De kosteneffectieve architectuur van TPM

Een Trusted Platform Module (TPM) is een speciale beveiligingsmicrocontroller, gespecificeerd door de Trusted Computing Group (TCG) onder ISO/IEC 11889. Deze biedt hardwarematig opgeslagen sleutels, platformintegriteitsmeting via Platform Configuration Registers (PCR's), externe attestatie en verzegelde opslag tegen een kostprijs die laag genoeg is om in vrijwel elk modern computerapparaat te integreren. TPM 2.0 is de huidige standaard en ondersteunt SHA-256, ECC P-256, AES-256 en RSA-2048, waarmee de SHA-1-afhankelijkheid van het eerdere TPM 1.2-ontwerp wordt vervangen. De aanbevolen actie: schakel TPM 2.0 in op alle bedrijfsapparaten, configureer BitLocker of een gelijkwaardige schijfversleuteling met TPM-verzegeling, automatiseer het beheer van PCR-beleid en begin met de planning voor integratie van post-kwantumalgoritmen naarmate de TCG-standaarden zich ontwikkelen.

Kort antwoord: Wat is een TPM en waarom is de architectuur ervan belangrijk?

Een TPM is een hardwarebeveiligingschip die vier mogelijkheden biedt die geen enkele software kan evenaren: fraudebestendige sleutelopslag, platformopstartmeting via PCR's, verzegelde opslag (gegevens alleen toegankelijk in een specifieke gemeten platformstatus) en externe attestatie (bewijs aan een derde partij dat een apparaat goedgekeurde software uitvoert). Dit alles tegen een kostprijs die laag genoeg is om in consumentenhardware te worden geïntegreerd. De architectuur is kosteneffectief omdat asymmetrische cryptografie (RSA of ECC) wordt gebruikt om symmetrische sleutels (AES) te beschermen in plaats van volledige symmetrische encryptie in hardware te implementeren, waardoor de complexiteit van de chip wordt verminderd. PCR-extensie en het TPM Proof-mechanisme dichten de kwetsbaarheid voor sleutelinjectie die deze aanpak anders zou creëren.

Wat is een Trusted Platform Module (TPM)?

Een Trusted Platform Module (TPM) is een beveiligde microcontroller die is geïntegreerd in of gekoppeld aan een computerplatform. De TPM is gestandaardiseerd door de Trusted Computing Group (TCG) volgens ISO/IEC 11889. Moderne TPM's zijn versie 2.0. De TPM bewaakt het platform vanaf het inschakelen tot en met de uitvoering van applicaties, rapporteert de metingen en beheert cryptografisch materiaal. Belangrijkste componenten:

Bestanddeel	Functie	Specificaties van TPM 2.0
TPM-chip	Speciaal ontworpen beveiligingsmicrocontroller; voert alle cryptografische bewerkingen uit in hardware-isolatie.	Doorgaans ingebouwd in de CPU (firmware TPM/fTPM) of als aparte chip; Windows 11 vereist TPM 2.0.
Platformconfiguratieregisters (PCR's)	Registers met vaste grootte die metingen van de opstartsequentie vastleggen; waarden worden bij elke fase uitgebreid (niet beschreven).	TPM 2.0 definieert PCR-banken per algoritme; SHA-256 is de huidige meethash.
Onderschrijvingssleutel (EK)	Permanent sleutelpaar geïnstalleerd door de fabrikant; bewijst de authenticiteit van de TPM aan externe verificatoren.	RSA-2048 of ECC P-256; de privésleutel verlaat de TPM nooit.
Opslaghoofdsleutel (SRK)	De sleutel op het hoogste niveau in de TPM-sleutelhiërarchie; omvat alle door de gebruiker aangemaakte sleutels.	Gemaakt door de eigenaar bij het eerste gebruik; RSA-2048 of ECC P-256
NVRAM	Niet-vluchtige opslag voor beleidsgegevens, autorisatiewaarden en tellerwaarden.	Gebruikt voor het opslaan van PCR-beleid, apparaatcertificaten en anti-rollback-tellers.

De kosteneffectieve architectuur

De TPM-architectuur bereikt zijn kosteneffectiviteit door een weloverwogen ontwerpkeuze: in plaats van volledige symmetrische encryptie in hardware te implementeren (wat een AES-accelerator en een aanzienlijk chipoppervlak zou vereisen), gebruikt de TPM asymmetrische cryptografie om symmetrische sleutels te beschermen. De chip bevat een modulaire RSA-exponentiële accelerator (of ECC-scalaire vermenigvuldiging in TPM 2.0) in plaats van een specifieke blokversleuteling. Symmetrische sleutels (AES-256) worden versleuteld in de TPM-status en alleen door de TPM vrijgegeven onder geautoriseerde voorwaarden, waarbij de asymmetrische engine de versleuteling beschermt.

Dit creëert een potentiële kwetsbaarheid: als een aanvaller een valse sleutel kan injecteren die is aangewezen als niet-migreerbaar, maar met een waarde die de aanvaller kent, kan hij een contentprovider ertoe verleiden gegevens te beschermen met die gecompromitteerde sleutel. Het TPM Proof-mechanisme voorkomt dit. Elke datastructuur die binnen de TPM wordt gecreëerd, wordt ondertekend met een geheime waarde genaamd de TPM Proof, die wordt vergeleken met een root RSA- of ECC-sleutel die in een speciaal register wordt bewaard. Zelfs als een aanvaller toegang krijgt tot de publieke sleutel, kan hij de TPM Proof niet achterhalen, die nodig is om elke beveiligde bewerking te voltooien. Het asymmetrische cryptosysteem wordt effectief omgezet in een symmetrisch systeem voor interne bewerkingen, waarbij de samengestelde sleutel bestaat uit de privéhelft van de root-opslagsleutel en de TPM Proof.

PCR-meting en de SHA-overgang

TPM 1.2 gebruikte SHA-1 voor alle PCR-metingen, wat resulteerde in een 160-bits capaciteitsreeks. SHA-1 is nu formeel afgekeurd door NIST (SP 800-131A Rev. 2, 2019) voor toepassingen met digitale handtekeningen, en er zijn publiekelijk botsingsaanvallen aangetoond. TPM 2.0 introduceerde algoritmeflexibiliteit: PCR-banken kunnen SHA-256 of SHA-384 gebruiken, wat sterkere 256-bits of 384-bits meetwaarden oplevert. Organisaties die werken met TPM 1.2-hardware moeten SHA-1 PCR-metingen beschouwen als een bekende beperking en een hardwaremigratie naar TPM 2.0-systemen plannen, met name voor workloads die sterke integriteitsgaranties vereisen.

PCR-waarden worden uitgebreid in plaats van weggeschreven. Wanneer een nieuwe meting wordt uitgevoerd, wordt de nieuwe PCR-waarde als volgt berekend: PCR_nieuw = Hash(PCR_oud || nieuwe_meting). Dit betekent dat PCR-waarden niet willekeurig op een gewenste waarde kunnen worden ingesteld; ze moeten de exacte reeks softwaremetingen weerspiegelen die vanaf het inschakelen van de stroom zijn uitgevoerd. Deze eigenschap maakt verzegelde opslag en externe attestatie zinvol.

Algoritmeselectie voor TPM-implementaties

Gebruik geval	Aanbevolen algoritme	Notes	vermijden
PCR-meting hashing (TPM 2.0)	SHA-256	De huidige door NIST aanbevolen hash voor metingen; ondersteund in alle TPM 2.0-implementaties.	SHA-1 (verouderd, botsingen aangetoond)
Asymmetrische sleutelopslag en attestatie	RSA-2048 of ECC P-256	ECC P-256 biedt een gelijkwaardige 128-bits beveiliging met een kleinere sleutelgrootte; de ​​voorkeur gaat uit naar nieuwe implementaties.	RSA-1024 (onveilig)
Symmetrische verzegelde sleutelbeveiliging	AES-256	Symmetrische sleutels die worden gebruikt voor verzegelde opslag zijn AES-256; deze worden gegenereerd en ingekapseld in TPM.	DES, 3DES (verouderd)
Handtekening voor bevestiging op afstand	ECDSA P-256 of RSA-2048	AIK (Attestation Identity Key) ondertekent PCR-offertes; ECC heeft de voorkeur voor nieuwe implementaties.	DSA (verouderd in FIPS 186-5)

TPM-dreigingsmodel

Bedreiging	TPM-bescherming	Beperking
De harde schijf verwijderen en toegang krijgen tot de gegevens op een ander systeem.	BitLocker/verzegelde opslag: VMK wordt alleen vrijgegeven door de originele TPM met overeenkomende PCR-waarden; de schijf is elders onbruikbaar.	TPM moet functioneren; het PCR-beleid moet correct geconfigureerd zijn.
Rootkit of bootloader-modificatie	PCR-meting detecteert het gewijzigde opstartonderdeel; TPM houdt de verzegelde sleutel vast.	Alleen effectief als de gemodificeerde component wordt uitgevoerd vóór de PCR-meetfase; aanvallen die vóór het opstarten gericht zijn op meetagenten kunnen dit omzeilen.
Valse sleutelinjectie	TPM Proof ondertekent alle interne structuren; een aanvaller kan geen geldige, niet-migreerbare sleutel aanmaken zonder de TPM Proof te kennen.	TPM Proof is een intern geheim van TPM; de beveiliging is slechts zo sterk als de fysieke en firmwarebeveiliging van de TPM.
Bus snuffelen (fysieke aanval)	Discrete TPM's worden in nieuwere ontwerpen gedeeltelijk aangepakt door middel van encryptie op de LPC/SPI-bus; firmware-TPM's die in de CPU zijn geïntegreerd, elimineren blootstelling aan de externe bus.	Geavanceerde tegenstanders met fysieke toegang en gespecialiseerde apparatuur kunnen nog steeds fysieke aanvallen uitvoeren op afzonderlijke TPM's.
Identiteitsvervalsing of fraude op afstand	Met behulp van op afstand ondertekende PCR-citaten kunnen verificatoren de apparaatidentiteit en de softwarestatus bevestigen.	De verklaring bewijst alleen de huidige PCR-status; het garandeert niet de afwezigheid van alle kwetsbaarheden in de gemeten software.

Implementatievoorbeeld: BitLocker met TPM 2.0-attestatie

1. TPM 2.0-activering: De IT-afdeling van een bedrijf maakt TPM 2.0 in de UEFI-firmware mogelijk op alle beheerde laptops en desktops via groepsbeleid. De TPM 2.0-vereiste van Windows 11 zorgt ervoor dat alle ondersteunde hardware over deze mogelijkheid beschikt.
2. BitLocker-configuratie: BitLocker is ingeschakeld op de systeemdrive. Het genereert de Volume Master Key (VMK) en instrueert de TPM om de VMK te versleutelen met de huidige PCR-waarden 0, 2, 4 en 11, die respectievelijk de firmware, de optionele ROM's, de bootmanager en de Windows-opstartconfiguratie vertegenwoordigen.
3. Handhaving van de opstartintegriteit: Bij elke opstartprocedure werken de UEFI-firmware en de Windows-bootloader de PCR's 0-11 bij. Als de PCR-waarden overeenkomen met het beleid (onveranderde opstartvolgorde), geeft de TPM de VMK vrij en wordt de schijf transparant ontsleuteld. Als een bootloader wordt gewijzigd, de firmware wordt bijgewerkt zonder opnieuw te verzegelen, of de schijf naar een ander systeem wordt verplaatst, komen de PCR-waarden niet overeen en vraagt ​​BitLocker om de 48-cijferige herstelsleutel.
4. Externe attestatie voor zero-trust toegang: Wanneer een beheerd apparaat toegang vraagt ​​tot een gevoelige interne applicatie, vraagt ​​het toegangscontrolesysteem een ​​TPM-attestatie aan. De TPM van het apparaat ondertekent zijn huidige PCR-waarden met zijn AIK. Het toegangscontrolesysteem verifieert de AIK-handtekening aan de hand van het bekende EK-certificaat van het apparaat en controleert of de PCR-waarden overeenkomen met een goedgekeurde opstartconfiguratie. Apparaten met aangepaste firmware of niet-goedgekeurde software wordt de toegang geweigerd, ongeacht of de inloggegevens geldig zijn.
5. CBOM-inventaris: de organisatie gebruikt CBOM Secure Het doel is om een ​​inventaris bij te houden van TPM-versies, ondersteunde algoritmen en actuele PCR-beleidsconfiguraties voor alle beheerde apparaten. Hiermee worden TPM 1.2-apparaten geïdentificeerd die nog steeds SHA-1-metingen gebruiken en krijgen ze prioriteit voor hardwarevernieuwing.

TPM-toepassingsruimte

De meeste moderne laptops hebben een geïntegreerde TPM-chip. De chip is standaard inactief en moet in de UEFI worden ingeschakeld voordat deze begint met monitoren. Veelvoorkomende zakelijke toepassingen van de TPM zijn onder andere:

• BitLocker en volledige schijfversleuteling: De meest voorkomende toepassing van TPM is het versleutelen van de schijfsleutel in de opstartconfiguratie, zodat de schijf niet op een andere machine kan worden ontsleuteld.
• Externe attestatie voor zero-trust: TPM-attestatie bewijst de status van het apparaat aan toegangscontrolesystemen, waardoor de apparaatstatus kan worden geverifieerd voordat toegang tot gevoelige bronnen wordt verleend.
• Beveiliging van mobiele apparaten en IoT: TPM's of TPM-equivalenten beveiligen mobiele platforms en IoT-apparaten naarmate hun complexiteit toeneemt, door middel van gecontroleerde opstart- en sleutelisolatie.
• PKI-integratie: TPM's kunnen RSA- en ECC-privésleutels genereren en beschermen voor apparaatcertificaten in een PKI implementatie, waarbij ervoor wordt gezorgd dat de privésleutels van apparaatcertificaten de hardware nooit verlaten.
• Beveiliging van SSH-sleutels: TPM-ondersteunde SSH-sleutels beschermen de privésleutels voor serverauthenticatie binnen de TPM-grenzen, waardoor het extraheren van sleutels wordt voorkomen, zelfs als het hostbesturingssysteem is gecompromitteerd.

Beperkingen van TPM-gebaseerde beveiliging

• Fysiek aanvalsoppervlak: TPM-beveiliging biedt geen bescherming tegen alle fysieke aanvallen. Discrete TPM's die via een LPC- of SPI-bus zijn verbonden, zijn kwetsbaar voor bus-sniffing; firmware-TPM's die in de CPU-chip zijn geïntegreerd, elimineren deze specifieke kwetsbaarheid, maar introduceren wel een afhankelijkheid van de firmware. Organisaties moeten fysieke beveiligingsmaatregelen implementeren (mantraps, smartcards, manipulatiebestendige systemen) voor omgevingen met een hoge mate van betrouwbaarheid.
• Firmwareafhankelijkheid: TPM-metingen omvatten alleen wat er vóór het meetmoment wordt uitgevoerd. Een kwetsbaarheid in de UEFI-firmware of de bootloadercode kan de vertrouwensketen in gevaar brengen voordat TPM-metingen plaatsvinden. Het patchen en valideren van de firmware is net zo belangrijk als het inschakelen van de TPM.
• SHA-1 legacy op TPM 1.2: TPM 1.2-apparaten die SHA-1 gebruiken voor PCR-metingen, werken met een verouderd hash-algoritme. De botsingsbestendigheid van SHA-1 is in onderzoeksomgevingen niet meer gegarandeerd. Organisaties die TPM 1.2-hardware gebruiken, moeten een migratie naar TPM 2.0 plannen.
• De huidige standaarden bieden geen ondersteuning voor post-kwantumcryptografie. TPM 2.0 ondersteunt RSA en ECC, die beide kwetsbaar zijn voor het algoritme van Shor op een cryptografisch relevante kwantumcomputer. TCG ontwikkelt post-kwantum TPM-specificaties, maar de huidige hardware ondersteunt geen ML-KEM of ML-DSA. Apparaatidentiteiten met een lange levensduur moeten mogelijk worden gemigreerd naarmate PQC-standaarden zich verder ontwikkelen.

Hoe encryptieconsultancy kan helpen

• HSM als een service: Voor workloads die een sterkere isolatie vereisen dan een TPM biedt, met name CA-privésleutels en codeondertekening met hoge betrouwbaarheid, is onze oplossing geschikt. HSM als een service Biedt een FIPS 140-3 gevalideerde hardwarebeveiligingsmodule-infrastructuur met een sterkere fysieke en logische beveiliging dan een afzonderlijke TPM.
• Adviesdiensten op het gebied van encryptie: Encryptie Adviesdiensten Beoordeel de implementatieconfiguraties van TPM, de correctheid van het PCR-beleid, het BitLocker-sleutelbeheer en de afstemming met de NIST- en FIPS-normen.
• CBOM Secure: CBOM Secure Het systeem inventariseert cryptografische activa op alle apparaten en identificeert TPM-versies, ondersteunde algoritmen en PCR-beleidsconfiguraties. Dit helpt organisaties TPM 1.2-apparaten te identificeren aan de hand van SHA-1-metingen en prioriteit te geven aan hardwarevernieuwing richting TPM 2.0.

Conclusie

De kosteneffectieve architectuur van de TPM realiseert hardwarematige beveiliging tegen standaardkosten door asymmetrische cryptografie voor sleutelbescherming te combineren met het TPM Proof-mechanisme om sleutelinjectie te voorkomen, PCR-extensie om opstartmetingen fraudebestendig te maken en verzegelde opslag om gegevens te koppelen aan specifieke platformconfiguraties. TPM 2.0 pakt de SHA-1-beperkingen van TPM 1.2 aan met algoritmeflexibiliteit en ondersteunt SHA-256, ECC P-256 en AES-256. De belangrijkste beperkingen zijn de kwetsbaarheid voor fysieke aanvallen op discrete chips, de afhankelijkheid van firmware en het ontbreken van ondersteuning voor post-kwantumalgoritmen in de huidige standaarden. Voor de meeste bedrijfsomgevingen biedt het inschakelen van TPM 2.0 met BitLocker en externe attestatie een zinvolle basisbeveiliging tegen minimale extra kosten. Zie voor meer informatie onze artikelen over HSM as a Service en het ontwikkelen van een bedrijfsversleutelingsbeleid.

Veelgestelde Vragen / FAQ

Wat is een TPM (Trusted Platform Module)?

Een speciale beveiligingsmicrocontroller, gespecificeerd door TCG volgens ISO/IEC 11889. Deze biedt hardwarematig opgeslagen sleutels, platformintegriteitsmeting via PCR's, externe attestatie en verzegelde opslag. TPM 2.0 is de huidige standaard en ondersteunt SHA-256, ECC P-256, AES-256 en RSA-2048.

Wat is het verschil tussen TPM 1.2 en TPM 2.0?

TPM 1.2 gebruikte SHA-1 (nu afgekeurd door NIST) en alleen RSA. TPM 2.0 voegt flexibiliteit in algoritmes toe: SHA-256/384, ECC P-256/P-384, AES-256 en HMAC. TPM 2.0 heeft ook een uitgebreider autorisatiemodel. Windows 11 vereist TPM 2.0.

Wat zijn Platform Configuration Registers (PCR's)?

Vaste registers in de TPM die de opstartsequentie van het platform vastleggen via een cryptografische uitbreidingsbewerking: PCR_new = Hash(PCR_old || new_measurement). PCR-waarden kunnen niet willekeurig worden ingesteld; ze moeten de exacte reeks metingen vanaf het inschakelen weergeven. Gebruikt voor verzegelde opslag en attestatie op afstand.

Hoe gebruikt BitLocker een TPM?

BitLocker versleutelt de Volume Master Key (VMK) met specifieke PCR-waarden die de vertrouwde opstartconfiguratie vertegenwoordigen. Bij elke opstart, als de PCR-waarden overeenkomen, geeft de TPM de VMK vrij en wordt de schijf transparant ontsleuteld. Als de PCR-waarden verschillen (aangepaste firmware, gewijzigde opstartvolgorde, andere machine), houdt de TPM de VMK vast en gaat BitLocker naar de herstelmodus.

Wat zijn de belangrijkste beperkingen van TPM-gebaseerde beveiliging?

Fysieke kwetsbaarheid voor aanvallen (bus sniffing op discrete TPM's); afhankelijkheid van firmware (aanvallen vóór de meting omzeilen PCR-registratie); verouderde SHA-1-technologie op TPM 1.2 (verouderd algoritme); geen ondersteuning voor post-quantum in de huidige TPM-standaarden (RSA en ECC zijn kwetsbaar voor het algoritme van Shor).

Wat is TPM-attestatie op afstand?

Het mechanisme waarmee een apparaat met een TPM (Technical Processing Module) zijn softwarestatus aan een externe verificator bewijst. De TPM ondertekent zijn huidige PCR-waarden (Patient Control Record) met zijn Attestation Identity Key (AIK). De verificator controleert de AIK-ondertekening aan de hand van de endorsement key van het apparaat en beoordeelt of de PCR-waarden overeenkomen met een goedgekeurde opstartconfiguratie, waardoor zero-trust verificatie van de apparaatstatus mogelijk wordt.