Философы прошлого любили рассуждать о свободе. «Те, кто готов отдать свою свободу, чтобы приобрести недолговечную защиту от опасности, не заслуживают ни свободы, ни безопасности», - утверждал Бенджамин Франклин. «Человек не может быть то рабом, то свободным. Он или свободен - или его нет вообще», - категорично заявлял Жан-Поль Сартр. «Свобода есть осознанная необходимость», - приводили цитату Бенедикта Спинозы марксисты.
Что такое свобода? Важно ли человеку быть свободным, и готов ли он обменять свободу на безопасность? К размышлению на эту тему подтолкнул не замеченный широкой общественностью повод. Летом нынешнего года завершилось голосование Технического комитета JTC1 об утверждении, в предусмотренном процедурой PAS упрощенном порядке, новой версии стандарта ISO/IEC 11889:2015, которую представил консорциум Trusted Computing Group (TCG), основанный американскими компаниями AMD, Cisco, HP, IBM, Intel, Microsoft и Wave Systems. И 29 июня в Портленде (шт. Орегона) TCG объявил, что его стандарт Trusted Platform Module (TPM) 2.0 окончательно утвержден в качестве международного.
Преимущества TPM
TPM - это название спецификации, описывающей криптомодуль, в котором хранятся криптографические ключи для защиты информации. Можно сказать и проще: это модуль информационной безопасности, который может быть установлен в серверы, персональные компьютеры, сетевые и мобильные устройства. Он поддерживает удаленную аттестацию, обеспечивающую связь аппаратных и программных средств компьютера.
Модуль удобен для правообладателей, так как позволяет проверять лицензионность программных средств, контролировать незаконное копирование музыки, фильмов или компьютерных игр. Он однозначно определяет компьютер и позволяет аутентифицировать пользователя. При этом TPM дает возможность генерировать ключи, имеет функции хеширования, генерации случайных чисел.
Аппаратные возможности TPM весьма ограничены по мощности и не позволяют непосредственно шифровать большие объемы данных с высокой скоростью. Функцию массового шифрования файлов на дисках можно выполнять программой Windows Bitlocker. При этом используемые криптоключи сами шифруются с помощью TPM, что исключает вероятность их кражи.
Таким образом, TPM может в связке с Windows Bitlocker шифровать диск, защищать данные при потере или краже компьютера, ПО от модификации и поражения вирусами, а также банковские и почтовые программы.
Модуль способен подтвердить подлинность компьютера и даже его работоспособность ещё до получения доступа в сеть. В целом он существенно повышает безопасность пользователей, особенно тех, кто мало разбирается в вопросах ИБ и не может решить их самостоятельно.
Действительно, TPM вещь важная и полезная. Существенно повышающая безопасность пользователя. Но возникает вопрос цены безопасности. Если человек устанавливает веб-камеру у себя в доме, он повышает безопасность своего жилья. Он может все время удаленно контролировать квартиру и вызвать полицию в случае появления воров. Но если у него перехватят возможность управления веб-камерой, то из устройства обеспечения безопасности она может превратиться в устройство слежки. Собранная информация о человеке - соответственно в средство контроля и управления. А в камеру, правда, скорей в тюремную, превращается сама его квартира.
Позиция Германии
Результат голосования Технического комитета ISO/IEC JTC1 был предсказуемым. Против проголосовала только Германия. Россия воздержалась, впрочем, ее голос «против» все равно ничего бы уже не решил. Большинство поддержало позицию американцев. Не помогла и беспрецедентная акция - рассылка членам комитета закрытого письма от официальных представителей федерального министерства внутренних дел и федерального министерства экономики и энергетики ФРГ с просьбой «похоронить» проект. Информация об этом документе просочилась в немецкую печать и наделала много шума.
На государственном уровне наличие такого письма было опровергнуто немецкими властями, впрочем, чего еще в таком случае можно ожидать от официальной власти. В тексте немецкого письма, имеющегося в распоряжении редакции и в подлинности которого у нас нет оснований сомневаться, написано, что «...представленные в проекте стандарта спецификации недостаточно проработаны для принятия решения; в частности, в результате тщательного рассмотрения вопроса у нас есть основания полагать, что их реализация может значительно ухудшить возможность управления защищаемой ИКТ-системой, а также потенциально приводить к ситуациям полного блокирования работы системы, осуществляемого в интересах некоторых производителей средств вычислительной техники. Помимо этого мы считаем, что потенциальное влияние предложенных спецификаций на уровень обеспечения конфиденциальности персональных данных и безопасности ИТ может оказаться весьма проблематичным, и опасаемся того, что это войдёт в противоречие с соответствующими нормами законодательства Германии».
При этом немецкие ИБ-специалисты не выступали против TPM в принципе. Их устраивал предыдущий стандарт TPM 1.2, при котором пользователь оставлял за собой полный контроль за своей платформой. Модуль TPM можно было просто отключить. В стандарте TPM 2.0 это уже не получится.
Кроме того, у них вызывал опасение сам подход к разработке стандарта, в котором участвовали только американские компании. Журналисты Zeit сообщили, что немецкое правительство пыталось принять участие в разработке TPM 2.0, однако получило отказ. Они же указали на активное сотрудничество разработчиков стандарта с АНБ США и привели оценки безопасности TPM 2.0 со стороны независимых экспертов. Издание предупредило, что TPM можно рассматривать как бэкдор и есть большая вероятность, что доступ к криптографическим ключам имеет АНБ.
Форточки и окна
Экспертов немецкого федерального ведомства по безопасности в информационных технологиях (BSI) настораживало, что с переходом на спецификацию TPM 2.0 этот стандарт становится обязательным для всех устройств под Windows 8.1 и выше, причем данная функция не подлежит дезактивации.
Фактически компьютер с TPM 2.0 нельзя рассматривать как устройство, находящееся под полным контролем пользователя. Были высказаны опасения, что Windows 8 с TPM 2.0 может позволять Microsoft управлять компьютером удаленно через встроенный черный ход.
Китайские эксперты также читали о немецком предупреждении. Они исследовали проблему, разобрались в деталях и приняли решение. В мае 2014 г. китайское правительственное агентство Синьхуа сообщило о запрете установки Windows 8 на правительственные компьютеры. А это скорее всего компьютеры, принадлежащие не только государству, но и тем структурам, которые государством контролируются, - крупнейшим банкам, предприятиям сферы ИБ, телекома, а также и другим компаниям, желающим следовать рекомендациям своего правительства.
В другом внутреннем документе BSI, полученном немецким изданием, говорится: «Windows 7 может управляться безопасно до 2020 г. После этого для администрирования ИТ-систем должны быть найдены другие решения». А на сайте BSI прямо написано, что механизм работы Windows 8 с TPM 2.0 «может быть использован для диверсий со стороны третьих лиц» и что специалисты считают недопустимым применение новой версии TPM правительственными организациями и объектами критически важной инфраструктуры. Так что, похоже, немцы и китайцы не будут спешить обновлять Windows 7 в госсекторе даже до Windows 8.
Позиция России
Чтобы узнать позицию России, мы обратились к экспертам - членам Технического комитета ISO/IEC JTC1, российским компаниям «Аквариус» и «Крафтвэй» и к компании Microsoft с просьбой прокомментировать серьезность опасений Германии и Китая относительно нового стандарта.
К сожалению, эксперты или проигнорировали наши вопросы, или заявили, что отказываются на них отвечать. Единственный специалист, согласившийся на интервью, - независимый эксперт по кибербезопасности в автоматизированных системах управления Вадим Подольный .
Чем хорош и чем опасен TPM?
TPM, будь то наиболее распространенный сейчас TPM 1.2 или внедряемый TPM 2.0, это технологический стандарт, продвигаемый крупными американскими компаниями. По сути TPM - это отдельный модуль, который интегрируется в компьютеры.
Сейчас у нас кроме ПК, серверов, терминалов, сетевых маршрутизаторов появилось еще много новых компонентов, подключенных к сети. Это контроллеры для промышленной автоматизации, устройства Интернета вещей, устройства, которые отвечают за здоровье человека, - кардиостимуляторы, глюкометры, встроенные в часах... Вследствие вмешательства хакера они могут ложно сработать или, наоборот, ложно не сработать. Модули доверия TPM решают важную задачу - доверия к данным, доверия к системе, подтверждая, что она сработает корректно.
Идея TPM правильная. Должны быть стандартные модули, которые обеспечивают юридическую значимость информации. Сама концепция такова: сделать модуль, который сложно сделать хакерам и сделать который может только крупное государство. Это как купюра, как метод защиты денег. В этом нет ничего плохого.
Вопрос в другом. В Windows 7 была иконка «Мой компьютер». В Windows 10 она называется «Этот компьютер». Это уже не ваш компьютер. Нам навязывают технологии, которые будут обеспечивать нашу безопасность вне зависимости от того, хотим мы этого или нет. Вроде как государство вводит сухой закон и говорит, что теперь вы не будете пьянствовать, так как обществу нужны здоровые солдаты. Так и тут.
Если ваш компьютер захватывают, значит, он кому-то для чего-то нужен. Возможно, чтобы за вами следить. Если вы не можете отключить этот функционал, то это не средство защиты. Это пассивное средство нападения. Сбор информации - это поиск точки для нападения. Microsoft отбирает у вас компьютер за ваши же деньги. Она продает вам свою операционную систему и забирает у вас контроль.
Можно ли проверить, есть в TPM-модуле бэкдор или нет?
Можно проанализировать стандарт. Но когда к вам приходит компьютер, в чью материнскую плату впаян модуль TPM, произведенный не на предприятии, которое вы контролируете, - вы не знаете, что там внутри. Туда могут добавить что угодно.
Но добавить закладку можно и в любой процессор или контроллер?
Да, конечно. И подход должен быть таким же. В военных системах регуляторы никогда не разрешат применять чип, сделанный неизвестно кем, пусть даже по открытому стандарту. Поэтому у нас появляются процессоры «Байкал» и «Эльбрус». Инженерных сил России достаточно, чтобы спроектировать свой TPM. Пока мы не можем сделать его на наших заводах. Как и процессор. Но мы можем спроектировать, а потом проверить - сделали ли нам так, как нам было нужно, или туда что-то добавили. Такой механизм уже позволит использовать TPM.
А что нам делать сейчас, когда своего TPM у нас нет?
Используемые повсеместно аналоги TPM, во многом выполняющие его роль, - это аппаратные модули доверенной загрузки. Они используются даже сейчас, когда на материнских платах появились TPM.
Появилась также и возможность модифицирования BIOS, появилась технология UEFI, стандарт, который позволяет создавать модули доверенной загрузки программно. Фактически в них можно разместить программы, эмулирующие работу TPM, что и делается во многих разработках. Например, в операционной системе seOS, сертифицированной ФСБ.
А что насчет российского модуля TPM?
У нас и сейчас в России есть компании, которые для своих проектов заказывают материнские платы. Например, «Аквариус», «Крафтвэй», «Т-Платформы», МЦСТ и другие. Каждая из них вполне в состоянии спроектировать свой модуль TPM. И он наверняка будет создан в ближайшее время, с поддержкой отечественных ГОСТированных криптографических алгоритмов. А это важно не только для оборонных предприятий, но и для широкого круга потребителей, обязанных выполнять положения закона 152-ФЗ «О персональных данных».
А почему против стандарта TPM 2.0 так резко выступили немцы?
Очень просто. Они хотят защищать свои данные и технологии от США. Помните, как появился SUSE Linux? Это произошло после того, как выяснилось, что при передаче документов из одного департамента Бундесвера в другой информация сначала оказывалась в АНБ. Тогда в Германии была создана SUSE Linux и ведомство было переведено на работу с этой ОС.
В Linux начиная с ядра 3.2 тоже анонсирована поддержка TPM 2.0. Но ее можно отключить. А в ОС Windows выше восьмёрки нельзя. Windows очень удобная операционная система для пользователя. Она замечательно продумана. Десятки тысяч программистов работают над тем, чтобы пользователям было удобно и комфортно. Но любое изменение, которое принудительно навязывают, говоря, что это для вашей безопасности, напрягает. И специалистов, и должностных лиц, и правительства.
Чтобы не бояться TPM, нужно заняться специальными исследованиями, провести проверку и выяснить, есть там что-нибудь опасное или нет. Это вполне стандартная процедура. Иногда она исполняется с выездом на производство. Это нормальная практика, когда представители страны приезжают в страну производителя и какое-то время сидят на производстве, разбираются в процессах.
А кто этим будет заниматься?
Это может быть интересно крупным коммерческим компаниям. Я думаю, какие-то исследовательские работы в таком формате уже идут. А государству это сразу не интересно, так как там нет нашей криптографии, поэтому для оборонных отраслей существующие модули не годятся.
А можно ли использовать компьютеры с TPM в госорганах?
Вопрос использования TPM в госорганах довольно сложен. Думаю, что в следующих редакциях TPM уже появится возможность подмены криптоалгоритмов. Можно уже сейчас заново прошить BIOS и добавить свои компоненты. Так будет и в TPM. Что касается текущего использования в госсекторе - об этом говорить рано. Но заниматься исследованием возможности собственной реализации стандарта нужно. А также необходимо участвовать в разработке следующей его версии. Чтобы иметь возможность зашивать нашу криптографию в чужой TPM.
... В целом позиция понятная. TPM - новый уровень в обеспечении безопасности. Государство как-нибудь решит вопрос в оборонке, а остальные будут пользоваться тем, что есть. В большинстве случаев от диких хакеров TPM защитит (в тех вопросах защиты, которые обеспечивает TPM), а от внимания Большого брата все равно никуда не денешься.
Сам консорциум, который стартовал как чисто американский проект, расширяется. В настоящий момент в составе TCG числятся 11 членов в статусе Promoter (AMD, Cisco, Fujitsu, HP, IBM, Infenion, Intel, Juniper, Lenovo, Microsoft и Wave Systems) и 74 члена в статусе Contributor. В этих списках появились японские и китайские компании. Но российских представителей там по-прежнему нет.
Свобода или безопасность? Времена экзистенциалистов Сартра и Камю, которые выбирали «дороги свободы» и изучали свободного человека, стоящего на грани «ничто», ушли в прошлое вместе с прошедшим веком. Большинство людей выбрало безопасность. И сейчас спорит лишь о длине поводка. Так что для массового пользователя проблемы TPM не существует. Но вот государству должен быть не безразличен вопрос, на чьем поводке находятся его госструктуры. Да и его граждане тоже.
Trusted Platform Modules (доверяемые платформенные модули) представляют собой небольшие чипы, служащие для защиты данных и уже несколько лет используемые в компьютерах, консолях, смартфонах, планшетах и ресиверах. В настоящее время чипами TPM оснащен приблизительно миллиард устройств, причем 600 миллионов из них - это офисные ПК.
С 2001 года сторонники «теории заговора» стали рассматривать чипы в качестве инструмента контроля, позволяющего якобы ограничивать права пользователя: теоретически TPM-чипы можно применять, например, чтобы ограничить нелегальное копирование фильмов и музыки.Однако за последние 12 лет не было ни одного подобного случая. Более того, Windows использует подобный модуль для безопасной загрузки и шифрования данных жесткого диска посредством BitLocker. Таким образом, TPM обеспечивает преимущество в борьбе с вредоносным ПО и хищением данных.
Несмотря на все это, спецификация версии 2.0 привлекла к себе немало внимания, ведь теперь TPM-чипы запущены «по умолчанию» (раньше пользователю нужно было активировать их самостоятельно). По всей видимости, в скором времени будет сложно найти в продаже устройства без TPM 2.0, так как компания Microsoft соответствующим образом изменила критерии сертификации для Windows. Начиная с 2015 года стандарт TPM 2.0 является обязательным для всех, в противном случае производитель аппаратного обеспечения не получит подтверждение о пройденной сертификации.
TPM-менеджер в окне Панели управления Windows отображает статус и версию чипа TPM
TPM-чип гарантирует безопасность ОС
Самым эффективным способом защиты системы, исключающим возможность проникновения хакеров, является использование аппаратного чипа TPM. Он представляет собой небольшой «компьютер в компьютере»: доверяемый модуль с собственным процессором, оперативной памятью, накопителем и интерфейсом ввода/вывода.
Главной задачей TPM является предоставление в распоряжение операционной системы гарантированно безопасных служб. Например, чипы TPM хранят криптоключи, использующиеся для шифрования данных на жестком диске. Кроме того, модуль подтверждает идентичность всей платформы и проверяет систему на возможные вмешательства хакеров в работу аппаратных средств. На практике TPM в тандеме с UEFI Secure Boot обеспечивает пользователю полностью защищенный и безопасный процесс запуска операционной системы.
Этап, на котором загружается ПО стороннего разработчика (антивирусный сканер), Microsoft обозначает как Measured Boot. Для драйвера ELAM (Early Launch Anti-Malware, ранний запуск антивредоносной программы) от разработчиков антивирусного ПО Microsoft предоставляет свою подпись. Если же она отсутствует, UEFI прерывает процесс загрузки. Ядро проверяет антивирусную защиту при запуске. Если ELAM-драйвер проходит проверку, ядро признает действительными и остальные драйверы. Это исключает возможность того, что руткиты окажут влияние на процесс загрузки Windows и «воспользуются ситуацией», когда антивирусный сканер еще не активен.
Предыдущая спецификация TPM 1.2 использовала устаревшую технологию с внедренными в аппаратной части алгоритмами шифрования RSA-2048 и SHA-1 (последний считается как раз небезопасным). Вместо использования строго определенных алгоритмов в чипах TPM в версии 2.0 можно предусмотреть симметричные и асимметричные методы шифрования. Например, в настоящий момент доступны SHA-2, HMAC, ECC и AES. К тому же в TPM 2.0 путем обновления можно добавить поддержку новых криптоалгоритмов.
TPM-чипы генерируют ключи для BitLocker - системы шифрования в Windows Подход к использованию ключей также изменился. Если раньше в качестве фундамента для всех предлагаемых служб задействовались два фиксированных криптографических ключа, то TPM 2.0 работает с очень большими случайными числами - так называемыми начальными. При этом нужные ключи генерируются посредством математических функций с использованием начальных чисел в качестве исходных данных. TPM 2.0 предоставляет также возможность генерации ключей только для однократного использования.
Мы слегка познакомились с модулем TPM, когда знакомились с . Сегодня немного расширим наши познания о ней и поговорим о том, как им можно управлять.
Управление модулем TPM
Управление модулем TPM с помощью операционной системы заканчивается на его первоначальной настройке. Все вычисления чип TPM производит у себя, вне доступа операционной системы, что позволяет ей не бояться уязвимостей операционной системы. Единственным инструментом для управления модулем TPM в клиентских операционных системах Windows является консоль Управление TPM . Данную консоль можно вызвать из (tpm.msc ), либо найти его по адресу Панель управления — Шифрование диска BitLocker — Администрирование доверенного платформенного модуля . Кстати, ответ на вопрос «есть ли у меня модуль TPM» можно получить и в данной консоли. Если модуля нет, то Вы увидите надпись «Не удается найти совместимый доверенный платформенный модул ь». Ну а если он у Вас есть, то Вы можете включить, выключить данный модуль; сохранить информацию для восстановления TPM; удалить TPM; восстановить модуль TPM после блокировки и так далее.
На этом возможности по управлению модулем TPM с помощью операционной системы почти что заканчиваются. Дополнительным плюсом может выступить только то, что на некоторых компьютерах данных модуль можно включать/выключать и в BIOS компьютера.
Если у вас есть ноутбук или ПК с поддержкой TPM, и вы получаете сообщение в Центре безопасности Windows Defender, в котором сообщается, что вам необходимо обновить свой процессор безопасности или прошивку TPM, вам следует обновить его по приоритету. В этом руководстве я расскажу, как можно очистить TPM и обновить прошивку безопасности TPM .
Что такое TPM в Windows 10?
Trusted Platform Module (TPM) - является специализированным чипом. TPM обычно устанавливается на системную плату компьютера и взаимодействует с остальными компонентами системы с помощью аппаратной шины. Он может хранить ключи шифрования RSA, специфичные для хост-системы и аппаратной аутентификации. Чип TPM также содержит "пару" ключей RSA, называемую ключом подтверждения . Пара поддерживается внутри чипа и не может быть доступна с помощью программного обеспечения. Короче говоря, он может хранить важные данные, включая отпечатки пальцев, данные о лицах и т. д.
Как проверить есть ли TPM на компьютере?
Нажмите сочетание кнопок Win + R и введите tpm.msc. Модуль TPM может находиться в одном из следующих состояний: Готов к использованию , Готов к использованию в режиме ограниченной функциональности и Не готов к использованию . Чтобы воспользоваться большинством функций TPM в Windows 10, модуль TPM должен быть Готов к использованию .
Важно: Если у вас будет модуль, то вы сможете обновить и очистить TPM именно в этих параметрах справа. По этому вы можете не прибегать ниже к пунктам. Но если что пойдет не так, ниже пункты именно для вас.
Примечание: При включении TPM могут быть проблемы с bitlocker, отключите bitlocker при включении модуля TPM.
Как обновить прошивку процессора безопасности TPM
Обновление для TPM обычно содержит исправление для уязвимости безопасности, которая может повлиять на безопасность операционной системы. В этом обновлении будет рассмотрена уязвимость, которую вам необходимо будет загрузить и установить. Также возможно, что обновления прошивки отправляются OEM-производителями, которые быстрее по сравнению с Windows Update.
Загрузка и установка обновлений для Windows
Это лучший способ обновить ваш TPM. Если у вас отключены автоматические обновления, то обновите windows до последней версии через центр обновления Windows или , через каталог micosoft.
Установка обновлений прошивки OEM-производителями
Многие OEM-производители, включая Microsoft, предлагают обновления встроенного ПО отдельно. Если обновление прошивки TPM не было включено в Центр обновления Windows, то вам придется вручную загрузить и применить его. Ниже приведен список OEM-производителей, с которых вы можете загрузить обновление.
- Microsoft Surface Devices
- Acer
- Fujitsu
- HP Customer Support
- HP Enterprise Support
- Lenovo
- Panasonic
- Toshiba
Как очистить TPM
После того как вы установили обновление прошивки либо через Центр обновления Windows, либо с веб-сайта OEM, вам также потребуется очистить TPM. Это важно для обеспечения безопасности данных. Очистка вашего TPM приведет к сбросу вашего процессора безопасности до его настроек по умолчанию.
- Откройте Защитник Windows 10, перейдите Безопасность устройств . Далее найдите Устранение неполадок процессора безопасности и нажмите Очистить TPM. Перед завершением процесса необходимо перезагрузить устройство.
Очистить TPM с помощью PowerShell
Есть команда, которая сбрасывает модуль Trusted Platform Module в состояние по умолчанию и удаляет значение авторизации владельца и все ключи, хранящиеся в модуле TPM. Эта команда использует значение авторизации владельца, хранящееся в реестре, вместо указания значения или использования значения в файле.
- Откройте PowerShell от имени администратора и введите Clear-Tpm.
Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.
Что такое TPM
TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.
Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.
Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.
В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup . Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign . Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.
Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).
Задачи TPM
Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).
Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.
При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации.
Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.
«Железо» и математикаЛогично предположить, что сам чип TPM на материнской плате ничего не решает. Нужна поддержка со стороны остального «железа» и математики – программного обеспечения.
Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).
Рис. П37. Жесткий диск Seagate Momentus 5400 FDE.2
Что касается ОС, технология TPM поддерживается большинством современных операционных систем – Windows Vista, Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux (начиная с версии 9.2) и Enterprise Linux (начиная с версии 3 update 3).
Как работает TPM
Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).
В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.
Настройка TPM в Windows
В следующем руководстве описывается использование служб TPM в Windows Vista:
В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:
Рис. П38. Компоненты BitLocker
Рис. П39. Шифрование BitLocker выключено: модуль TPM не установлен или выключен (в BIOS)
Рис. П40. Схема взаимодействия Full Volume Encryption и TPM в Windows
Готовые системы с поддержкой TPM
Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).
Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).
Рис. П41. Материнская плата ASUS M2N32-SLI Premium (с поддержкой TPM)
Зачем нужна TPM
Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.
Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.
Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.
В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.
TPM не панацея
Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.
Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.
Примечания:
Прежде чем приступить к чтению этой книги, стоит поговорить о единицах измерения информации. Базовая единица измерения информации – это один бит. Бит может содержать одно из двух значений – или 0, или 1. Восемь битов формируют байт. Этого количества битов достаточно, чтобы с помощью ноликов и единичек закодировать 1 символ. То есть в одном байте помещается 1 символ информации – буква, цифра и т. д. 1024 байта – это один килобайт (Кб), а 1024 килобайта – это 1 мегабайт (Мб). 1024 мегабайта – это 1 гигабайт (Гб), а 1024 гигабайта – это 1 терабайт (Тб).
Обратите внимание: именно 1024, а не 1000. Почему было выбрано значение 1024? Потому что в компьютере используется двоичная система счисления (есть только 2 значения – 0 и 1), 2 в 10-й степени – это и есть 1024.
Не всегда, но часто большая буква «Б» при указании единицы измерения информации означает «байт», а маленькая – «бит». Например, 528 Мб – это 528 мегабит, если перевести эту величину в мегабайты (просто разделите на 8), то получится 66 мегабайтов (66 МБ).
2,5-дюймовый жесткий диск Momentus 5400 FDE.2 (full disk encryption) от Seagate поставляется в составе ноутбуков ASI C8015+ (стоимость ноутбука примерно 2100 долларов). Винчестер обладает встроенной системой динамического шифрования с аппаратным ускорением и поддержкой TPM. Кроме того, в состав ноутбука включена система считывания отпечатков пальцев, что делает его примерно на 20 % дороже обычного ноутбука с такой же конфигурацией. Размер жесткого диска Momentus может быть 80, 100, 120 и 160 Гб. Используется интерфейс SATA 3 Гбит/с.
Главная особенность Momentus FDE.2 заключается в шифровании/дешифровании записываемой и считываемой информации с помощью алгоритма AES со 128-битным ключом на уровне микропрограммного обеспечения (firmware) DriveTrust. Шифрование данных производится абсолютно прозрачно, то есть незаметно для пользователя. В открытом (незашифрованном) виде информация представляется только в приложениях. На жестком диске данные хранятся только в зашифрованном виде.
Обычно процесс программного шифрования существенно снижает производительность системы (кто работал с PGPDisk, тот понимает, о чем идет речь). Но поскольку в случае с Momentus FDE.2 шифрование осуществляется на аппаратном уровне, то это увеличивает загрузку центрального процессора всего на несколько процентов.
При загрузке TPM-системы пользователь должен ввести свой пароль. Пароль нужен не только для продолжения загрузки, но и для дешифрования данных. Раньше тоже можно было установить пароль в SETUP, без которого невозможна загрузка операционной системы. Но ведь можно было снять жесткий диск и подключить его к другому компьютеру. Если не применялись какие-либо криптографические средства, то считывание информации с жесткого диска не представляло проблем. В случае с TPM, даже если вы снимете HDD и подключите его к другому компьютеру, вы не сможете прочитать информацию, поскольку она зашифрована, а вы не знаете пароля для ее расшифровки.
А что делать, если пользователь забыл пароль? Тогда можно применить главный пароль. А если забыт главный пароль (или вы его попросту не знаете), тогда…
Кроме того, предусмотрена функция crypto-erase, которая предназначена для уничтожения всех данных с жесткого диска. Такая операция необходима при списании винчестера или при передаче его другому пользователю.
