Instructor: En
esta lección, vamos a hablar sobre el Trusted Platform Module
o TPM y el módulo de seguridad de hardware o HSM
que existe como parte de tu UEFI.
Pero antes, quiero presentarte
la Raíz de Confianza del hardware, conocida como RoT.
Ahora, una Raíz de Confianza de hardware es la base
de la que dependen todas las operaciones seguras de un sistema informático.
Contiene las claves utilizadas para las funciones criptográficas
y permite un proceso de arranque seguro.
Esto es inherentemente de
confianza y por lo tanto debe ser seguro por diseño.
Ahora una Raíz de Confianza de Hardware
es un módulo criptográfico incrustado dentro de un sistema informático que
puede avalar la ejecución de confianza y dar
fe de las configuraciones y métricas de arranque.
Puede parecer un concepto complicado, pero
usted utiliza una raíz de confianza todo el tiempo.
De hecho, el módulo TPM dentro de la UEFI de tu ordenador
es una Raíz de Confianza de hardware.
Esencialmente, una Raíz de Confianza va a ser usada para
escanear las métricas de arranque al sistema y los
archivos del sistema operativo.
Y entonces la raíz de confianza
puede enviar un informe al procesador firmado digitalmente
con el certificado de la raíz de confianza para indicar que
se puede confiar en ellos.
Esencialmente, esta Raíz de Confianza
de hardware es un certificado
digital, pero está incrustado dentro de su chip
como parte del firmware de su sistema.
En la actualidad, la Raíz de Confianza de hardware más
utilizada es el Módulo de Plataforma Confiable o TPM que
existe dentro de su computadora.
El TPM es una especificación para el almacenamiento basado en hardware
de certificados digitales, claves, hashes de contraseñas y otra
información de identificación de usuarios y plataformas.
Cada microprocesador TPM está codificado
con una clave única e inalterable
denominada clave de endoso o EK.
Su sistema va a utilizar este TPM y su clave para asegurar que el firmware
del sistema, el gestor de arranque y el kernel del sistema operativo no han
sido manipulados o modificados mediante el uso de
múltiples funciones diferentes realizadas
dentro del módulo de plataforma de confianza.
En primer lugar, el TPM proporciona un método seguro de entrada y salida.
En segundo lugar, hay un procesador criptográfico en su interior que proporciona
un verdadero generador de números aleatorios.
El TPM también cuenta con un generador de claves
RSA, un generador de hash SHA-1
y un motor de firmas de cifrado y descifrado.
Además de todo eso, el TPM
también tiene una memoria persistente que
contiene una clave digital conocida como clave de respaldo
y una clave raíz de almacenamiento conocida como SRK.
Ahora el TPM también tiene una memoria versátil que
se encuentra dentro de él y esto incluye
los registros de configuración de la plataforma o PCRs, las
claves de identidad de atestación o AIKs y las claves de
almacenamiento.
Eso es mucha funcionalidad
dentro de ese pequeño chip TPM.
Seguramente te preguntarás: ¿tengo que memorizar
todas estas cosas para el examen?
Bueno, la buena noticia es que no, pero quería
presentarte este concepto porque
lo vas a ver una y otra vez a medida que
sigas ascendiendo en tu carrera de TI y ciberseguridad.
En cambio, para el examen, realmente
sólo necesito que recuerdes que el
Módulo de Plataforma Confiable o TPM es una Raíz de Confianza
de hardware y que es parte de tu
sistema.
Y va a permitir que usted tenga la capacidad de asegurarse
de que cuando su sistema está siendo arrancado,
se está haciendo de forma segura,
porque este TPM está atestiguando el hecho de que nuestro
UEFI no ha sido modificado o manipulado y que TPM también se puede
utilizar para proporcionar cifrado para sus dispositivos de almacenamiento.
Sí, esta es otra función del TPM, ya que puede utilizarse
como clave secreta junto con el cifrado
de disco completo en un sistema para proteger el contenido
de tu dispositivo de almacenamiento.
Por ejemplo, si utilizas BitLocker con cifrado
de disco completo en un sistema Windows, en realidad está
utilizando la clave dentro de tu TPM para asegurarse de que los datos
de tu dispositivo de almacenamiento permanecen
cifrados de forma segura.
El TPM se puede activar o desactivar
desde la herramienta de configuración
UEFI o se puede gestionar mediante
herramientas del sistema
operativo, si éste lo admite.
Por ejemplo, el sistema operativo
Windows sí permite gestionar
el TPM mediante el tpm. msc dentro de Windows, o si utiliza
el entorno Windows Server, puede modificarla
mediante el Editor de directivas de grupo.
Ahora, para el examen, no
necesitas saber cómo modificar o configurar el TPM, pero en el
mundo real, como técnico, se te puede pedir
que trabajes con el Trusted Platform Module.
Si es así, siempre puedes consultar la documentación
más reciente en microsoft. com para saber cómo
modificar y configurar el TPM correctamente.
Otra forma de Root of Trust de hardware
que tenemos que tener
en cuenta se conoce como módulo de seguridad de hardware o HSM.
Ahora, un módulo de seguridad de hardware es un dispositivo
para generar y almacenar claves criptográficas que es
menos susceptible a la manipulación y a las amenazas internas que el
uso de soluciones basadas en el almacenamiento.
Ahora se utilizan módulos de seguridad
de hardware para proteger nuestros sistemas mediante pases de
cifrado, porque son mucho más seguros
que utilizar una contraseña tradicional o una clave secreta.
En su lugar, un módulo de seguridad de hardware contiene
una clave digital protegida y de confianza que puede utilizarse
con un dispositivo de cifrado.
Hay muchas maneras diferentes
de crear módulos de seguridad de hardware,
y también se producen en diferentes factores de forma.
Por ejemplo, aquí en la pantalla, se
puede ver el módulo de seguridad de hardware nCipher
y tiene tres modelos diferentes aquí.
Hay una que es una tarjeta interna que
se puede colocar dentro del sistema,
otra que es un sistema montado en bastidor
y otra que es más una
solución del tipo Internet de las cosas.
La verdadera ventaja de este tipo de sistemas es que
están automatizados, y eso significa
que las claves no pueden verse comprometidas por la intervención
humana.
Al eliminar a la persona de la ecuación,
podemos mejorar la seguridad de nuestros sistemas
y garantizar que sean más seguros.
Otra forma de módulo de seguridad de hardware es
un dispositivo parecido a una memoria USB o pendrive que puede contener
una clave digital que se utiliza
para cifrar un disco duro u otro dispositivo de almacenamiento.
Entonces, para descifrar y leer esa unidad, habría
que insertar el HSM en el sistema, hacer que se leyera y verificara
esa clave digital y, a continuación, se podría
descifrar el dispositivo de almacenamiento.
En realidad, se trata de una forma muy común de cifrar discos duros antes
de que el módulo de plataforma de confianza se incluyera habitualmente como
parte de nuestros ordenadores modernos.