La arquitectura rentable de TPM

Un Módulo de Plataforma Segura (TPM) es un microcontrolador de seguridad dedicado especificado por el Trusted Computing Group (TCG) bajo la norma ISO/IEC 11889. Proporciona almacenamiento de claves con raíz de hardware, medición de la integridad de la plataforma mediante Registros de Configuración de Plataforma (PCR), atestación remota y almacenamiento sellado a un costo lo suficientemente bajo como para integrarse en casi cualquier dispositivo informático moderno. TPM 2.0 es el estándar actual, compatible con SHA-256, ECC P-256, AES-256 y RSA-2048, reemplazando la dependencia de SHA-1 del diseño anterior de TPM 1.2. La acción recomendada es: habilitar TPM 2.0 en todos los dispositivos empresariales, configurar BitLocker o cifrado de disco equivalente con sellado TPM, automatizar la administración de políticas PCR y comenzar a planificar la integración de algoritmos post-cuánticos a medida que evolucionan los estándares TCG.

Respuesta rápida: ¿Qué es un TPM y por qué es importante su arquitectura?

Un TPM es un chip de seguridad de hardware que ofrece cuatro capacidades que ningún software puede igualar: almacenamiento de claves a prueba de manipulaciones, medición del arranque de la plataforma mediante PCR, almacenamiento sellado (los datos solo son accesibles en un estado específico de la plataforma) y certificación remota (que demuestra a un tercero que un dispositivo ejecuta software aprobado). Todo esto se logra a un costo lo suficientemente bajo como para integrarse en hardware de consumo. La arquitectura es rentable porque utiliza criptografía asimétrica (RSA o ECC) para proteger las claves simétricas (AES) en lugar de implementar cifrado simétrico completo en el hardware, lo que reduce la complejidad del chip. La extensión PCR y el mecanismo de prueba del TPM eliminan la vulnerabilidad de inyección de claves que este enfoque crearía de otro modo.

¿Qué es un Módulo de Plataforma Segura (TPM)?

Un Módulo de Plataforma Segura (TPM) es un microcontrolador seguro integrado o conectado a una plataforma informática. Está estandarizado por el Trusted Computing Group (TCG) bajo la norma ISO/IEC 11889. Los TPM modernos son de la versión 2.0. El TPM supervisa la plataforma desde el encendido hasta la ejecución de la aplicación, informando de sus mediciones y gestionando el material criptográfico. Componentes clave:

Componente	Función	Especificaciones de TPM 2.0
Chip TPM	Microcontrolador de seguridad dedicado; realiza todas las operaciones criptográficas de forma aislada del hardware.	Normalmente integrado en la CPU (firmware TPM/fTPM) o en un chip independiente; Windows 11 requiere TPM 2.0.
Registros de configuración de la plataforma (PCR)	Registros de tamaño fijo que registran las mediciones de la secuencia de arranque; los valores se extienden (no se escriben) en cada etapa.	TPM 2.0 define bancos PCR por algoritmo; SHA-256 es el hash de medición actual.
Clave de respaldo (EC)	Par de claves permanente instalado por el fabricante; demuestra la autenticidad del TPM a los verificadores remotos.	RSA-2048 o ECC P-256; la clave privada nunca sale del TPM.
Clave raíz de almacenamiento (SRK)	Clave de nivel superior en la jerarquía de claves TPM; encapsula todas las claves creadas por el usuario.	Creado por el propietario en el primer uso; RSA-2048 o ECC P-256
NVRAM	Almacenamiento no volátil para datos de políticas, valores de autorización y valores de contador.	Se utiliza para el almacenamiento de políticas PCR, certificados de dispositivos y contadores anti-retroceso.

La arquitectura rentable

La arquitectura TPM logra su rentabilidad gracias a una decisión de diseño deliberada: en lugar de implementar un cifrado simétrico completo en hardware (lo que requeriría un acelerador AES y una superficie de chip considerable), el TPM utiliza criptografía asimétrica para proteger las claves simétricas. El chip contiene un acelerador de exponenciación modular RSA (o multiplicación escalar ECC en TPM 2.0) en lugar de una implementación de cifrado por bloques dedicada. Las claves simétricas (AES-256) se sellan al estado del TPM y solo se liberan bajo condiciones autorizadas, utilizando el motor asimétrico para proteger la operación de sellado.

Esto crea una vulnerabilidad potencial: si un atacante logra inyectar una clave falsa designada como no migrable, pero con un valor conocido, podría inducir a un proveedor de contenido a proteger los datos bajo esa clave comprometida. El mecanismo de prueba TPM lo impide. Cada estructura de datos creada dentro del TPM se firma con un valor secreto llamado Prueba TPM, que se compara con una clave raíz RSA o ECC almacenada en un registro especial. Incluso si un atacante accede a la clave pública, no puede conocer la Prueba TPM, necesaria para completar cualquier operación protegida. El criptosistema asimétrico se convierte efectivamente en uno simétrico para las operaciones internas, donde la clave compuesta consta de la mitad privada de la clave de almacenamiento raíz y la Prueba TPM.

Medición de PCR y la transición SHA

TPM 1.2 utilizaba SHA-1 para todas las mediciones PCR, generando una cadena de capacidad de 160 bits. SHA-1 está oficialmente desaconsejado por el NIST (SP 800-131A Rev. 2, 2019) para aplicaciones de firma, y ​​se han demostrado públicamente ataques de colisión. TPM 2.0 introdujo la agilidad algorítmica: los bancos PCR pueden usar SHA-256 o SHA-384, generando valores de medición más robustos de 256 o 384 bits. Las organizaciones que operan con hardware TPM 1.2 deben considerar las mediciones PCR con SHA-1 como una limitación conocida y planificar la migración del hardware a sistemas TPM 2.0, especialmente para cargas de trabajo que requieren sólidas garantías de integridad.

Los valores PCR se extienden en lugar de escribirse. Cuando se toma una nueva medición, el nuevo valor PCR se calcula como: PCR_nuevo = Hash(PCR_antiguo || nueva_medición). Esto significa que los valores PCR no se pueden establecer arbitrariamente a un estado deseado; deben reflejar la secuencia exacta de mediciones de software tomadas desde el encendido. Esta propiedad es lo que hace que el almacenamiento sellado y la certificación remota sean útiles.

Selección de algoritmos para implementaciones de TPM

Caso de uso	Algoritmo recomendado	Notas	Evitando
Hashing de medición de PCR (TPM 2.0)	SHA-256	Función hash recomendada actualmente por el NIST para mediciones; compatible con todas las implementaciones de TPM 2.0.	SHA-1 (obsoleto, se han demostrado colisiones)
Almacenamiento y certificación de claves asimétricas	RSA-2048 o ECC P-256	ECC P-256 proporciona una seguridad equivalente de 128 bits con un tamaño de clave menor; se prefiere para nuevas implementaciones.	RSA-1024 (inseguro)
Protección simétrica con llave sellada	AES-256	Las claves simétricas utilizadas para el almacenamiento sellado son AES-256; se generan y se encapsulan dentro de un TPM.	DES, 3DES (obsoleto)
Firma de certificación remota	ECDSA P-256 o RSA-2048	AIK (clave de identidad de atestación) firma las cotizaciones de PCR; ECC es la opción preferida para nuevas implementaciones.	DSA (obsoleto en FIPS 186-5)

Modelo de amenazas de TPM

Interna	Protección TPM	Limitación
Extracción del disco duro y acceso a los datos en otro sistema.	BitLocker/almacenamiento sellado: la clave VMK solo se libera mediante el TPM original con valores PCR coincidentes; la unidad no se puede utilizar en otros dispositivos.	El TPM debe estar funcionando; la política PCR debe estar configurada correctamente.
Rootkit o modificación del gestor de arranque	La medición PCR detecta el componente de arranque modificado; el TPM retiene la clave sellada.	Solo es efectivo si el componente modificado se ejecuta antes de la etapa de medición de PCR; los ataques previos al arranque dirigidos a los agentes de medición pueden eludir
Inyección de clave falsa	TPM Proof firma todas las estructuras internas; un atacante no puede crear una clave no migrable válida sin conocer TPM Proof.	TPM Proof es un secreto interno de TPM; la protección es tan fuerte como la seguridad física y del firmware de TPM.
Olfateo de autobús (ataque físico)	Los TPM discretos se abordan parcialmente mediante cifrado en el bus LPC/SPI en diseños más recientes; los TPM de firmware integrados en la CPU eliminan la exposición del bus externo.	Los adversarios sofisticados con acceso físico y equipo especializado aún pueden intentar ataques físicos contra los módulos TPM discretos.
Suplantación de identidad o fraude remoto	La certificación remota con citas PCR firmadas por AIK permite a los verificadores confirmar la identidad del dispositivo y el estado del software.	La certificación solo demuestra el estado actual de PCR; no garantiza la ausencia de todas las vulnerabilidades en el software medido.

Ejemplo de implementación: BitLocker con certificación TPM 2.0

1. Habilitación de TPM 2.0: La infraestructura de TI empresarial habilita TPM 2.0 en el firmware UEFI de todos los portátiles y equipos de escritorio administrados mediante directivas de grupo. El requisito de TPM 2.0 de Windows 11 garantiza que todo el hardware compatible cuente con esta capacidad.
2. Aprovisionamiento de BitLocker: BitLocker está habilitado en la unidad del sistema. Genera la clave maestra de volumen (VMK) e indica al TPM que asegure la VMK con los valores PCR actuales 0, 2, 4 y 11, que representan el firmware, las ROM de opciones, el administrador de arranque y la configuración de arranque de Windows, respectivamente.
3. Aplicación de la normativa sobre la integridad de las botas: En cada arranque, el firmware UEFI y el cargador de arranque de Windows actualizan los PCR del 0 al 11. Si los valores de PCR coinciden con la política (secuencia de arranque sin cambios), el TPM libera la VMK y la unidad se descifra de forma transparente. Si se modifica el cargador de arranque, se actualiza el firmware sin volver a sellar la unidad o se traslada a otro sistema, los valores de PCR no coinciden y BitLocker solicita la clave de recuperación de 48 dígitos.
4. Autenticación remota para acceso de confianza cero: Cuando un dispositivo administrado solicita acceso a una aplicación interna sensible, el sistema de control de acceso solicita una cotización de certificación TPM. El TPM del dispositivo firma sus valores PCR actuales con su AIK. El sistema de control de acceso verifica la firma AIK con el certificado EK conocido del dispositivo y comprueba que los valores PCR correspondan a una configuración de arranque aprobada. Se deniega el acceso a los dispositivos con firmware modificado o software no aprobado, independientemente de que tengan credenciales válidas.
5. Inventario de CBOM: la organización utiliza CBOM seguro Mantener un inventario de las versiones de TPM, los algoritmos compatibles y las configuraciones actuales de la política PCR en todos los dispositivos administrados. Esto permite identificar los dispositivos TPM 1.2 que aún utilizan mediciones SHA-1 y priorizar su actualización de hardware.

Espacio de aplicación TPM

La mayoría de los portátiles modernos tienen TPM integrados. El chip está inactivo por defecto y debe habilitarse en UEFI antes de que comience a monitorizar. Las aplicaciones empresariales comunes del TPM incluyen:

• BitLocker y cifrado de disco completo: El caso de uso más común de TPM: el TPM sella la clave de cifrado de la unidad en la configuración de arranque para que la unidad no pueda descifrarse en otra máquina.
• Certificación remota para confianza cero: La certificación TPM demuestra el buen estado del dispositivo a los sistemas de control de acceso, lo que permite verificar el estado del dispositivo antes de conceder acceso a recursos confidenciales.
• Seguridad móvil y de IoT: Los TPM o los enclaves seguros equivalentes a TPM protegen las plataformas móviles y los dispositivos IoT a medida que aumenta su complejidad, proporcionando un aislamiento de arranque y de claves medido.
• Integración de PKI: Los TPM pueden generar y proteger claves privadas RSA y ECC para certificados de dispositivos en un PKI Implementación que garantiza que las claves privadas de los certificados del dispositivo nunca salgan del hardware.
• Protección de clave SSH: Las claves SSH protegidas por TPM protegen las claves privadas de autenticación del servidor dentro del perímetro de TPM, lo que impide la extracción de claves incluso si el sistema operativo del host se ve comprometido.

Limitaciones de la seguridad basada en TPM

• Superficie de ataque física: La seguridad de los TPM no protege contra todos los ataques físicos. Los TPM discretos conectados mediante bus LPC o SPI son vulnerables a la interceptación de tráfico; los TPM de firmware integrados en el chip de la CPU eliminan este vector específico, pero introducen una dependencia del firmware. Las organizaciones deben implementar controles de seguridad física (esclusas de seguridad, tarjetas inteligentes, pruebas de manipulación) para entornos de alta seguridad.
• Dependencia del firmware: Las mediciones del TPM solo abarcan lo que se ejecuta antes del punto de medición. Una vulnerabilidad en el firmware UEFI o en el código del gestor de arranque puede comprometer la cadena de confianza antes de que se realicen las mediciones del TPM. Mantener el firmware actualizado y validado es tan importante como habilitar el TPM.
• Compatibilidad con SHA-1 en TPM 1.2: Los dispositivos TPM 1.2 que utilizan SHA-1 para mediciones de PCR funcionan con un algoritmo hash obsoleto. La resistencia a colisiones de SHA-1 se ha visto comprometida en entornos de investigación. Las organizaciones que utilizan hardware TPM 1.2 deberían planificar la migración a TPM 2.0.
• Los estándares actuales no ofrecen soporte para criptografía postcuántica: TPM 2.0 admite RSA y ECC, ambos vulnerables al algoritmo de Shor en una computadora cuántica con relevancia criptográfica. TCG está desarrollando especificaciones TPM post-cuánticas, pero el hardware actualmente implementado no admite ML-KEM ni ML-DSA. Es posible que las identidades de dispositivos de larga duración requieran migración a medida que maduren los estándares PQC.

Cómo puede ayudar la consultoría de cifrado

• HSM como servicio: Para cargas de trabajo que requieren un aislamiento más fuerte que el que proporciona un TPM, en particular claves privadas de CA y firma de código de alta seguridad, nuestro HSM como servicio Proporciona una infraestructura de módulo de seguridad de hardware validada según FIPS 140-3 con una seguridad física y lógica más robusta que un TPM discreto.
• Servicios de asesoramiento sobre cifrado: nuestro mapa de Servicios de asesoramiento sobre cifrado Evaluar las configuraciones de implementación de TPM, la corrección de la política PCR, la gestión de claves BitLocker y el cumplimiento de las normas NIST y FIPS.
• CBOM Seguro: CBOM seguro Realiza inventarios de activos criptográficos en todos los dispositivos, identificando las versiones de TPM, la compatibilidad con algoritmos y las configuraciones de políticas PCR. Esto ayuda a las organizaciones a identificar dispositivos TPM 1.2 mediante mediciones SHA-1 y a priorizar la actualización del hardware hacia TPM 2.0.

Conclusión

La arquitectura rentable de TPM logra seguridad basada en hardware a un costo estándar al combinar criptografía asimétrica para la protección de claves con el mecanismo de prueba TPM para prevenir la inyección de claves, extensión PCR para hacer que las mediciones de arranque sean a prueba de manipulaciones y almacenamiento sellado para vincular los datos a configuraciones de plataforma específicas. TPM 2.0 aborda las limitaciones de SHA-1 de TPM 1.2 con agilidad de algoritmos, compatible con SHA-256, ECC P-256 y AES-256. Las principales limitaciones son la exposición a ataques físicos en chips discretos, la dependencia del firmware y la ausencia de soporte para algoritmos post-cuánticos en los estándares actuales. Para la mayoría de los entornos empresariales, habilitar TPM 2.0 con BitLocker y atestación remota proporciona una base de seguridad significativa con un costo marginal mínimo. Para lectura relacionada, consulte nuestras publicaciones sobre HSM como servicio y Desarrollo de una política de cifrado empresarial.

Preguntas frecuentes

¿Qué es un TPM (Módulo de Plataforma Segura)?

Microcontrolador de seguridad dedicado, especificado por TCG según la norma ISO/IEC 11889. Proporciona almacenamiento de claves con raíz de hardware, medición de la integridad de la plataforma mediante PCR, atestación remota y almacenamiento sellado. El estándar actual es TPM 2.0, compatible con SHA-256, ECC P-256, AES-256 y RSA-2048.

¿Cuál es la diferencia entre TPM 1.2 y TPM 2.0?

TPM 1.2 utilizaba SHA-1 (actualmente obsoleto según NIST) y solo RSA. TPM 2.0 incorpora mayor flexibilidad algorítmica: SHA-256/384, ECC P-256/P-384, AES-256 y HMAC. Además, TPM 2.0 cuenta con un modelo de autorización más completo. Windows 11 requiere TPM 2.0.

¿Qué son los Registros de Configuración de Plataforma (PCR)?

Registros de tamaño fijo dentro del TPM que registran la secuencia de arranque de la plataforma mediante una operación de extensión criptográfica: PCR_new = Hash(PCR_old || new_measurement). Los valores de PCR no se pueden establecer arbitrariamente; deben reflejar la secuencia exacta de mediciones desde el encendido. Se utilizan para almacenamiento sellado y atestación remota.

¿Cómo utiliza BitLocker un TPM?

BitLocker sella la clave maestra de volumen (VMK) con valores PCR específicos que representan la configuración de arranque de confianza. En cada arranque, si los valores PCR coinciden, el TPM libera la VMK y la unidad se descifra de forma transparente. Si los valores PCR difieren (firmware modificado, secuencia de arranque cambiada, máquina diferente), el TPM retiene la VMK y BitLocker entra en modo de recuperación.

¿Cuáles son las principales limitaciones de la seguridad basada en TPM?

Superficie de ataque física (espionaje del bus en TPM discretos); dependencia del firmware (los ataques previos a la medición eluden la grabación de PCR); compatibilidad con SHA-1 en TPM 1.2 (algoritmo obsoleto); falta de soporte post-cuántico en los estándares TPM actuales (RSA y ECC son vulnerables al algoritmo de Shor).

¿Qué es la certificación remota de TPM?

Mecanismo mediante el cual un dispositivo equipado con TPM verifica el estado de su software ante un verificador remoto. El TPM firma sus valores PCR actuales con su clave de identidad de atestación (AIK). El verificador compara la firma AIK con la clave de aprobación del dispositivo y evalúa si los valores PCR corresponden a una configuración de arranque aprobada, lo que permite la verificación del estado del dispositivo sin necesidad de confianza.