Den kostnadseffektiva arkitekturen för TPM

En Trusted Platform Module (TPM) är en dedikerad säkerhetsmikrokontroller som specificeras av Trusted Computing Group (TCG) enligt ISO/IEC 11889. Den tillhandahåller hårdvarurotad nyckellagring, mätning av plattformsintegritet via Platform Configuration Registers (PCR), fjärrattestering och förseglad lagring till en kostnad som är tillräckligt låg för att integreras i nästan alla moderna datorenheter. TPM 2.0 är den nuvarande standarden och stöder SHA-256, ECC P-256, AES-256 och RSA-2048, och ersätter SHA-1-beroendet från den tidigare TPM 1.2-designen. Den rekommenderade åtgärden: aktivera TPM 2.0 på alla företagsenheter, konfigurera BitLocker eller motsvarande diskkryptering med TPM-försegling, automatisera PCR-policyhantering och börja planera för integration av post-kvantalgoritmer i takt med att TCG-standarder utvecklas.

Snabbt svar: Vad är en TPM och varför är dess arkitektur viktig?

Ett TPM är ett säkerhetschip för hårdvara som erbjuder fyra funktioner som ingen programvara kan matcha: manipulationssäker nyckellagring, plattformsstartmätning via PCR:er, förseglad lagring (data är endast tillgänglig i ett specifikt uppmätt plattformstillstånd) och fjärrattestering (bevisar för en tredje part att en enhet kör godkänd programvara). Den uppnår detta till en kostnad som är tillräckligt låg för att inkluderas i konsumenthårdvara. Arkitekturen är kostnadseffektiv eftersom den använder asymmetrisk kryptografi (RSA eller ECC) för att skydda symmetriska nycklar (AES) snarare än att implementera fullständig symmetrisk kryptering i hårdvara, vilket minskar chipets komplexitet. PCR-förlängningen och TPM Proof-mekanismen stänger den sårbarhet för nyckelinjektion som denna metod annars skulle skapa.

Vad är en betrodd plattformsmodul (TPM)?

En Trusted Platform Module är en säker mikrokontroller som är integrerad i eller ansluten till en datorplattform. Den är standardiserad av Trusted Computing Group (TCG) enligt ISO/IEC 11889. Moderna TPM:er är version 2.0. TPM:n övervakar plattformen från start till programkörning, rapporterar dess mätningar och hanterar kryptografiskt material. Viktiga komponenter:

Komponent	Funktion	TPM 2.0-specifikationer
TPM-chip	Dedikerad säkerhetsmikrokontroller; utför alla kryptografiska operationer i hårdvaruisolering	Vanligtvis inbäddad i processorn (firmware TPM/fTPM) eller separat chip; Windows 11 kräver TPM 2.0
Plattformskonfigurationsregister (PCR)	Register med fast storlek som registrerar mätningar av startsekvensen; värden utökas (skrivs inte) i varje steg	TPM 2.0 definierar PCR-banker per algoritm; SHA-256 är den aktuella mäthashen
Endorseringsnyckel (EK)	Permanent nyckelpar installerat av tillverkaren; bevisar TPM-äkthet för fjärrverifierare	RSA-2048 eller ECC P-256; den privata nyckeln lämnar aldrig TPM
Lagringsrotnyckel (SRK)	Toppnivånyckel i TPM-nyckelhierarkin; omsluter alla användarskapade nycklar	Skapad av ägaren vid första användningen; RSA-2048 eller ECC P-256
NVRAM	Icke-flyktig lagring för policydata, auktoriseringsvärden och räknarvärden	Används för PCR-policylagring, enhetscertifikat och anti-rollback-räknare

Den kostnadseffektiva arkitekturen

TPM-arkitekturen uppnår sin kostnadseffektivitet genom ett medvetet designval: istället för att implementera fullständig symmetrisk kryptering i hårdvara (vilket skulle kräva en AES-accelerator och ett betydande chipområde) använder TPM asymmetrisk kryptografi för att skydda symmetriska nycklar. Chipet innehåller en RSA-modulär exponentieringsaccelerator (eller ECC-skalär multiplikation i TPM 2.0) snarare än en dedikerad blockchifferimplementering. Symmetriska nycklar (AES-256) förseglas till TPM-tillstånd och frigörs endast av TPM under auktoriserade förhållanden, med hjälp av den asymmetriska motorn för att skydda förseglingsoperationen.

Detta skapar en potentiell sårbarhet: om en angripare kan injicera en falsk nyckel som betecknas som icke-migrerbar men med ett värde som angriparen känner till, kan de få en innehållsleverantör att skydda data under den komprometterade nyckeln. TPM-proof-mekanismen förhindrar detta. Varje datastruktur som skapas i TPM signeras med ett hemligt värde som kallas TPM-proof, vilket matchas mot en rot-RSA- eller ECC-nyckel som finns i ett särskilt register. Även om en angripare får åtkomst till den offentliga nyckeln kan de inte känna till TPM-proofet, vilket behövs för att slutföra en skyddad operation. Det asymmetriska kryptosystemet omvandlas effektivt till ett symmetriskt system för interna operationer, där den sammansatta nyckeln består av den privata halvan av rotlagringsnyckeln och TPM-proofet.

PCR-mätning och SHA-övergången

TPM 1.2 använde SHA-1 för alla PCR-mätningar, vilket gav en 160-bitars funktionssträng. SHA-1 är nu formellt föråldrad av NIST (SP 800-131A Rev. 2, 2019) för signaturapplikationer, och kollisionsattacker har demonstrerats offentligt. TPM 2.0 introducerade algoritmagilitet: PCR-banker kan använda SHA-256 eller SHA-384, vilket producerar starkare 256-bitars eller 384-bitars mätvärden. Organisationer som använder TPM 1.2-hårdvara bör behandla SHA-1 PCR-mätningar som en känd begränsning och planera hårdvarumigrering till TPM 2.0-system, särskilt för arbetsbelastningar som kräver starka integritetsgarantier.

PCR-värden utökas snarare än skrivs. När en ny mätning görs beräknas det nya PCR-värdet som: PCR_new = Hash(PCR_old || new_measurement). Detta innebär att PCR-värden inte godtyckligt kan ställas in på ett önskat tillstånd; de måste återspegla den exakta sekvensen av programvarumätningar som tagits från start. Det är denna egenskap som gör förseglad lagring och fjärrattestering meningsfull.

Algoritmval för TPM-distributioner

Användningsfall	Rekommenderad algoritm	Anmärkningar	Undvik
PCR-mätningshashning (TPM 2.0)	SHA-256	Nuvarande NIST-rekommenderad hash för mätningar; stöds i alla TPM 2.0-implementeringar	SHA-1 (föråldrad, kollisioner demonstrerade)
Asymmetrisk nyckellagring och attestering	RSA-2048 eller ECC P-256	ECC P-256 ger motsvarande 128-bitars säkerhet med mindre nyckelstorlek; föredras för nya implementeringar	RSA-1024 (osäker)
Symmetriskt förseglat nyckelskydd	AES-256	Symmetriska nycklar som används för sluten lagring är AES-256; genererade och inslagna i TPM	DES, 3DES (föråldrad)
Fjärrsignatur för attestering	ECDSA P-256 eller RSA-2048	AIK (Attestation Identity Key) signerar PCR-offerter; ECC är att föredra för nya implementeringar	DSA (föråldrad i FIPS 186-5)

TPM-hotmodell

Hot	TPM-skydd	Begränsning
Borttagning av hårddisk och dataåtkomst på ett annat system	BitLocker/förseglad lagring: VMK släpps endast av den ursprungliga TPM:n med matchande PCR-värden; hårddisken är oanvändbar någon annanstans.	TPM måste fungera; PCR-policyn måste vara korrekt konfigurerad.
Modifiering av rootkit eller bootloader	PCR-mätning detekterar den ändrade startkomponenten; TPM undanhåller den förseglade nyckeln	Endast effektiv om den modifierade komponenten körs före PCR-mätningssteget; attacker före uppstart som riktar sig mot mätagenter kan undvika
Falsk nyckelinjektion	TPM-bevis signerar alla interna strukturer; angriparen kan inte skapa en giltig icke-migrerbar nyckel utan att känna till TPM-beviset	TPM-bevis är en intern TPM-hemlighet; skyddet är bara så starkt som TPM:ns fysiska säkerhet och firmware-säkerhet.
Bussniffning (fysisk attack)	Diskreta TPM:er åtgärdas delvis genom kryptering på LPC/SPI-bussen i nyare designer; firmware-TPM:er integrerade i CPU eliminerar extern bussexponering	Sofistikerade motståndare med fysisk åtkomst och specialutrustning kan fortfarande försöka fysiska attacker mot diskreta TPM:er
Personifiering eller bedrägeri på distans	Fjärrbekräftelse med AIK-signerade PCR-citat gör det möjligt för verifierare att bekräfta enhetsidentitet och programvarustatus	Attestering bevisar endast aktuellt PCR-tillstånd; garanterar inte frånvaro av alla sårbarheter i uppmätt programvara

Distributionsexempel: BitLocker med TPM 2.0-attestering

1. TPM 2.0-aktivering: Företags-IT aktiverar TPM 2.0 i UEFI-firmware på alla hanterade bärbara och stationära datorer via grupprincip. Windows 11:s TPM 2.0-krav säkerställer att all hårdvara som stöds har denna funktion.
2. BitLocker-provisionering: BitLocker är aktiverat på systemenheten. Den genererar volymmästernyckeln (VMK) och instruerar TPM:n att försegla VMK:n till aktuella PCR-värden 0, 2, 4 och 11, vilka representerar firmware, tillvals-ROM, starthanteraren respektive Windows startkonfiguration.
3. Upprätthållande av startintegritet: Vid varje start uppdaterar UEFI-firmwaren och Windows-starthanteraren PCR:erna 0–11. Om PCR-värdena matchar policyn (oförändrad startsekvens) frigör TPM VMK och hårddisken dekrypteras transparent. Om en starthanterare ändras, firmware uppdateras utan att återförseglas, eller hårddisken flyttas till ett annat system, stämmer PCR-värdena inte överens och BitLocker begär den 48-siffriga återställningsnyckeln.
4. Fjärrverifiering för nollförtroendeåtkomst: När en hanterad enhet begär åtkomst till en känslig intern applikation begär åtkomstkontrollsystemet en offert för TPM-attestering. Enhetens TPM signerar sina aktuella PCR-värden med sin AIK. Åtkomstkontrollsystemet verifierar AIK-signaturen mot enhetens kända EK-certifikat och kontrollerar att PCR-värdena motsvarar en godkänd startkonfiguration. Enheter med modifierad firmware eller icke-godkänd programvara nekas åtkomst oavsett giltiga autentiseringsuppgifter.
5. CBOM-inventering: organisationen använder CBOM-säkerhet för att upprätthålla en inventering av TPM-versioner, algoritmer som stöds och aktuella PCR-policykonfigurationer på alla hanterade enheter. Detta identifierar TPM 1.2-enheter som fortfarande använder SHA-1-mätningar och prioriterar dem för hårdvaruuppdatering.

TPM-applikationsutrymme

De flesta moderna bärbara datorer har integrerade TPM:er. Chipet är inaktivt som standard och måste aktiveras i UEFI innan det börjar övervaka. Vanliga företagstillämpningar för TPM inkluderar:

• BitLocker och fullständig diskkryptering: Det vanligaste TPM-användningsfallet; TPM förseglar hårddiskens krypteringsnyckel till startkonfigurationen så att hårddisken inte kan dekrypteras på en annan maskin.
• Fjärrverifiering för nollförtroende: TPM-attestering bekräftar enhetens hälsa för åtkomstkontrollsystem, vilket möjliggör verifiering av enhetens tillstånd innan åtkomst till känsliga resurser beviljas.
• Mobil och IoT-säkerhet: TPM:er eller TPM-ekvivalenta säkra enklaver säkrar mobila plattformar och IoT-enheter i takt med att deras komplexitet ökar, vilket ger måttlig start- och nyckelisolering.
• PKI-integration: TPM:er kan generera och skydda privata RSA- och ECC-nycklar för enhetscertifikat i en PKI distribution, vilket säkerställer att enhetscertifikatets privata nycklar aldrig lämnar hårdvaran.
• SSH-nyckelskydd: TPM-baserade SSH-nycklar skyddar serverautentiseringens privata nycklar inom TPM-gränsen och förhindrar nyckelutvinning även om värdoperativsystemet är komprometterat.

Begränsningar med TPM-baserad säkerhet

• Fysisk attackyta: TPM-säkerhet skyddar inte mot alla fysiska attacker. Separata TPM:er anslutna via LPC- eller SPI-buss är sårbara för bussniffning; firmware-TPM:er integrerade i CPU-chipet eliminerar denna specifika vektor men introducerar firmwareberoende. Organisationer måste implementera fysiska säkerhetskontroller (mantraps, smartkort, manipuleringssäkring) för miljöer med hög säkerhet.
• Beroende på firmware: TPM-mätningar täcker bara det som körs före mätpunkten. En sårbarhet i UEFI-firmware eller bootloader-kod kan äventyra förtroendekedjan innan TPM-mätningar sker. Att hålla firmware uppdaterad och validerad är lika viktigt som att aktivera TPM.
• SHA-1-arv på TPM 1.2: TPM 1.2-enheter som använder SHA-1 för PCR-mätningar använder en föråldrad hashalgoritm. SHA-1-kollisionståligheten har inte fungerat i forskningsmiljöer. Organisationer som använder TPM 1.2-hårdvara bör planera migrering till TPM 2.0.
• Inget stöd för postkvantkryptografi i nuvarande standarder: TPM 2.0 stöder RSA och ECC, vilka båda är sårbara för Shors algoritm på en kryptografiskt relevant kvantdator. TCG utvecklar post-kvantum TPM-specifikationer, men nuvarande driftsatt hårdvara stöder inte ML-KEM eller ML-DSA. Långlivade enhetsidentiteter kan behöva migreras i takt med att PQC-standarder mognar.

Hur krypteringskonsulting kan hjälpa

• HSM som en tjänst: för arbetsbelastningar som kräver starkare isolering än vad en TPM erbjuder, särskilt CA-privata nycklar och kodsignering med hög säkerhet, vår HSM som en tjänst ger FIPS 140-3-validerad hårdvarusäkerhetsmodulinfrastruktur starkare fysisk och logisk säkerhet än en diskret TPM.
• Krypteringsrådgivningstjänster: vår Krypteringsrådgivningstjänster bedöma TPM-distributionskonfigurationer, PCR-policyns korrekthet, BitLocker-nyckelhantering och anpassning till NIST- och FIPS-standarder.
• CBOM-säker: CBOM-säkerhet inventerar kryptografiska tillgångar på alla enheter, identifierar TPM-versioner, algoritmstöd och PCR-policykonfigurationer. Detta hjälper organisationer att identifiera TPM 1.2-enheter med hjälp av SHA-1-mätningar och prioritera hårdvaruuppdatering mot TPM 2.0.

Slutsats

TPM:s kostnadseffektiva arkitektur uppnår hårdvarubaserad säkerhet till en kostnadseffektiv nivå genom att kombinera asymmetrisk kryptografi för nyckelskydd med TPM Proof-mekanismen för att förhindra nyckelinjektion, PCR-förlängning för att göra startmätningar manipuleringssäkra och förseglad lagring för att koppla data till specifika plattformskonfigurationer. TPM 2.0 åtgärdar SHA-1-begränsningarna i TPM 1.2 med algoritmisk smidighet, med stöd för SHA-256, ECC P-256 och AES-256. De primära begränsningarna är exponering för fysiska attacker på diskreta chip, beroende av firmware och avsaknaden av stöd för postkvantalgoritmer i nuvarande standarder. För de flesta företagsmiljöer ger aktivering av TPM 2.0 med BitLocker och fjärrattestering en meningsfull säkerhetsbaslinje till minimal marginalkostnad. För relaterad läsning, se våra inlägg om HSM som en tjänst och Utveckling av en företagskrypteringspolicy.

Vanliga frågor om partihandel med mat och dryck

Vad är en TPM (Trusted Platform Module)?

En dedikerad säkerhetsmikrokontroller specificerad av TCG enligt ISO/IEC 11889. Den tillhandahåller hårdvarurotad nyckellagring, mätning av plattformsintegritet via PCR, fjärrattestering och förseglad lagring. TPM 2.0 är den nuvarande standarden och stöder SHA-256, ECC P-256, AES-256 och RSA-2048.

Vad är skillnaden mellan TPM 1.2 och TPM 2.0?

TPM 1.2 använde SHA-1 (nu föråldrat av NIST) och endast RSA. TPM 2.0 lägger till algoritmisk smidighet: SHA-256/384, ECC P-256/P-384, AES-256 och HMAC. TPM 2.0 har också en mer omfattande auktoriseringsmodell. Windows 11 kräver TPM 2.0.

Vad är plattformskonfigurationsregister (PCR)?

Register med fast storlek inuti TPM:n som registrerar plattformens startsekvens genom en kryptografisk utökningsoperation: PCR_new = Hash(PCR_old || new_measurement). PCR-värden kan inte ställas in godtyckligt; de måste återspegla den exakta mätsekvensen från start. Används för sluten lagring och fjärrattestering.

Hur använder BitLocker en TPM?

BitLocker förseglar Volume Master Key (VMK) till specifika PCR-värden som representerar den betrodda startkonfigurationen. Om PCR-värdena matchar vid varje start, frigör TPM VMK och hårddisken dekrypteras transparent. Om PCR-värdena skiljer sig åt (modifierad firmware, ändrad startsekvens, annan maskin) undanhåller TPM VMK och BitLocker går in i återställningsläge.

Vilka är de största begränsningarna med TPM-baserad säkerhet?

Fysisk attackyta (bussniffning på diskreta TPM:er); beroende av firmware (attacker före mätning kringgår PCR-inspelning); SHA-1-arv på TPM 1.2 (föråldrad algoritm); inget stöd för kvantmekanism i nuvarande TPM-standarder (RSA och ECC är sårbara för Shors algoritm).

Vad är TPM-fjärrverifiering?

Den mekanism genom vilken en TPM-utrustad enhet bevisar sitt programvarutillstånd för en fjärrverifierare. TPM:n signerar sina aktuella PCR-värden med sin Attestation Identity Key (AIK). Verifieraren kontrollerar AIK-signaturen mot enhetens godkännandenyckel och utvärderar om PCR-värdena motsvarar en godkänd startkonfiguration, vilket möjliggör verifiering av enhetens hälsa med nollförtroende.