Die kosteneffiziente Architektur von TPM

Ein Trusted Platform Module (TPM) ist ein dedizierter Sicherheitsmikrocontroller, der von der Trusted Computing Group (TCG) gemäß ISO/IEC 11889 spezifiziert wurde. Er bietet hardwarebasierte Schlüsselspeicherung, Integritätsmessung der Plattform über Platform Configuration Registers (PCRs), Remote-Attestierung und versiegelten Speicher zu einem Preis, der die Integration in nahezu jedes moderne Computergerät ermöglicht. TPM 2.0 ist der aktuelle Standard und unterstützt SHA-256, ECC P-256, AES-256 und RSA-2048. Damit wird die SHA-1-Abhängigkeit des früheren TPM 1.2-Designs ersetzt. Empfohlene Vorgehensweise: Aktivieren Sie TPM 2.0 auf allen Unternehmensgeräten, konfigurieren Sie BitLocker oder eine gleichwertige Festplattenverschlüsselung mit TPM-Versiegelung, automatisieren Sie die PCR-Richtlinienverwaltung und planen Sie die Integration von Post-Quantum-Algorithmen im Zuge der Weiterentwicklung der TCG-Standards.

Kurzantwort: Was ist ein TPM und warum ist seine Architektur wichtig?

Ein TPM (Trusted Property Manager) ist ein Hardware-Sicherheitschip, der vier Funktionen bietet, die keine Software bieten kann: manipulationssichere Schlüsselspeicherung, Plattform-Boot-Messung mittels PCRs (Pattern-Records), versiegelter Speicher (Datenzugriff nur in einem bestimmten, gemessenen Plattformzustand) und Remote-Attestierung (Nachweis gegenüber Dritten, dass auf einem Gerät zugelassene Software ausgeführt wird). Dies wird zu einem so niedrigen Preis erreicht, dass der Einsatz in Endkundengeräten möglich ist. Die Architektur ist kosteneffizient, da sie asymmetrische Kryptografie (RSA oder ECC) zum Schutz symmetrischer Schlüssel (AES) verwendet, anstatt eine vollständige symmetrische Verschlüsselung in Hardware zu implementieren. Dadurch wird die Komplexität des Chips reduziert. PCR-Erweiterung und der TPM-Proof-Mechanismus schließen die Sicherheitslücke durch Schlüsseleinschleusung, die dieser Ansatz andernfalls schaffen würde.

Was ist ein Trusted Platform Module (TPM)?

Ein Trusted Platform Module (TPM) ist ein sicherer Mikrocontroller, der in eine Computerplattform integriert oder an diese angeschlossen ist. Er ist von der Trusted Computing Group (TCG) gemäß ISO/IEC 11889 standardisiert. Moderne TPMs entsprechen der Version 2.0. Das TPM überwacht die Plattform vom Einschalten bis zur Anwendungsausführung, meldet seine Messwerte und verwaltet kryptografische Daten. Wichtige Komponenten:

Komponente	Funktion	TPM 2.0-Besonderheiten
TPM-Chip	Dedizierter Sicherheitsmikrocontroller; führt alle kryptografischen Operationen in Hardwareisolation durch.	Typischerweise in die CPU integriert (Firmware-TPM/fTPM) oder als separater Chip; Windows 11 benötigt TPM 2.0
Plattformkonfigurationsregister (PCRs)	Register fester Größe zur Aufzeichnung von Messungen der Bootsequenz; Werte werden in jeder Phase erweitert (nicht geschrieben).	TPM 2.0 definiert PCR-Bänke pro Algorithmus; SHA-256 ist der aktuelle Mess-Hash.
Bestätigungsschlüssel (EK)	Vom Hersteller installiertes permanentes Schlüsselpaar; beweist die TPM-Authentizität gegenüber externen Prüfern.	RSA-2048 oder ECC P-256; der private Schlüssel verlässt das TPM niemals.
Storage Root Key (SRK)	Der oberste Schlüssel in der TPM-Schlüsselhierarchie; umfasst alle vom Benutzer erstellten Schlüssel.	Erstellung durch den Eigentümer bei Erstverwendung; RSA-2048 oder ECC P-256
NVRAM	Nichtflüchtiger Speicher für Richtliniendaten, Autorisierungswerte und Zählerwerte	Wird zur Speicherung von PCR-Richtlinien, Gerätezertifikaten und Anti-Rollback-Zählern verwendet.

Die kosteneffektive Architektur

Die Kosteneffizienz der TPM-Architektur beruht auf einer bewussten Designentscheidung: Anstatt eine vollständige symmetrische Verschlüsselung in Hardware zu implementieren (was einen AES-Beschleuniger und eine erhebliche Chipfläche erfordern würde), nutzt das TPM asymmetrische Kryptografie zum Schutz symmetrischer Schlüssel. Der Chip enthält einen RSA-Modular-Exponentiationsbeschleuniger (bzw. eine ECC-Skalarmultiplikation in TPM 2.0) anstelle einer dedizierten Blockchiffre-Implementierung. Symmetrische Schlüssel (AES-256) werden im TPM-Zustand verschlüsselt und nur vom TPM unter autorisierten Bedingungen freigegeben. Die Verschlüsselungsoperation wird dabei durch die asymmetrische Engine geschützt.

Dies birgt ein potenzielles Sicherheitsrisiko: Gelingt es einem Angreifer, einen falschen, als nicht migrierbar gekennzeichneten Schlüssel mit einem ihm bekannten Wert einzuschleusen, könnte er einen Inhaltsanbieter dazu veranlassen, Daten mit diesem kompromittierten Schlüssel zu schützen. Der TPM-Proof-Mechanismus verhindert dies. Jede im TPM erstellte Datenstruktur wird mit einem geheimen Wert, dem sogenannten TPM-Proof, signiert, der mit einem in einem speziellen Register gespeicherten Root-RSA- oder ECC-Schlüssel abgeglichen wird. Selbst wenn ein Angreifer Zugriff auf den öffentlichen Schlüssel erlangt, kann er den TPM-Proof nicht ermitteln, der für jede geschützte Operation erforderlich ist. Das asymmetrische Kryptosystem wird für interne Operationen effektiv in ein symmetrisches umgewandelt, wobei der zusammengesetzte Schlüssel aus der privaten Hälfte des Root-Speicherschlüssels und dem TPM-Proof besteht.

PCR-Messung und der SHA-Übergang

TPM 1.2 verwendete SHA-1 für alle PCR-Messungen und erzeugte dadurch eine 160-Bit-Zeichenkette. SHA-1 ist für Signaturanwendungen gemäß NIST (SP 800-131A Rev. 2, 2019) offiziell veraltet, und Kollisionsangriffe wurden öffentlich demonstriert. TPM 2.0 führte algorithmische Flexibilität ein: PCR-Bänke können SHA-256 oder SHA-384 verwenden und so stärkere 256-Bit- bzw. 384-Bit-Messwerte erzeugen. Organisationen, die mit TPM-1.2-Hardware arbeiten, sollten SHA-1-PCR-Messungen als bekannte Einschränkung betrachten und eine Hardware-Migration auf TPM-2.0-Systeme planen, insbesondere für Workloads, die hohe Integritätsgarantien erfordern.

PCR-Werte werden erweitert, nicht geschrieben. Bei jeder neuen Messung wird der neue PCR-Wert wie folgt berechnet: PCR_neu = Hash(PCR_alt || neue_Messung). Das bedeutet, dass PCR-Werte nicht willkürlich auf einen gewünschten Zustand gesetzt werden können; sie müssen die exakte Abfolge der Softwaremessungen seit dem Einschalten widerspiegeln. Diese Eigenschaft ist die Grundlage für die sinnvolle Funktion von versiegelter Speicherung und Remote-Attestierung.

Algorithmenauswahl für TPM-Implementierungen

Anwendungsfall	Empfohlener Algorithmus	Notizen	Vermeiden
PCR-Messungs-Hashing (TPM 2.0)	SHA-256	Aktuell vom NIST empfohlener Hashwert für Messungen; wird in allen TPM 2.0-Implementierungen unterstützt.	SHA-1 (veraltet, Kollisionen nachgewiesen)
Asymmetrische Schlüsselspeicherung und -attestierung	RSA-2048 oder ECC P-256	ECC P-256 bietet gleichwertige 128-Bit-Sicherheit mit kleinerer Schlüssellänge; bevorzugt für neue Implementierungen.	RSA-1024 (unsicher)
Symmetrischer Verschluss mit versiegelten Schlüsseln	AES-256	Die für die versiegelte Speicherung verwendeten symmetrischen Schlüssel sind AES-256; sie werden innerhalb des TPM generiert und verschlüsselt.	DES, 3DES (veraltet)
Fernbeglaubigungssignatur	ECDSA P-256 oder RSA-2048	AIK (Atestation Identity Key) signiert PCR-Angebote; ECC wird für Neuinstallationen bevorzugt.	DSA (in FIPS 186-5 als veraltet markiert)

TPM-Bedrohungsmodell

Bedrohung	TPM-Schutz	Einschränkung
Festplattenausbau und Datenzugriff auf einem anderen System	BitLocker/versiegelter Speicher: VMK wird nur vom ursprünglichen TPM mit übereinstimmenden PCR-Werten freigegeben; das Laufwerk ist andernorts unbrauchbar.	TPM muss funktionieren; die PCR-Richtlinie muss korrekt konfiguriert sein.
Rootkit- oder Bootloader-Modifikation	Die PCR-Messung erkennt die veränderte Bootkomponente; das TPM hält den versiegelten Schlüssel zurück.	Wirksam nur, wenn die modifizierte Komponente vor der PCR-Messphase ausgeführt wird; Angriffe vor dem Systemstart, die auf Messagenten abzielen, können umgangen werden.
Falsche Schlüsseleinschleusung	TPM Proof signiert alle internen Strukturen; ein Angreifer kann ohne Kenntnis des TPM Proofs keinen gültigen, nicht migrierbaren Schlüssel erstellen.	TPM Proof ist ein internes Geheimnis von TPM; der Schutz ist nur so stark wie die physische und Firmware-Sicherheit des TPM.
Busschnüffeln (körperlicher Angriff)	In neueren Designs werden diskrete TPMs teilweise durch Verschlüsselung auf dem LPC/SPI-Bus adressiert; in die CPU integrierte Firmware-TPMs eliminieren die externe Busanbindung.	Raffinierte Angreifer mit physischem Zugang und spezialisierter Ausrüstung können weiterhin physische Angriffe auf einzelne TPMs versuchen.
Identitätsdiebstahl oder Betrug aus der Ferne	Die Fernattestierung mit AIK-signierten PCR-Zitaten ermöglicht es Prüfern, die Geräteidentität und den Softwarestatus zu bestätigen.	Die Zertifizierung belegt lediglich den aktuellen PCR-Status; sie garantiert nicht die Abwesenheit aller Schwachstellen in der gemessenen Software.

Bereitstellungsbeispiel: BitLocker mit TPM 2.0-Attestierung

1. TPM 2.0-Aktivierung: Die Unternehmens-IT aktiviert TPM 2.0 in der UEFI-Firmware auf allen verwalteten Laptops und Desktop-PCs per Gruppenrichtlinie. Die TPM-2.0-Anforderung von Windows 11 stellt sicher, dass alle unterstützten Hardwarekomponenten diese Funktion unterstützen.
2. BitLocker-Bereitstellung: BitLocker ist auf dem Systemlaufwerk aktiviert. Es generiert den Volume Master Key (VMK) und weist das TPM an, den VMK mit den aktuellen PCR-Werten 0, 2, 4 und 11 zu versiegeln, die jeweils Firmware, Option-ROMs, Bootmanager und Windows-Startkonfiguration repräsentieren.
3. Durchsetzung der Boot-Integrität: Bei jedem Systemstart aktualisieren die UEFI-Firmware und der Windows-Bootloader die PCRs 0–11. Stimmen die PCR-Werte mit der Richtlinie überein (unveränderte Bootreihenfolge), gibt das TPM den VMK frei und das Laufwerk wird transparent entschlüsselt. Wird der Bootloader modifiziert, die Firmware ohne erneutes Versiegeln aktualisiert oder das Laufwerk in ein anderes System eingebaut, stimmen die PCR-Werte nicht mehr überein und BitLocker fordert den 48-stelligen Wiederherstellungsschlüssel an.
4. Remote-Attestierung für Zero-Trust-Zugriff: Wenn ein verwaltetes Gerät Zugriff auf eine sensible interne Anwendung anfordert, verlangt das Zugriffskontrollsystem eine TPM-Attestierungsanfrage. Das Geräte-TPM signiert seine aktuellen PCR-Werte mit seinem AIK. Das Zugriffskontrollsystem überprüft die AIK-Signatur anhand des bekannten EK-Zertifikats des Geräts und stellt sicher, dass die PCR-Werte einer genehmigten Boot-Konfiguration entsprechen. Geräten mit modifizierter Firmware oder nicht genehmigter Software wird der Zugriff unabhängig von gültigen Anmeldeinformationen verweigert.
5. CBOM-Inventar: die Organisation nutzt CBOM Secure Um eine Bestandsaufnahme der TPM-Versionen, unterstützten Algorithmen und aktuellen PCR-Richtlinienkonfigurationen auf allen verwalteten Geräten zu gewährleisten, werden TPM 1.2-Geräte identifiziert, die noch SHA-1-Messungen verwenden, und für eine Hardware-Aktualisierung priorisiert.

TPM-Anwendungsbereich

Die meisten modernen Laptops verfügen über ein integriertes TPM (Trusted Property Management). Der Chip ist standardmäßig inaktiv und muss im UEFI aktiviert werden, bevor er mit der Überwachung beginnt. Typische Unternehmensanwendungen des TPM sind:

• BitLocker und vollständige Festplattenverschlüsselung: Der häufigste Anwendungsfall für TPM: Das TPM versiegelt den Laufwerksverschlüsselungsschlüssel in der Bootkonfiguration, sodass das Laufwerk auf einem anderen Rechner nicht entschlüsselt werden kann.
• Remote-Attestierung für Zero-Trust: Die TPM-Attestierung weist gegenüber Zugangskontrollsystemen den Gerätezustand nach und ermöglicht so die Überprüfung des Gerätestatus, bevor der Zugriff auf sensible Ressourcen gewährt wird.
• Mobile und IoT-Sicherheit: TPMs oder TPM-äquivalente sichere Enklaven schützen mobile Plattformen und IoT-Geräte auch bei zunehmender Komplexität und bieten eine präzise Boot- und Schlüsselisolation.
• PKI-Integration: TPMs können RSA- und ECC-Privatschlüssel für Gerätezertifikate generieren und schützen in einem PKI Bei der Bereitstellung wird sichergestellt, dass die privaten Zertifikatsschlüssel des Geräts die Hardware niemals verlassen.
• SSH-Schlüsselschutz: TPM-gestützte SSH-Schlüssel schützen die privaten Authentifizierungsschlüssel des Servers innerhalb der TPM-Grenzen und verhindern so die Extraktion der Schlüssel, selbst wenn das Host-Betriebssystem kompromittiert ist.

Einschränkungen der TPM-basierten Sicherheit

• Physische Angriffsfläche: TPM-Sicherheit bietet keinen Schutz vor allen physischen Angriffen. Einzelne TPMs, die über LPC- oder SPI-Busse angebunden sind, sind anfällig für Bus-Sniffing; in den CPU-Die integrierte Firmware-TPMs eliminieren diesen Angriffsvektor, führen aber zu einer Firmware-Abhängigkeit. Organisationen müssen daher für Hochsicherheitsumgebungen physische Sicherheitsmaßnahmen (z. B. Schleusen, Smartcards, Manipulationssicherungen) implementieren.
• Firmware-Abhängigkeit: TPM-Messungen erfassen nur den Prozess vor dem Messzeitpunkt. Eine Schwachstelle in der UEFI-Firmware oder im Bootloader-Code kann die Vertrauenskette gefährden, bevor TPM-Messungen durchgeführt werden. Die Firmware aktuell zu halten und zu validieren ist daher genauso wichtig wie die Aktivierung des TPM.
• SHA-1 Legacy auf TPM 1.2: TPM 1.2-Geräte, die SHA-1 für PCR-Messungen verwenden, arbeiten mit einem veralteten Hash-Algorithmus. Die Kollisionsresistenz von SHA-1 wurde in Forschungsumgebungen nicht mehr gewährleistet. Organisationen, die TPM 1.2-Hardware einsetzen, sollten eine Migration auf TPM 2.0 planen.
• Keine Unterstützung für Post-Quanten-Kryptographie in den aktuellen Standards: TPM 2.0 unterstützt RSA und ECC, die beide auf einem kryptografisch relevanten Quantencomputer anfällig für Shors Algorithmus sind. TCG entwickelt Post-Quanten-TPM-Spezifikationen, aber die derzeit eingesetzte Hardware unterstützt weder ML-KEM noch ML-DSA. Langlebige Geräteidentitäten müssen möglicherweise migriert werden, sobald die PQC-Standards ausgereifter sind.

Wie Verschlüsselungsberatung helfen kann

• HSM als Dienstleistung: Für Workloads, die eine stärkere Isolation erfordern, als ein TPM bieten kann, insbesondere CA-Privatschlüssel und hochsichere Codesignatur, ist unser HSM als Service bietet eine nach FIPS 140-3 validierte Hardware-Sicherheitsmodulinfrastruktur mit stärkerer physischer und logischer Sicherheit als ein diskretes TPM.
• Verschlüsselungsberatungsdienste: UNSERE Verschlüsselungsberatung Beurteilung der TPM-Bereitstellungskonfigurationen, der Korrektheit der PCR-Richtlinien, des BitLocker-Schlüsselmanagements und der Übereinstimmung mit den NIST- und FIPS-Standards.
• CBOM Secure: CBOM Secure Es erfasst kryptografische Ressourcen auf allen Geräten und identifiziert TPM-Versionen, unterstützte Algorithmen und PCR-Richtlinienkonfigurationen. Dies hilft Unternehmen, TPM-1.2-Geräte mithilfe von SHA-1-Messungen zu identifizieren und die Hardware-Aktualisierung auf TPM 2.0 zu priorisieren.

Fazit

Die kosteneffiziente Architektur des TPM erreicht hardwarebasierte Sicherheit zu Standardkosten durch die Kombination von asymmetrischer Kryptografie zum Schutz von Schlüsseln mit dem TPM-Proof-Mechanismus zur Verhinderung von Schlüsselinjektion, PCR-Erweiterung für manipulationssichere Boot-Messungen und versiegeltem Speicher zur Verknüpfung von Daten mit spezifischen Plattformkonfigurationen. TPM 2.0 behebt die SHA-1-Beschränkungen von TPM 1.2 durch algorithmische Flexibilität und unterstützt SHA-256, ECC P-256 und AES-256. Die Hauptbeschränkungen sind die Anfälligkeit diskreter Chips für physische Angriffe, die Firmware-Abhängigkeit und die fehlende Unterstützung von Post-Quanten-Algorithmen in aktuellen Standards. Für die meisten Unternehmensumgebungen bietet die Aktivierung von TPM 2.0 mit BitLocker und Remote-Attestierung eine sinnvolle Sicherheitsgrundlage zu minimalen Zusatzkosten. Weiterführende Informationen finden Sie in unseren Beiträgen zu HSM as a Service und zur Entwicklung einer Unternehmensverschlüsselungsrichtlinie.

Häufig gestellte Fragen

Was ist ein TPM (Trusted Platform Module)?

Ein dedizierter Sicherheitsmikrocontroller gemäß TCG und ISO/IEC 11889. Er bietet hardwareseitig verankerte Schlüsselspeicherung, Integritätsmessung der Plattform mittels PCRs, Remote-Attestierung und versiegelte Speicherung. TPM 2.0 ist der aktuelle Standard und unterstützt SHA-256, ECC P-256, AES-256 und RSA-2048.

Was ist der Unterschied zwischen TPM 1.2 und TPM 2.0?

TPM 1.2 verwendete SHA-1 (mittlerweile vom NIST als veraltet eingestuft) und nur RSA. TPM 2.0 bietet mehr algorithmische Flexibilität: SHA-256/384, ECC P-256/P-384, AES-256 und HMAC. TPM 2.0 verfügt außerdem über ein erweitertes Autorisierungsmodell. Windows 11 erfordert TPM 2.0.

Was sind Plattformkonfigurationsregister (PCRs)?

Im TPM befinden sich Register fester Größe, die die Bootsequenz der Plattform mittels einer kryptografischen Erweiterungsoperation aufzeichnen: PCR_new = Hash(PCR_old || new_measurement). Die PCR-Werte dürfen nicht beliebig festgelegt werden; sie müssen die exakte Messsequenz seit dem Einschalten widerspiegeln. Sie werden für die versiegelte Speicherung und die Remote-Attestierung verwendet.

Wie nutzt BitLocker ein TPM?

BitLocker verschlüsselt den Volume Master Key (VMK) mit spezifischen PCR-Werten, die die vertrauenswürdige Startkonfiguration repräsentieren. Stimmen die PCR-Werte bei jedem Start überein, gibt das TPM den VMK frei und das Laufwerk wird transparent entschlüsselt. Weichen die PCR-Werte ab (z. B. durch geänderte Firmware, geänderte Startreihenfolge oder anderes Gerät), hält das TPM den VMK zurück und BitLocker wechselt in den Wiederherstellungsmodus.

Was sind die Hauptbeschränkungen der TPM-basierten Sicherheit?

Physische Angriffsfläche (Bus-Sniffing auf diskreten TPMs); Firmware-Abhängigkeit (Angriffe vor der Messung umgehen die PCR-Aufzeichnung); SHA-1 Legacy auf TPM 1.2 (veralteter Algorithmus); keine Post-Quanten-Unterstützung in den aktuellen TPM-Standards (RSA und ECC sind anfällig für Shors Algorithmus).

Was ist TPM-Remote-Attestierung?

Der Mechanismus, mit dem ein mit einem TPM ausgestattetes Gerät seinen Softwarestatus gegenüber einem externen Prüfer nachweist. Das TPM signiert seine aktuellen PCR-Werte mit seinem Attestierungsidentitätsschlüssel (AIK). Der Prüfer überprüft die AIK-Signatur anhand des Bestätigungsschlüssels des Geräts und bewertet, ob die PCR-Werte einer genehmigten Boot-Konfiguration entsprechen. Dies ermöglicht die Überprüfung des Gerätezustands gemäß Zero-Trust.