Eğitmen: Bu derste,
UEFI'nizin bir parçası olarak var olan Güvenilir Platform
Modülü veya TPM ve donanım güvenlik modülü veya
HSM hakkında konuşacağız.
Ama önce sizi RoT olarak bilinen
donanım Güven Kökü ile tanıştırmak istiyorum.
Artık bir donanım Güven Kökü, bir bilgi işlem
sisteminin tüm güvenli işlemlerinin bağlı olduğu temeldir.
Kriptografik işlevler için kullanılan anahtarları
içerir ve güvenli bir önyükleme işlemi sağlar.
Bu, doğası gereği güvenilirdir
ve bu nedenle tasarım gereği güvenli olmalıdır.
Artık bir Donanım Güven Kökü,
güvenilir yürütmeyi onaylayabilen ve önyükleme ayarlarını ve ölçümlerini
doğrulayabilen bir bilgisayar sistemine
gömülü bir kriptografik modüldür.
Bu karmaşık bir kavram gibi gelebilir ancak
Güven Kökü'nü her zaman kullanırsınız.
Aslında, bilgisayarınızın UEFI'sinin içindeki TPM
modülü bir donanım Güven Köküdür.
Esasen, sisteme ve işletim sistemi dosyalarına yönelik
önyükleme ölçümlerini taramak için bir Güven
Kökü kullanılacaktır.
Daha sonra Güven Kökü,
işlemciye Güven Kökü sertifikasını kullanarak
dijital olarak imzalanmış bir rapor gönderebilir ve
bu rapora güvenilebileceğini belirtir.
Esasen, bu donanım Güven Kökü dijital
bir sertifikadır, ancak sisteminizdeki
aygıt yazılımının bir parçası olarak çipinizin
içine gömülüdür.
Şu anda en yaygın kullanılan donanım Güven
Kökü, bilgisayarınızda bulunan Güvenilir
Platform Modülü veya TPM'dir.
TPM, dijital sertifikaların, anahtarların, parola karmalarının
ve diğer kullanıcı ve platform kimlik bilgilerinin donanım
tabanlı depolanması için bir spesifikasyondur.
Her TPM mikroişlemcisi, onay anahtarı veya EK
olarak adlandırılan benzersiz ve
değiştirilemez bir anahtarla sabit kodlanmıştır.
Sisteminiz bu TPM'yi ve anahtarını, Güvenilir Platform Modülü içinde
gerçekleştirilen çok sayıda farklı işlevi kullanarak sistem aygıt yazılımının,
önyükleme yükleyicisinin ve işletim sistemi çekirdeğinin
kurcalanmadığından veya değiştirilmediğinden
emin olmak için kullanacaktır.
İlk olarak, TPM güvenli bir giriş ve çıkış yöntemi sağlar.
İkinci olarak, içinde gerçek bir rastgele sayı üreteci
sağlayan bir kriptografik işlemci vardır.
TPM ayrıca bir RSA anahtar üreteci, bir SHA-1
karma üreteci ve hem şifreleme
hem de şifre çözme imza motoruna sahiptir.
Tüm bunlara ek olarak, TPM
ayrıca destek anahtarı olarak bilinen bir
dijital anahtar ve SRK olarak bilinen bir depolama
kök anahtarı içeren kalıcı bir belleğe sahiptir.
TPM aynı zamanda içinde bulunan çok yönlü bir belleğe
sahiptir ve bu bellek Platform Yapılandırma
Kayıtlarını ya da PCR'leri, Onay Kimlik Anahtarlarını
ya da AIK'leri ve depolama anahtarlarını içerir.
Şimdi bu küçük TPM çipi içinde
çok fazla işlevsellik var.
Muhtemelen merak ediyorsunuzdur, sınav için tüm
bu farklı şeyleri ezberlemek zorunda mıyım?
İyi haber şu ki, hayır, değilsiniz, ancak sizi
bu kavramla tanıştırmak istedim
çünkü BT ve siber güvenlik kariyerinizde
yükselmeye devam ederken bunu tekrar tekrar göreceksiniz.
Bunun yerine, sınav için Güvenilir
Platform Modülü ya da TPM'nin bir
donanım Güven Kökü olduğunu ve sisteminizin bir
parçası olduğunu hatırlamanızı
istiyorum.
Ve sisteminiz açılırken bunun güvenli
bir şekilde yapıldığından emin
olmanızı sağlayacak çünkü
bu TPM, UEFI'mizin değiştirilmediğini veya
kurcalanmadığını kanıtlıyor ve TPM ayrıca depolama
aygıtlarınız için şifreleme sağlamak için de kullanılabilir.
Evet, bu TPM'nin bir başka işlevidir, çünkü depolama
aygıtınızın içeriğini korumak için
bir sistemdeki tam disk şifreleme ile birlikte
gizli anahtar olarak kullanılabilir.
Örneğin, bir Windows sisteminde tam disk şifrelemeli
BitLocker kullanıyorsanız, depolama aygıtınızdaki
verilerin güvenli bir şekilde şifrelendiğinden emin olmak
için aslında TPM'nizin içindeki anahtarı
kullanır.
TPM, UEFI yapılandırma aracınızdan etkinleştirilebilir
veya devre dışı bırakılabilir ya da işletim sisteminiz
bunu destekliyorsa, işletim sistemindeki araçları kullanarak
yönetebilirsiniz.
Örneğin, Windows işletim sistemi
tpm'yi kullanarak TPM'yi yönetmenize
izin verir. msc konsol aracını kullanarak veya Windows
Server ortamını kullanıyorsanız Grup İlkesi Düzenleyicisi'ni
kullanarak değiştirebilirsiniz.
Şimdi sınav için TPM'yi nasıl
değiştireceğinizi veya yapılandıracağınızı bilmenize gerek yok,
ancak gerçek dünyada bir teknisyen olarak Güvenilir
Platform Modülü ile çalışmanız istenebilir.
Eğer öyleyse, microsoft'taki en son belgelere
her zaman bakabilirsiniz. com adresinden TPM'nin nasıl
değiştirileceğini ve yapılandırılacağını öğrenebilirsiniz.
İncelememiz gereken bir başka
donanım Güven Kökü
biçimi de donanım güvenlik modülü ya da HSM olarak bilinir.
Artık bir donanım güvenlik modülü, kriptografik anahtarların
üretilmesi ve depolanması için kullanılan, kurcalanmaya
ve içeriden gelebilecek tehditlere karşı depolama tabanlı çözümlere
göre daha az hassas olan bir cihazdır.
Artık sistemlerimizi şifreleme geçişi
kullanarak korumak için donanım güvenlik modülleri kullanılmaktadır,
çünkü bunlar geleneksel bir şifre
veya gizli anahtar kullanmaktan çok daha güvenlidir.
Bunun yerine, bir donanım güvenlik modülü, bir
şifreleme cihazıyla kullanılabilecek güvenilir ve
korumalı bir dijital anahtar içerir.
Donanım güvenlik modülleri
oluşturmanın birçok farklı yolu vardır
ve bunlar farklı form faktörlerinde de üretilmektedir.
Örneğin, burada ekranda nCipher
donanım güvenlik modülünü görebilirsiniz ve
burada üç farklı modeli vardır.
Bir tanesi sisteminizin içine yerleştirilebilen
dahili bir kart, bir tanesi rafa monte
bir sistem ve bir diğeri de daha çok nesnelerin interneti
türünde bir çözüm.
Bu tür sistemlerin gerçek avantajı otomatik
olmalarıdır ve bu da anahtarların
insan müdahalesi ile tehlikeye atılamayacağı
anlamına gelir.
Kişiyi denklemden çıkararak sistemlerimiz
için daha iyi güvenlik sağlayabilir ve daha güvenli
olmalarını sağlayabiliriz.
Donanım güvenlik modülünün bir başka biçimi de, bir
sabit sürücüyü veya başka bir depolama aygıtını şifrelemek için kullanılan
dijital bir anahtar içerebilen
USB başparmak sürücüsüne veya flash sürücüye benzeyen bir aygıttır.
Ardından, bu sürücünün şifresini çözmek ve
okumak için HSM'yi sisteme takmanız, dijital anahtarı
okutmanız ve doğrulamanız gerekir ve ardından
depolama aygıtının şifresi çözülebilir.
Bu aslında Güvenilir Platform Modülü modern bilgisayarlarımızın
bir parçası olarak yaygın bir şekilde dahil edilmeden önce sabit diskleri
şifrelemenin çok yaygın bir yoludur.