件信任根｡
从本质上讲, 信任根将用于扫描系统和操作系统文件的引导指标｡
然后, 信任根可以向处理器发送一份报告,
该报告使用信任根证书进行了数字签名, 以表明它们是可以信任的｡
从本质上讲, 这个硬件信任根是一个数字证书,
但它作为系统固件的一部分嵌入在芯片中｡
现在, 最常用的硬件信任根是计算机中的受信任平台模块或TPM｡
TPM是数字证书､ 密钥､ 密码散列以及其他用户和平台标识信息的基于硬件的存储规范｡
每个TPM微处理器都是用一个唯一且不可更改的密钥硬编码的,
该密钥被称为背书密钥或EK｡
您的系统将使用此TPM及其密钥来确保系统固件､
引导加载程序和操作系统内核未通过使用可信平台模块中执行的多个不同功能进行篡改或修改｡
首先, TPM提供了一种安全的输入和输出方法｡
其次, 它内部有一个加密处理器, 提供一个真正的随机数生成器｡
TPM还具有RSA密钥生成器､
SHA-1散列生成器以及加密和解密签名引擎｡
除此之外, TPM还有一个持久性存储器,
其中包含一个称为背书密钥的数字密钥和一个称为SRK的存储根密钥｡
现在, TPM内部还有一个多功能内存,
其中包括平台配置寄存器（PCR）､ 证明身份密钥（AIK）和存储密钥｡
现在, 这是一个小TPM芯片中的许多功能｡
所以你可能想知道, 我必须记住所有这些不同的东西来应付考试吗？
好消息是, 你没有, 但我想向你介绍这个概念,
因为你会看到它一次又一次,
因为你继续在你的IT和网络安全职业生涯向上｡
相反, 对于考试,
我真的只需要你记住,
可信平台模块或TPM是一个硬件信任根,
它是你系统的一部分｡
它将使您能够确保系统启动时的安全性,
因为此TPM证明我们的UEFI未被修改或篡改,
并且TPM还可用于为您的存储设备提供加密｡
是的, 这是TPM的另一个功能,
因为它可以作为密钥与系统上的全磁盘加密一起使用,
以保护存储设备的内容｡
例如, 如果您在Windows系统上使用具有全磁盘加密的Bitcoin,
则它实际上使用TPM内部的密钥来确保存储设备上的数据保持安全加密｡
TPM可以从UEFI配置工具中启用或禁用,
或者如果您的操作系统支持,
则可以使用操作系统中的工具对其进行管理｡
例如, Windows操作系统允许您使用TPM管理TPM｡
Windows中的组策略控制台工具,
或者如果您使用的是Windows Server环境, 则可以使用组策略编辑器修改它｡
现在, 对于考试,
您不需要知道如何修改或配置TPM, 但在现实世界中,
作为技术人员, 您可能会被要求使用可信平台模块｡
如果你是, 你可以随时在微软查找最新的文档｡
com了解如何正确修改和配置TPM｡
我们必须考虑的另一种形式的硬件信任根被称为硬件安全模块或HSM｡
现在, 硬件安全模块是一种用于生成和存储加密密钥的设备,
与使用基于存储的解决方案相比,
它更不易受到篡改和内部威胁的影响｡
现在硬件安全模块使用加密通行证来保护我们的系统,
因为它们比使用传统的密码或密钥更安全｡
相反, 硬件安全模块包含可与加密设备一起使用的受信任和受保护的数字密钥｡
有许多不同的方法来创建硬件安全模块,
它们也以不同的形式生产｡
例如, 在屏幕上, 您可以看到nCipher硬件安全模块,
它有三种不同的型号｡
有一种是可以放在系统内部的内部卡,
有一种是机架式系统,
还有一种是物联网类型的解决方案｡
这些类型的系统的真正优势是它们是自动化的,
这意味着密钥不会被人类参与所破坏｡
通过将人从等式中删除, 我们可以为我们的系统提供更好的安全性,
并确保它们更安全｡
另一种形式的硬件安全模块是一种看起来像USB拇指驱动器或闪存驱动器的设备,
它可以包含用于加密硬盘驱动器或其他存储设备的数字密钥｡
然后, 要解密和读取该驱动器,
您需要将HSM插入系统, 读取并验证该数字密钥, 然后可以解密存储设备｡
这实际上是一种非常常见的加密硬盘驱动器的方式,
在可信平台模块通常作为我们现代计算机的一部分之前｡