Философы прошлого любили рассуждать о свободе. «Те, кто готов отдать свою свободу, чтобы приобрести недолговечную защиту от опасности, не заслуживают ни свободы, ни безопасности», - утверждал Бенджамин Франклин. «Человек не может быть то рабом, то свободным. Он или свободен - или его нет вообще», - категорично заявлял Жан-Поль Сартр. «Свобода есть осознанная необходимость», - приводили цитату Бенедикта Спинозы марксисты.

Что такое свобода? Важно ли человеку быть свободным, и готов ли он обменять свободу на безопасность? К размышлению на эту тему подтолкнул не замеченный широкой общественностью повод. Летом нынешнего года завершилось голосование Технического комитета JTC1 об утверждении, в предусмотренном процедурой PAS упрощенном порядке, новой версии стандарта ISO/IEC 11889:2015, которую представил консорциум Trusted Computing Group (TCG), основанный американскими компаниями AMD, Cisco, HP, IBM, Intel, Microsoft и Wave Systems. И 29 июня в Портленде (шт. Орегона) TCG объявил, что его стандарт Trusted Platform Module (TPM) 2.0 окончательно утвержден в качестве международного.

Преимущества TPM

TPM - это название спецификации, описывающей криптомодуль, в котором хранятся криптографические ключи для защиты информации. Можно сказать и проще: это модуль информационной безопасности, который может быть установлен в серверы, персональные компьютеры, сетевые и мобильные устройства. Он поддерживает удаленную аттестацию, обеспечивающую связь аппаратных и программных средств компьютера.

Модуль удобен для правообладателей, так как позволяет проверять лицензионность программных средств, контролировать незаконное копирование музыки, фильмов или компьютерных игр. Он однозначно определяет компьютер и позволяет аутентифицировать пользователя. При этом TPM дает возможность генерировать ключи, имеет функции хеширования, генерации случайных чисел.

Аппаратные возможности TPM весьма ограничены по мощности и не позволяют непосредственно шифровать большие объемы данных с высокой скоростью. Функцию массового шифрования файлов на дисках можно выполнять программой Windows Bitlocker. При этом используемые криптоключи сами шифруются с помощью TPM, что исключает вероятность их кражи.

Таким образом, TPM может в связке с Windows Bitlocker шифровать диск, защищать данные при потере или краже компьютера, ПО от модификации и поражения вирусами, а также банковские и почтовые программы.

Модуль способен подтвердить подлинность компьютера и даже его работоспособность ещё до получения доступа в сеть. В целом он существенно повышает безопасность пользователей, особенно тех, кто мало разбирается в вопросах ИБ и не может решить их самостоятельно.

Действительно, TPM вещь важная и полезная. Существенно повышающая безопасность пользователя. Но возникает вопрос цены безопасности. Если человек устанавливает веб-камеру у себя в доме, он повышает безопасность своего жилья. Он может все время удаленно контролировать квартиру и вызвать полицию в случае появления воров. Но если у него перехватят возможность управления веб-камерой, то из устройства обеспечения безопасности она может превратиться в устройство слежки. Собранная информация о человеке - соответственно в средство контроля и управления. А в камеру, правда, скорей в тюремную, превращается сама его квартира.

Позиция Германии

Результат голосования Технического комитета ISO/IEC JTC1 был предсказуемым. Против проголосовала только Германия. Россия воздержалась, впрочем, ее голос «против» все равно ничего бы уже не решил. Большинство поддержало позицию американцев. Не помогла и беспрецедентная акция - рассылка членам комитета закрытого письма от официальных представителей федерального министерства внутренних дел и федерального министерства экономики и энергетики ФРГ с просьбой «похоронить» проект. Информация об этом документе просочилась в немецкую печать и наделала много шума.

На государственном уровне наличие такого письма было опровергнуто немецкими властями, впрочем, чего еще в таком случае можно ожидать от официальной власти. В тексте немецкого письма, имеющегося в распоряжении редакции и в подлинности которого у нас нет оснований сомневаться, написано, что «...представленные в проекте стандарта спецификации недостаточно проработаны для принятия решения; в частности, в результате тщательного рассмотрения вопроса у нас есть основания полагать, что их реализация может значительно ухудшить возможность управления защищаемой ИКТ-системой, а также потенциально приводить к ситуациям полного блокирования работы системы, осуществляемого в интересах некоторых производителей средств вычислительной техники. Помимо этого мы считаем, что потенциальное влияние предложенных спецификаций на уровень обеспечения конфиденциальности персональных данных и безопасности ИТ может оказаться весьма проблематичным, и опасаемся того, что это войдёт в противоречие с соответствующими нормами законодательства Германии».

При этом немецкие ИБ-специалисты не выступали против TPM в принципе. Их устраивал предыдущий стандарт TPM 1.2, при котором пользователь оставлял за собой полный контроль за своей платформой. Модуль TPM можно было просто отключить. В стандарте TPM 2.0 это уже не получится.

Кроме того, у них вызывал опасение сам подход к разработке стандарта, в котором участвовали только американские компании. Журналисты Zeit сообщили, что немецкое правительство пыталось принять участие в разработке TPM 2.0, однако получило отказ. Они же указали на активное сотрудничество разработчиков стандарта с АНБ США и привели оценки безопасности TPM 2.0 со стороны независимых экспертов. Издание предупредило, что TPM можно рассматривать как бэкдор и есть большая вероятность, что доступ к криптографическим ключам имеет АНБ.

Форточки и окна

Экспертов немецкого федерального ведомства по безопасности в информационных технологиях (BSI) настораживало, что с переходом на спецификацию TPM 2.0 этот стандарт становится обязательным для всех устройств под Windows 8.1 и выше, причем данная функция не подлежит дезактивации.

Фактически компьютер с TPM 2.0 нельзя рассматривать как устройство, находящееся под полным контролем пользователя. Были высказаны опасения, что Windows 8 с TPM 2.0 может позволять Microsoft управлять компьютером удаленно через встроенный черный ход.

Китайские эксперты также читали о немецком предупреждении. Они исследовали проблему, разобрались в деталях и приняли решение. В мае 2014 г. китайское правительственное агентство Синьхуа сообщило о запрете установки Windows 8 на правительственные компьютеры. А это скорее всего компьютеры, принадлежащие не только государству, но и тем структурам, которые государством контролируются, - крупнейшим банкам, предприятиям сферы ИБ, телекома, а также и другим компаниям, желающим следовать рекомендациям своего правительства.

В другом внутреннем документе BSI, полученном немецким изданием, говорится: «Windows 7 может управляться безопасно до 2020 г. После этого для администрирования ИТ-систем должны быть найдены другие решения». А на сайте BSI прямо написано, что механизм работы Windows 8 с TPM 2.0 «может быть использован для диверсий со стороны третьих лиц» и что специалисты считают недопустимым применение новой версии TPM правительственными организациями и объектами критически важной инфраструктуры. Так что, похоже, немцы и китайцы не будут спешить обновлять Windows 7 в госсекторе даже до Windows 8.

Позиция России

Чтобы узнать позицию России, мы обратились к экспертам - членам Технического комитета ISO/IEC JTC1, российским компаниям «Аквариус» и «Крафтвэй» и к компании Microsoft с просьбой прокомментировать серьезность опасений Германии и Китая относительно нового стандарта.

К сожалению, эксперты или проигнорировали наши вопросы, или заявили, что отказываются на них отвечать. Единственный специалист, согласившийся на интервью, - независимый эксперт по кибербезопасности в автоматизированных системах управления Вадим Подольный .

Чем хорош и чем опасен TPM?

TPM, будь то наиболее распространенный сейчас TPM 1.2 или внедряемый TPM 2.0, это технологический стандарт, продвигаемый крупными американскими компаниями. По сути TPM - это отдельный модуль, который интегрируется в компьютеры.

Сейчас у нас кроме ПК, серверов, терминалов, сетевых маршрутизаторов появилось еще много новых компонентов, подключенных к сети. Это контроллеры для промышленной автоматизации, устройства Интернета вещей, устройства, которые отвечают за здоровье человека, - кардиостимуляторы, глюкометры, встроенные в часах... Вследствие вмешательства хакера они могут ложно сработать или, наоборот, ложно не сработать. Модули доверия TPM решают важную задачу - доверия к данным, доверия к системе, подтверждая, что она сработает корректно.

Идея TPM правильная. Должны быть стандартные модули, которые обеспечивают юридическую значимость информации. Сама концепция такова: сделать модуль, который сложно сделать хакерам и сделать который может только крупное государство. Это как купюра, как метод защиты денег. В этом нет ничего плохого.

Вопрос в другом. В Windows 7 была иконка «Мой компьютер». В Windows 10 она называется «Этот компьютер». Это уже не ваш компьютер. Нам навязывают технологии, которые будут обеспечивать нашу безопасность вне зависимости от того, хотим мы этого или нет. Вроде как государство вводит сухой закон и говорит, что теперь вы не будете пьянствовать, так как обществу нужны здоровые солдаты. Так и тут.

Если ваш компьютер захватывают, значит, он кому-то для чего-то нужен. Возможно, чтобы за вами следить. Если вы не можете отключить этот функционал, то это не средство защиты. Это пассивное средство нападения. Сбор информации - это поиск точки для нападения. Microsoft отбирает у вас компьютер за ваши же деньги. Она продает вам свою операционную систему и забирает у вас контроль.

Можно ли проверить, есть в TPM-модуле бэкдор или нет?

Можно проанализировать стандарт. Но когда к вам приходит компьютер, в чью материнскую плату впаян модуль TPM, произведенный не на предприятии, которое вы контролируете, - вы не знаете, что там внутри. Туда могут добавить что угодно.

Но добавить закладку можно и в любой процессор или контроллер?

Да, конечно. И подход должен быть таким же. В военных системах регуляторы никогда не разрешат применять чип, сделанный неизвестно кем, пусть даже по открытому стандарту. Поэтому у нас появляются процессоры «Байкал» и «Эльбрус». Инженерных сил России достаточно, чтобы спроектировать свой TPM. Пока мы не можем сделать его на наших заводах. Как и процессор. Но мы можем спроектировать, а потом проверить - сделали ли нам так, как нам было нужно, или туда что-то добавили. Такой механизм уже позволит использовать TPM.

А что нам делать сейчас, когда своего TPM у нас нет?

Используемые повсеместно аналоги TPM, во многом выполняющие его роль, - это аппаратные модули доверенной загрузки. Они используются даже сейчас, когда на материнских платах появились TPM.

Появилась также и возможность модифицирования BIOS, появилась технология UEFI, стандарт, который позволяет создавать модули доверенной загрузки программно. Фактически в них можно разместить программы, эмулирующие работу TPM, что и делается во многих разработках. Например, в операционной системе seOS, сертифицированной ФСБ.

А что насчет российского модуля TPM?

У нас и сейчас в России есть компании, которые для своих проектов заказывают материнские платы. Например, «Аквариус», «Крафтвэй», «Т-Платформы», МЦСТ и другие. Каждая из них вполне в состоянии спроектировать свой модуль TPM. И он наверняка будет создан в ближайшее время, с поддержкой отечественных ГОСТированных криптографических алгоритмов. А это важно не только для оборонных предприятий, но и для широкого круга потребителей, обязанных выполнять положения закона 152-ФЗ «О персональных данных».

А почему против стандарта TPM 2.0 так резко выступили немцы?

Очень просто. Они хотят защищать свои данные и технологии от США. Помните, как появился SUSE Linux? Это произошло после того, как выяснилось, что при передаче документов из одного департамента Бундесвера в другой информация сначала оказывалась в АНБ. Тогда в Германии была создана SUSE Linux и ведомство было переведено на работу с этой ОС.

В Linux начиная с ядра 3.2 тоже анонсирована поддержка TPM 2.0. Но ее можно отключить. А в ОС Windows выше восьмёрки нельзя. Windows очень удобная операционная система для пользователя. Она замечательно продумана. Десятки тысяч программистов работают над тем, чтобы пользователям было удобно и комфортно. Но любое изменение, которое принудительно навязывают, говоря, что это для вашей безопасности, напрягает. И специалистов, и должностных лиц, и правительства.

Чтобы не бояться TPM, нужно заняться специальными исследованиями, провести проверку и выяснить, есть там что-нибудь опасное или нет. Это вполне стандартная процедура. Иногда она исполняется с выездом на производство. Это нормальная практика, когда представители страны приезжают в страну производителя и какое-то время сидят на производстве, разбираются в процессах.

А кто этим будет заниматься?

Это может быть интересно крупным коммерческим компаниям. Я думаю, какие-то исследовательские работы в таком формате уже идут. А государству это сразу не интересно, так как там нет нашей криптографии, поэтому для оборонных отраслей существующие модули не годятся.

А можно ли использовать компьютеры с TPM в госорганах?

Вопрос использования TPM в госорганах довольно сложен. Думаю, что в следующих редакциях TPM уже появится возможность подмены криптоалгоритмов. Можно уже сейчас заново прошить BIOS и добавить свои компоненты. Так будет и в TPM. Что касается текущего использования в госсекторе - об этом говорить рано. Но заниматься исследованием возможности собственной реализации стандарта нужно. А также необходимо участвовать в разработке следующей его версии. Чтобы иметь возможность зашивать нашу криптографию в чужой TPM.

... В целом позиция понятная. TPM - новый уровень в обеспечении безопасности. Государство как-нибудь решит вопрос в оборонке, а остальные будут пользоваться тем, что есть. В большинстве случаев от диких хакеров TPM защитит (в тех вопросах защиты, которые обеспечивает TPM), а от внимания Большого брата все равно никуда не денешься.

Сам консорциум, который стартовал как чисто американский проект, расширяется. В настоящий момент в составе TCG числятся 11 членов в статусе Promoter (AMD, Cisco, Fujitsu, HP, IBM, Infenion, Intel, Juniper, Lenovo, Microsoft и Wave Systems) и 74 члена в статусе Contributor. В этих списках появились японские и китайские компании. Но российских представителей там по-прежнему нет.

Свобода или безопасность? Времена экзистенциалистов Сартра и Камю, которые выбирали «дороги свободы» и изучали свободного человека, стоящего на грани «ничто», ушли в прошлое вместе с прошедшим веком. Большинство людей выбрало безопасность. И сейчас спорит лишь о длине поводка. Так что для массового пользователя проблемы TPM не существует. Но вот государству должен быть не безразличен вопрос, на чьем поводке находятся его госструктуры. Да и его граждане тоже.

Статья:

От редакции портала VM Guru : данная статья Андрея Луценко, специалиста в области информационной безопасности, в том числе виртуальных сред, рассказывает нам о потенциальной уязвимости многих программно-аппаратных комплексов от рабочих станций до серверных систем. На наш взгляд, материал является уникальным, интересным и актуальным на сегодняшний день для многих окружений требующих повышенного внимания к информационной безопасности. Благодарим Андрея за предоставленный ценный материал. Для связи с автором используйте информацию раздела " ".

С помощью Гипердрайвера можно контролировать протоколы работы различных устройств, причем контролировать даже устройства, предназначенные для защиты вычислительных систем, имеющие специальные системы защиты от нелегального вмешательства,- не только ТРМ модули, но и различные Смарт-карты, всевозможные Токены.

Демонстрационная версия гипердрайвера «Красная пилюля» в варианте контроля устройств модифицирована, и на платформу виртуализации навешаны специфические обработчики, контролирующие адресные пространства ТРМ модуля, при попытках любых программных средств обратиться к данным аппаратным ресурсам, гипердравер регистрирует эти события в дампе, дамп можно просмотреть через Гиперагент.

Кроме регистрации аппаратного события регистрируется адрес команды в программном модуле, выполняющем данное обращение к аппаратуре. Гиперагент позволяет просмотреть эти программные модули и при необходимости сохранить их в файле для дальнейшего анализа.

Самым распространенным программным средством, использующим ТРМ модуль для хранения ключей шифрования является Bitlocker именно за работой этой программы и наблюдает гипердрайер «Красная пилюля» на приведенных ниже скриншотах.

Протокол работы Битлокера с ТРМ модулем

Первоначально Битлокер (на этапе загрузки ОС) пользуется функциями БИОС для считывания ключей шифрования дисков из ТРМ модуля, работа идет через адресное пространство портов ввода/вывода.
После загрузки ядра ОС операционная система начинает сама работать с модулем по протоколу 1.2., и обмен информацией осуществляется уже через адресное пространство MMIO.

Протокол активации ТРМ модуля (кликните, чтобы развернуть картинку)

Также контролируется администрирование ТРМ модуля специальной службой Windows, к примеру, зарегистрирован протокол инициализации чистого ТРМ модуля и ввода в него ключа активации. По аналогии можно элементарно считать с ТРМ модуля и другие ключи шифрования, активации, но это только те ключи, которыми ТРМ модуль обменивается с ОС. Ключи, которые не выходят из ТРМ модуля, можно прочитать, регистрируя протокол резервного копирования на внешний носитель содержимого ТРМ модуля.

Из предыдущего текста может показаться, что данная тема не актуальна для нашей страны, поскольку ТРМ модули запрещены к применению, а иные импортные средства защиты информации применяются только для конфиденциальных данных.

Основой же Российской информационной безопасности являются модули доверенной загрузки (МДЗ) типа «Аккорд», «Соболь» и др. Кроме этого, непробиваемые методы отключения локальных сетей от внешних линий доступа в Интернет по замыслам архитекторов систем информационной безопасности полностью устраняют все риски внешнего проникновения.

Но, «О УЖАС» , эти непробиваемые средства Российской инженерной и административной мысли легко обходятся гипердрайверами и защита трещит по швам (собственно защиты уже давно как таковой нет - есть только многомиллионный бизнес).

Кроме этого, информационная безопасность, как институт Государственной политики, превратилась в полнейшую фикцию, - в рамках старинной русской поговорки: «Строгость законов компенсируется необязательностью их исполнения».

Конкретный пример:

Использование на территории России средств криптографии и установок, содержащих в своем составе такие средства, возможен только на основании лицензии (Указ Президента Российской Федерации от 3 апреля 1995 г .), либо нотификации .

В этой модели производитель устанавливает ТРМ модуль на плату и поставляет ноутбук в Россию их по процедуре нотификации, сообщая, что данное устройство отключено производителем на этапе производства:

На плате CF-52 установлен ТРМ модуль производства Infineon SLB 9635 TT1.2

В этой дорогой и продвинутой модели ноутбука ТРМ модуль можно сделать работоспособным в Операционной Системе нехитрыми манипуляциями с ACPI таблицами БИОС, что и демонстрируется ниже.

Из приведенных выше слайдов видно, что импортер в своей нотификации слукавил, а контролирующие Государственные Органы «лоханулись».

Более того, разрешение ввозить якобы отключенные ТРМ модули - это серьезная угроза для информационной безопасности страны, поскольку эти якобы «отключенные» ТРМ модули используются системами удаленного управления вычислительными установками от ноутбука до сервера включительно. В системах дистанционного управления они отвечают за разрешение удаленному узлу получить контроль над вычислительной установкой.

Но хватит о грустном, есть область, в которой технология аппаратной виртуализации может серьезно помочь. Фактически можно если не поставить крест на вирусах, то серьезно усложнить им жизнь (именно на вирусах а не троянах и прочей дряни эксплуатирующей дурость и некомпетентность пользователя).

Описание гипердрайвера для решения этой благородной антивирусной задачи будет дано в следующей статье.

Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.

TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.

Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.

Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.

В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup . Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign . Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.

Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).

Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).

Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.

При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации.

Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.

Логично предположить, что сам чип TPM на материнской плате ничего не решает. Нужна поддержка со стороны остального «железа» и математики – программного обеспечения.

Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).

Что касается ОС, технология TPM поддерживается большинством современных операционных систем – Windows Vista, Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux (начиная с версии 9.2) и Enterprise Linux (начиная с версии 3 update 3).

Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).

В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.

В следующем руководстве описывается использование служб TPM в Windows Vista:

В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:

Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).

Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).

Рис. П41. Материнская плата ASUS M2N32-SLI Premium (с поддержкой TPM)

Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.

Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.

Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.

В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.

Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.

Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.

Примечания:

Прежде чем приступить к чтению этой книги, стоит поговорить о единицах измерения информации. Базовая единица измерения информации – это один бит. Бит может содержать одно из двух значений – или 0, или 1. Восемь битов формируют байт. Этого количества битов достаточно, чтобы с помощью ноликов и единичек закодировать 1 символ. То есть в одном байте помещается 1 символ информации – буква, цифра и т. д. 1024 байта – это один килобайт (Кб), а 1024 килобайта – это 1 мегабайт (Мб). 1024 мегабайта – это 1 гигабайт (Гб), а 1024 гигабайта – это 1 терабайт (Тб).

Обратите внимание: именно 1024, а не 1000. Почему было выбрано значение 1024? Потому что в компьютере используется двоичная система счисления (есть только 2 значения – 0 и 1), 2 в 10-й степени – это и есть 1024.

Не всегда, но часто большая буква «Б» при указании единицы измерения информации означает «байт», а маленькая – «бит». Например, 528 Мб – это 528 мегабит, если перевести эту величину в мегабайты (просто разделите на 8), то получится 66 мегабайтов (66 МБ).

2,5-дюймовый жесткий диск Momentus 5400 FDE.2 (full disk encryption) от Seagate поставляется в составе ноутбуков ASI C8015+ (стоимость ноутбука примерно 2100 долларов). Винчестер обладает встроенной системой динамического шифрования с аппаратным ускорением и поддержкой TPM. Кроме того, в состав ноутбука включена система считывания отпечатков пальцев, что делает его примерно на 20 % дороже обычного ноутбука с такой же конфигурацией. Размер жесткого диска Momentus может быть 80, 100, 120 и 160 Гб. Используется интерфейс SATA 3 Гбит/с.

Главная особенность Momentus FDE.2 заключается в шифровании/дешифровании записываемой и считываемой информации с помощью алгоритма AES со 128-битным ключом на уровне микропрограммного обеспечения (firmware) DriveTrust. Шифрование данных производится абсолютно прозрачно, то есть незаметно для пользователя. В открытом (незашифрованном) виде информация представляется только в приложениях. На жестком диске данные хранятся только в зашифрованном виде.

Обычно процесс программного шифрования существенно снижает производительность системы (кто работал с PGPDisk, тот понимает, о чем идет речь). Но поскольку в случае с Momentus FDE.2 шифрование осуществляется на аппаратном уровне, то это увеличивает загрузку центрального процессора всего на несколько процентов.

При загрузке TPM-системы пользователь должен ввести свой пароль. Пароль нужен не только для продолжения загрузки, но и для дешифрования данных. Раньше тоже можно было установить пароль в SETUP, без которого невозможна загрузка операционной системы. Но ведь можно было снять жесткий диск и подключить его к другому компьютеру. Если не применялись какие-либо криптографические средства, то считывание информации с жесткого диска не представляло проблем. В случае с TPM, даже если вы снимете HDD и подключите его к другому компьютеру, вы не сможете прочитать информацию, поскольку она зашифрована, а вы не знаете пароля для ее расшифровки.

А что делать, если пользователь забыл пароль? Тогда можно применить главный пароль. А если забыт главный пароль (или вы его попросту не знаете), тогда…

Кроме того, предусмотрена функция crypto-erase, которая предназначена для уничтожения всех данных с жесткого диска. Такая операция необходима при списании винчестера или при передаче его другому пользователю.

Постоянно растущее количество «червей», вирусов и элементарных дыр в современных операционных системах и сетевых сервисах заставляет ИТ-специалистов разрабатывать все новые и новые средства информационной безопасности. Ранее использовались преимущественно программные решения – аппаратно-программные были доступны далеко не всем. Сейчас же благодаря технологии TPM (Trusted Platform Module) данные решения пришли в массы и стали доступны каждому. В этом приложении мы поговорим о том, что такое TPM и почему имеет смысл использовать эту технологию на предприятии.

TPM представляет собой микроконтроллер, предназначенный для реализации основных функций по обеспечению безопасности с использованием ключей шифрования. Чип TPM устанавливается на материнской плате компьютера и осуществляет взаимодействие с остальными компонентами системы через системную шину.

Концепция «доверяемых платформенных модулей» (именно так переводится на русский язык аббревиатура TPM) принадлежит консорциуму Trusted Computing Group (TCG), который существует с 2004 года.
Сама технология TPM появилась не в 2004 году, а раньше. В 1999 году был создан Альянс доверяемых компьютерных платформ (Trusted Computing Platform Alliance, TCPA). В этот альянс входили важнейшие разработчики аппаратного и программного обеспечения – IBM, HP, Microsoft и др. Несмотря на именитость участников, деятельность альянса напоминала известную басню о лебеде, раке и щуке: каждый «тянул воз» на себя (каждый член альянса имел право отменить решение, принятое другими членами), поэтому TPM развивалась довольно неспешно.

(adsbygoogle = window.adsbygoogle || ).push({});

В 2004 году альянс TCPA был преобразован в консорциум TrustedComputingGroup. Структура этой организации была другой. Важные решения могут принимать только избранные компании (они называются промоутерами – promoters). Такими компаниями сейчас являются Intel, HP, IBM, AMD, Seagate, Sony, Sun, Microsoft и Verisign. Остальные компании (их более тысячи) имеют право лишь участвовать в разработке черновых спецификаций или просто получать более ранний доступ к новым разработкам.
Основным результатом деятельности TCPA/TCG является «доверяемый платформенный модуль», который раньше назывался «чипом Фрица» (Fritz Chip). Назван он был в честь американского сенатора Фрица Холлингса (Fritz Hollings), известного своей поддержкой системы защиты авторских прав на цифровую информацию (Digital Rights Management, DRM).

Основная задача TPM – это создание безопасного компьютера, в котором проверяются и защищаются все процессы связи, а также аппаратное и программное обеспечение. Под защитой связи подразумевается не процесс защиты сетевого соединения, а защита процесса взаимодействия между отдельными частями системы (например, ОС).
Модуль TPM может использоваться и для проверки целостности и авторства данных. Доступ к данным должны иметь только авторизиро-ванные пользователи, при этом должна обеспечиваться безопасность передачи самой информации. Проверка целостности обеспечит защиту системы от вирусов, «червей» и других программ, изменяющих данные без уведомления пользователя.
При разработке TPM не ставилась задача создать модуль только для предохранения персональных компьютеров или ноутбуков от вирусов – данную технологию можно использовать для обеспечения безопасности мобильных телефонов, КПК, устройств ввода, дисковых накопителей. Вместе с ним можно применять устройства биометрической идентификации. Защитой сетевых соединений занимается отдельное подразделение TCG – Trusted Network Connect (TNC). Мы не будем рассматривать плоды деятельности TNC, а ограничимся только TPM.

Например, вы можете установить жесткий диск с поддержкой TPM (рис. П37). Такие жесткие диски уже давно выпускает Seagate (Momentus 5400 FDE.2). Но Seagate – далеко не един ственный производитель винчестеров с функцией шифрования. Другие производители, например Hitachi, также выпускают «криптографические накопители». Так что выбор «железа» у вас есть (прочитать о других производителях аппаратного и программного обеспечения с поддержкой TPM можно на сайте www.tonymcfadden.net).

Как работает TPM

Как уже отмечалось, модуль TPM реализуется в виде чипа на материнской плате. Чип TPM интегрируется в процесс загрузки компьютера и проверяет хэш системы с помощью алгоритма SHA1 (Secure Hash Algorithm), он вычисляется на основании информации обо всех компонентах компьютера, как аппаратных (процессора, жесткого диска, видеокарты), так и программных (ОС).
В процессе загрузки компьютера чип проверяет состояние системы, которая может быть запущена только в проверенном режиме (authorized condition), что возможно лишь в случае обнаружения правильного значения хэша.

Настройка TPM в Windows

В следующем руководстве описывается использование служб TPM в Windows Vista:
http://www.oszone.net/display.php?id=4903.
В Windows Vista и Windows Server 2008 применяется технология шифрования дисков BitLocker, которая тесно взаимосвязана с доверяемыми модулями (рис. П38). О настройке BitLocker в Windows Server 2008 и Vista (рис. П39, П40) можно прочитать здесь:
http://www.securitylab.ru/contest/300318.php; http://www.oszone.net/4934/VistaBitLocker.

Готовые системы с поддержкой TPM

Готовые TPM-компьютеры уже давно есть в свободной продаже: как ноутбуки, так и настольные компьютеры. Обычно такие системы выпускаются именитыми производителями вроде HP, поэтому их цена может быть слегка завышена (доплата «за марку»).
Желающим сэкономить можно порекомендовать купить «железо» с поддержкой TPM и собрать все вместе самостоятельно. Необходимые материнские платы выпускаются многими производителями, например ASUS (M2N32-SLI Premium), MSI (Q35MDO) и др (рис. П41).

Зачем нужна TPM

Во-первых, TPM – это повышение общей безопасности системы и дополнительная, реализованная на аппаратном уровне защита от вирусов, «троянов» и прочей компьютерной нечисти. А на безопасности, особенно на предприятии, как мы знаем, экономить не стоит.
Во-вторых, TPM – это шифрование данных на жестком диске. TPM позволяет найти компромисс между безопасностью и производительностью.
Поскольку шифрование осуществляется на аппаратном уровне, это практически не отражается на производительности.
В-третьих, с помощью TPM можно вообще обойтись без пароля, использовав вместо него отпечаток пальца пользователя. Согласитесь, довольно эффективное решение. Вчера подобные системы мы видели в наполовину фантастических фильмах, а сегодня – это уже реальность.

Важно помнить, что TPM не универсальное средство и не панацея от всех компьютерных невзгод. Хороший антивирус и брандмауэр никто не отменял. TPM разрабатывался больше для защиты интересов софтварных гигантов: дабы не позволить пользователю запускать нелицензионный софт. С этой точки зрения еще не ясно, TPM – это хорошо или плохо, учитывая количество нелицензионных программ на наших просторах. Давайте будем смотреть правде в глаза – пиратского софта очень много.
Также не нужно забывать о человеческом факторе. Человек может намеренно сообщить пароль к своей системе или записать его где-то на желтой бумажке, которую приклеит к монитору, или просто установить очень простой пароль, который несложно подобрать. В этой ситуации TPM точно не поможет. Тут на помощь приходит софт, а именно системы контроля доступа, но это – другая история.

Если у вас есть ноутбук или ПК с поддержкой TPM, и вы получаете сообщение в Центре безопасности Windows Defender, в котором сообщается, что вам необходимо обновить свой процессор безопасности или прошивку TPM, вам следует обновить его по приоритету. В этом руководстве я расскажу, как можно очистить TPM и обновить прошивку безопасности TPM .

Что такое TPM в Windows 10?

Trusted Platform Module (TPM) - является специализированным чипом. TPM обычно устанавливается на системную плату компьютера и взаимодействует с остальными компонентами системы с помощью аппаратной шины. Он может хранить ключи шифрования RSA, специфичные для хост-системы и аппаратной аутентификации. Чип TPM также содержит "пару" ключей RSA, называемую ключом подтверждения . Пара поддерживается внутри чипа и не может быть доступна с помощью программного обеспечения. Короче говоря, он может хранить важные данные, включая отпечатки пальцев, данные о лицах и т. д.

Как проверить есть ли TPM на компьютере?

Нажмите сочетание кнопок Win + R и введите tpm.msc. Модуль TPM может находиться в одном из следующих состояний: Готов к использованию , Готов к использованию в режиме ограниченной функциональности и Не готов к использованию . Чтобы воспользоваться большинством функций TPM в Windows 10, модуль TPM должен быть Готов к использованию .

Важно: Если у вас будет модуль, то вы сможете обновить и очистить TPM именно в этих параметрах справа. По этому вы можете не прибегать ниже к пунктам. Но если что пойдет не так, ниже пункты именно для вас.

Примечание: При включении TPM могут быть проблемы с bitlocker, отключите bitlocker при включении модуля TPM.

Как обновить прошивку процессора безопасности TPM

Обновление для TPM обычно содержит исправление для уязвимости безопасности, которая может повлиять на безопасность операционной системы. В этом обновлении будет рассмотрена уязвимость, которую вам необходимо будет загрузить и установить. Также возможно, что обновления прошивки отправляются OEM-производителями, которые быстрее по сравнению с Windows Update.

Загрузка и установка обновлений для Windows

Это лучший способ обновить ваш TPM. Если у вас отключены автоматические обновления, то обновите windows до последней версии через центр обновления Windows или , через каталог micosoft.

Установка обновлений прошивки OEM-производителями

Многие OEM-производители, включая Microsoft, предлагают обновления встроенного ПО отдельно. Если обновление прошивки TPM не было включено в Центр обновления Windows, то вам придется вручную загрузить и применить его. Ниже приведен список OEM-производителей, с которых вы можете загрузить обновление.

• Microsoft Surface Devices
• Acer
• Fujitsu
• HP Customer Support
• HP Enterprise Support
• Lenovo
• Panasonic
• Toshiba

Как очистить TPM

После того как вы установили обновление прошивки либо через Центр обновления Windows, либо с веб-сайта OEM, вам также потребуется очистить TPM. Это важно для обеспечения безопасности данных. Очистка вашего TPM приведет к сбросу вашего процессора безопасности до его настроек по умолчанию.

• Откройте Защитник Windows 10, перейдите Безопасность устройств . Далее найдите Устранение неполадок процессора безопасности и нажмите Очистить TPM. Перед завершением процесса необходимо перезагрузить устройство.

Очистить TPM с помощью PowerShell

Есть команда, которая сбрасывает модуль Trusted Platform Module в состояние по умолчанию и удаляет значение авторизации владельца и все ключи, хранящиеся в модуле TPM. Эта команда использует значение авторизации владельца, хранящееся в реестре, вместо указания значения или использования значения в файле.

• Откройте PowerShell от имени администратора и введите Clear-Tpm.