Информационная безопасность: Trusted Platform Module и Red Pill. Часть 2.

Статья:

От редакции портала VM Guru : данная статья Андрея Луценко, специалиста в области информационной безопасности, в том числе виртуальных сред, рассказывает нам о потенциальной уязвимости многих программно-аппаратных комплексов от рабочих станций до серверных систем. На наш взгляд, материал является уникальным, интересным и актуальным на сегодняшний день для многих окружений требующих повышенного внимания к информационной безопасности. Благодарим Андрея за предоставленный ценный материал. Для связи с автором используйте информацию раздела " ".

С помощью Гипердрайвера можно контролировать протоколы работы различных устройств, причем контролировать даже устройства, предназначенные для защиты вычислительных систем, имеющие специальные системы защиты от нелегального вмешательства,- не только ТРМ модули, но и различные Смарт-карты, всевозможные Токены.

Демонстрационная версия гипердрайвера «Красная пилюля» в варианте контроля устройств модифицирована, и на платформу виртуализации навешаны специфические обработчики, контролирующие адресные пространства ТРМ модуля, при попытках любых программных средств обратиться к данным аппаратным ресурсам, гипердравер регистрирует эти события в дампе, дамп можно просмотреть через Гиперагент.

Кроме регистрации аппаратного события регистрируется адрес команды в программном модуле, выполняющем данное обращение к аппаратуре. Гиперагент позволяет просмотреть эти программные модули и при необходимости сохранить их в файле для дальнейшего анализа.

Самым распространенным программным средством, использующим ТРМ модуль для хранения ключей шифрования является Bitlocker именно за работой этой программы и наблюдает гипердрайер «Красная пилюля» на приведенных ниже скриншотах.

Протокол работы Битлокера с ТРМ модулем

Первоначально Битлокер (на этапе загрузки ОС) пользуется функциями БИОС для считывания ключей шифрования дисков из ТРМ модуля, работа идет через адресное пространство портов ввода/вывода.
После загрузки ядра ОС операционная система начинает сама работать с модулем по протоколу 1.2., и обмен информацией осуществляется уже через адресное пространство MMIO.

Протокол активации ТРМ модуля (кликните, чтобы развернуть картинку)

Также контролируется администрирование ТРМ модуля специальной службой Windows, к примеру, зарегистрирован протокол инициализации чистого ТРМ модуля и ввода в него ключа активации. По аналогии можно элементарно считать с ТРМ модуля и другие ключи шифрования, активации, но это только те ключи, которыми ТРМ модуль обменивается с ОС. Ключи, которые не выходят из ТРМ модуля, можно прочитать, регистрируя протокол резервного копирования на внешний носитель содержимого ТРМ модуля.

Из предыдущего текста может показаться, что данная тема не актуальна для нашей страны, поскольку ТРМ модули запрещены к применению, а иные импортные средства защиты информации применяются только для конфиденциальных данных.

Основой же Российской информационной безопасности являются модули доверенной загрузки (МДЗ) типа «Аккорд», «Соболь» и др. Кроме этого, непробиваемые методы отключения локальных сетей от внешних линий доступа в Интернет по замыслам архитекторов систем информационной безопасности полностью устраняют все риски внешнего проникновения.

Но, «О УЖАС» , эти непробиваемые средства Российской инженерной и административной мысли легко обходятся гипердрайверами и защита трещит по швам (собственно защиты уже давно как таковой нет - есть только многомиллионный бизнес).

Кроме этого, информационная безопасность, как институт Государственной политики, превратилась в полнейшую фикцию, - в рамках старинной русской поговорки: «Строгость законов компенсируется необязательностью их исполнения».

Конкретный пример:

Использование на территории России средств криптографии и установок, содержащих в своем составе такие средства, возможен только на основании лицензии (Указ Президента Российской Федерации от 3 апреля 1995 г .), либо нотификации .

В этой модели производитель устанавливает ТРМ модуль на плату и поставляет ноутбук в Россию их по процедуре нотификации, сообщая, что данное устройство отключено производителем на этапе производства:

На плате CF-52 установлен ТРМ модуль производства Infineon SLB 9635 TT1.2

В этой дорогой и продвинутой модели ноутбука ТРМ модуль можно сделать работоспособным в Операционной Системе нехитрыми манипуляциями с ACPI таблицами БИОС, что и демонстрируется ниже.

Из приведенных выше слайдов видно, что импортер в своей нотификации слукавил, а контролирующие Государственные Органы «лоханулись».

Более того, разрешение ввозить якобы отключенные ТРМ модули - это серьезная угроза для информационной безопасности страны, поскольку эти якобы «отключенные» ТРМ модули используются системами удаленного управления вычислительными установками от ноутбука до сервера включительно. В системах дистанционного управления они отвечают за разрешение удаленному узлу получить контроль над вычислительной установкой.

Но хватит о грустном, есть область, в которой технология аппаратной виртуализации может серьезно помочь. Фактически можно если не поставить крест на вирусах, то серьезно усложнить им жизнь (именно на вирусах а не троянах и прочей дряни эксплуатирующей дурость и некомпетентность пользователя).

Описание гипердрайвера для решения этой благородной антивирусной задачи будет дано в следующей статье.

Please enable JavaScript to view the

По оценке японской компании Trend Micro в 2002 году вредоносные программы принесли убыток в $378 млн. В 2004 году было насчитано 37,8 млн. инфицированных компьютеров, на 8% больше, чем в 2003. Если судить по месячной статистике, в этом году нас вновь ждёт увеличение числа заражённых компьютеров, однако уровень роста окажется меньше, чем в предыдущие годы, главным образом из-за контрмер. Для ИТ-менеджеров и администраторов заключение будет логичным: они должны предотвратить вторжение вируса, а также выполнение постороннего кода или частей программы.

В любом случае, подобный подход следует отличать от обычных мер безопасности вроде вирусных сканеров, межсетевых экранов и демилитаризованных зон (DMZ). Довольно большое число поставщиков ПО предлагают широкий диапазон продуктов по обеспечению безопасности, но результат пока далёк от удовлетворительного. И главной причиной этого можно считать, что ни одна из перечисленных концепций до сих пор не рассматривала как программную, так и аппаратную сторону проблемы. Ситуацию призвана изменить группа Trusted Computing Group с выпуском решений "доверяемый платформенный модуль" (Trusted Platform Module, TPM).


Рост числа инфицированных компьютеров (источник: Trend Micro, Inc.).

Разработки TCPA/TCG

Ассоциация Trusted Computing Platform Alliance (TCPA) была создана в 1999 году. В то время в ней участвовали важные игроки аппаратной и программной индустрии вроде HP, IBM, Microsoft и других. К сожалению, деятельность TCPA не оказалась успешной из-за структуры: любой из двухсот членов имел право отложить или отменить какое-либо решение. А достигнуть в некоторых сферах компромисса бывает очень сложно.

Именно поэтому в апреле 2004 года TCPA была преобразована в новый консорциум под названием Trusted Computing Group (TCG). В новой организации только немногие компании (названные "promoters") могут принимать решение. Сегодня в их число входят AMD, Hewlett-Packard, IBM, Intel, Microsoft, Seagate, Sony, Sun и Verisign. Оставшиеся члены, числом почти в тысячу, были названы "contributors" или "adopters". Они участвуют в работе над черновыми спецификациями или попросту получают ранний доступ к различным новым разработкам.

Среди результатов деятельности TCPA/TCG можно назвать "доверяемый платформенный модуль" (Trusted Platform Module, TPM), раньше называвшийся "чипом Фрица" (Fritz Chip). Фриц Холлингс (Fritz Hollings) - это американский сенатор, известный своей горячей поддержкой системы защиты авторских прав на цифрую информацию (digital rights management, DRM).

TPM обычно реализуется в виде чипа на материнской плате, который интегрируется в процесс загрузки системы. При включении компьютера он проверяет состояние системы (trusted).

Цели Trusted Computing Group

Одной из целей TCG было создание "безопасного компьютера" ("safe computer"), в котором аппаратное, программное обеспечение, а также все процессы связи проверяются и защищаются. Слово "связь" здесь следует понимать в общем смысле, поскольку сюда же относятся взаимодействия между различными частями ПО. Ниже приведены основные задачи, поставленные TCG.

  • Защита данных (Data security).
    Данные могут считывать только авторизованные пользователи. Должна обеспечиваться безопасность передачи данных на компьютер и с него. Личные данные не должны раскрываться.
  • Безопасность данных (Data safety).
    Аппаратное и программное обеспечение должно обеспечить надёжную работу с данными.
  • Целостность данных (Data integrity).
    Программное обеспечение и данные не должны изменяться без уведомления (скажем, под воздействием вирусов или "червей").
  • Авторство данных (Data authenticity).
    Должна существовать возможность проверить авторство получателя и отправителя, а также службы данных (через процесс "assignment"). Каждый чип TPM можно ясно идентифицировать, поэтому он вполне очевидно привязывается к системе.

Конечно, возможности доверяемой платформы не ограничены одним компьютером - сюда можно добавить все современные виды связи. Видение TCG охватывает мобильные телефоны и КПК, а также устройства ввода, накопители и сертификаты. В качестве расширений TPM могут использоваться устройства безопасности вроде считывателя отпечатка пальцев или радужной оболочки глаза. Усилия по разработке в этих направлениях легли на плечи подгрупп TCG. Одна из таких подгрупп - TNC (Trusted Network Connect), работающая над безопасностью сетевых соединений.

Следует отметить техническую проблему, которую часто смешивают с концепцией доверяемых компьютеров - DRM. Отметим, что задачей DRM является предотвращение несанкционированного копирования цифровой информации - фильмов, музыки, текста и т.д.

Конечно, технология доверяемых компьютеров даёт техническую почву для таких мыслей. Но пока что никто не решился на явную реализацию защиты авторских прав на цифровую информацию. Возможно, это связано с жёсткой критикой, которую получила Microsoft за платформу Palladium. Она была переосмыслена Microsoft и теперь существует под названием "Next Generation Secure Computing Base" (NGSCB). Но перед нами не что иное, как старая начинка в новой обёртке...


Шаги развития концепций безопасности (источник: Intel).

Современные разработки наглядно показывают развитие мер в области безопасности. В самом начале решения были чисто программными. Затем появились изолированные приложения с собственным аппаратным обеспечением - те же смарт-карты для работы в банковских программах.

Следующим шагом явились черновые намётки TP-модулей, которые в современном виде представляют решения вроде "чипа Фрица". Первым производителем аппаратного обеспечения, взявшим на вооружение Trusted Computing, стала компания IBM: ноутбук ThinkPad T23 был оснащён TP-модулем от Infineon.

Первым шагом дальше начальной концепции TPM стало введение технологии под названием Execute Disable Bit (XD) у Intel, Non Execute (NX) у AMD и Data Execution Protection (DEP) у Microsoft. Эта технология борется с атаками методом переполнения буфера: память разделяется на области, из которых может выполняться код, и из которых выполнение запрещено. Однако эта функция должна поддерживаться процессором, операционной системой и приложениями. Среди операционных систем функцию поддерживают Microsoft Windows Server 2003 SP1, Microsoft Windows XP SP2, Windows XP Professional x64, SUSE Linux 9.2 и Enterprise Linux 3 update 3.


Схема работы системы TCG.

Модули TPM (текущая версия 1.2) обеспечивают так называемый хэш (hash) для системы с помощью алгоритма SHA1 (Secure Hash Algorithm). Значение хэша получается из информации, полученной от всех ключевых компонентов вроде видеокарты и процессора, в сочетании с программными элементами (операционной системой, среди всего прочего).

Компьютер будет стартовать только в проверенном состоянии (authorized condition), когда TPM получит правильное значение хэша. В проверенном состоянии операционная система получает доступ к корневому ключу шифрования (encrypted root key), который требуется для работы приложений и доступа к данным, защищённым системой TPM. Если при загрузке было получено неправильное значение хэша, то система считается не доверяемой, и на ней будут работать только обычные, свободные файлы и программы.

Среди сегодняшних производителей модулей Trusted Platform (TPM) можно отметить Infineon, National Semiconductor (хотя его подразделение TPM было недавно продано Winbond) и Atmel. Кроме того, существуют чипы с интеграцией TPM от Phoenix/Award, процессоры от Transmeta и сетевые контроллеры от Broadcom, которые используются Hewlett-Packard. Seagate объявила о решении выпустить контроллеры жёстких дисков с интегрированной функцией TPM.

В области программ, использующих установленные TPM, Wave Systems предлагает среду Embassy Security Center, полный пакет Embassy Trust Suite (управление документами, цифровыми подписями) и инструментарий CSP Toolkit (Cryptographic Service Provider) для программистов Windows. IBM предлагает пакет ThinkVantage (главным образом вместе со своими ноутбуками Thinkpad, поддерживающими TPM), а Ultimaco поставляет программу кодирования данных SafeGuard Easy. Checkpoint продаёт набор продуктов для целого ряда задач в сфере ИТ-инфраструктуры, а Adobe предлагает Acrobat версии 6, который позволяет работать с PDF-файлами через TPM.

Вместе с тем, сегодня существуют побочные технологии и улучшения, чьи характеристики по безопасности реализуются ещё более строго. Среди примеров можно выделить технологию Intel LaGrande, ARM TrustZone, и новинку следующего, 2006 года - AMD Presidio. Отдельное ядро безопасности операционной системы (Nexus в случае Microsoft Vista) связывает модуль TP и компоненты безопасности доверяемых приложений. Благодаря такой поддержке пользователь может проверить, что все аппаратные компоненты являются авторизованными TCG, установленные приложения подписаны, и ни у одного из компонентов нет неправильной подписи/серийного номера.

Если будут определены изменения в аппаратной конфигурации, то TPM сможет повторно сертифицировать новые компоненты в онлайновом режиме. Операционная система с ядром безопасности Nexus работает в областях памяти, защищённых процессором (помните, Data Execution Protection), а данные доверяемых приложений нельзя изменить снаружи.

В текущей версии 1.2 TPM есть некоторые приятные функции. "Direct Anonymous Attestation" (DAA) обеспечивает улучшенную связь с другими надёжными клиентами. "Locality" вводит различные уровни безопасности TPM. "Delegation" различает характеристики безопасности у различных пользователей. "NV Storage" обеспечивает лучшее использование энергонезависимых носителей. "Transport protection" улучшает передачу данных на не-TPM системы, а "Monotonic Counters" прослеживает каждый шаг вашей работы, чтобы предотвратить так называемые атаки "replay".

Сравнение технологии с Intel AMT

Нам требуется хотя бы вскользь поговорить о технологии Intel Active Management Technology (iAMT). Intel подходит к теме платформ с полным пакетом управления, который решает задачи администрирования и безопасности. С лозунгом "Discover, Heal and Protect" ("Найди, вылечи и защити") технология iAMT должна прийтись к месту. Intel обеспечивает централизованное управление, использующее нахождение компьютеров независимо от их состояния и ОС, сокращает время на исправление сбоя и облегчает управление защитой компьютеров против вредоносных программ. Наиболее мощным продуктом на сегодняшний день можно назвать материнскую плату Intel D945GNT в форм-факторе ATX, которая сочетает возможности TC и iAMT.

Риски, опасности и последствия TPM

С каждым выпуском более совершенной технологии защиты можно ожидать поток критики и скепсиса от людей, готовых оспаривать любые улучшения. Но каковы риски и опасности на самом деле?

Сегодня наиболее очевидны усилия музыкальной и видео-индустрии заставить всех компьютерных пользователей подчиняться парадигме DRM. Как только большая часть компьютерных комплектующих будет поддерживать TPM, а операционная система (та же Windows Vista) сможет эффективно работать с TPM, возможно полное отслеживание хранимых данных со стороны владельцев авторских прав.

"Первой ласточкой" можно назвать попытку Microsoft заставить Media Player выполнять обновление DRM без ведома пользователя. В итоге возникает вопрос: какие данные на компьютере можно считать легальными, и как со всем этим поступать? Если посмотреть в сторону таких стран, как Куба или Северная Корея, то здесь возникает опасность в виде новых возможностей цензуры. Скажем, аппаратная защита может разрешать вывод текста и картинок, которые были проверены цензурой данной страны.

Согласитесь, всё это оставляет не очень хорошее послевкусие у пользователей, напоминая "чёрный ящик". Действительно, с помощью постоянного наблюдения за всеми процедурами компьютера можно легко получить всю нужную информацию о пользователе и его работе.

Системы с TPM

Для тестирования мы получили предварительный образец компьютера HP Compaq DC7600. К сожалению, кроме самого чипа TP, комплектующие в компьютере не готовы к концепции TPM. Административное программное обеспечение HP/Altiris находится далеко не в завершённом состоянии, а HP не поставляет другого программного обеспечения TPM и даже не кодирует разделы жёсткого диска. Кроме того, текущая Windows XP, даже в новейшей версии x64, не может использовать TPM или функции кодирования в полной мере. Так что всё описание возможных функций TPM компьютера построено на информации HP/Compaq.


Плата HP использует форм-фактор MicroATX, при этом её можно расширить через дочернюю плату двумя дополнительными слотами PCI.

Компьютер HP Compaq DC7600 оснащён одной из первых материнских плат HP с поддержкой TPM. В линейке 7x00 состоят компьютеры с TP-модулем версии 1.2, причём они доступны и в виде "конфигурации на заказ" (configure-to-order). В то же время, HP интегрировала не только один чип TPM, но и гигабитный контроллер Broadcom NetXTreme BCM5752, который удовлетворяет последним спецификациям доверяемых вычислений. По информации в Интернете, активация функций TC чипа обходится производителю в $10.

Для управления TPM HP добавляет ещё один уровень защиты, названный "ProtectTools". Он используется программой Altiris "HP Client Manager", которая также подходит для администрирования аппаратной составляющей. На данном этапе разработки ProtectTools обеспечивает только две функции: защита идентификационной информации во время входа пользователя в систему, а также кодирование жёстких дисков. Конечно, каждый TPM в компьютерах HP Compaq можно чётко идентифицировать.

Среди самых важных функций концепции TPM компания HP Compaq выделяет следующие:

  • встроенная защита HP Tools обеспечивает корневое кодирование (root encoding);
  • "виртуальные смарт-карты" (Virtual Smart Card) улучшают работу обычных смарт-карт (SmartCard и Token ID);
  • расширение других инструментов безопасности вроде смарт-карт, считывателей отпечатка пальцев;
  • встроенное кодирование беспроводной сети, а также защита данных и целостности данных (защита от подмены);
  • кодирование файлов и папок;
  • кодирование почты (ключи поставляются TPM);
  • управление доступом и правами в сетях;
  • защита от атак хакеров (системные атаки, DOS/сетевые атаки);
  • защищённый вход пользователей в систему, "глобальная" аутентификация пользователей.


Последний гигабитный чип Broadcom поддерживает TPM.


Открытый корпус DC7600.

Целевой аудиторией компьютеров линейки HP Compaq 7x00 - собственно, как и концепции доверяемых компьютеров - являются сети компаний среднего и крупного уровней. Эти сети получат немалое преимущество от функций централизованного управления, а также от более высоких характеристик защиты и безопасности TPM. Сегодня HP продаёт компьютеры линейки в трёх версиях: ультра-тонкий настольный, настольный и "башня".

Мы получили мини-"башню", которую можно также положить набок благодаря резиновым ножкам с правой стороны корпуса. Корпус, если не считать дешёвой пластиковой передней панели, отличается высоким качеством сборки, поэтому он и тяжёлый. Многие детали хорошо продуманы: скажем, дверцу корпуса можно быстро открыть. Точно так же приводы CD/DVD и жёсткие диски устанавливаются без прикручивания. Если вам нужно добавить новый привод, то прикрепляете к нему направляющие и вставляете в отсек.

Корпус предлагает достаточно места для двух дополнительных 5,25" приводов, одного 3,5" привода и дисковода. Блок питания с активным охлаждением выдаёт максимум 345 Вт.

Кроме TPM-расширения, перед нами типичная материнская плата на чипсете 945 со встроенными видео (Intel GMA950) и звуком (AC97). Существующие порты в целом соответствуют типичному офисному компьютеру. Сзади находятся шесть портов USB 2.0 и интерфейс гигабитного Ethernet, а спереди - два порта USB 2.0 аудио-вход и выход. Вы не найдёте портов FireWire, DVI-выхода или разъёма S-Video.


Вид корпуса сзади и спереди.


Эти порты вы найдёте на передней и задней панелях.


Четыре слота PCI. Между ними можно заметить разъём, с помощью которого к материнской плате подключается карта расширения.

В корпусах меньшего форм-фактора HP использует точно такую же материнскую плату MicroATX. А в крупных корпусах (как у нас) к ней подсоединяется дочерняя плата, обеспечивающая дополнительные слоты PCI. На самой плате два 32-битных слота PCI, но их можно расширить ещё двумя с помощью упомянутой дочерней платы.

Технические спецификации
Процессор Intel Pentium 4 Processor 630 (3,0 ГГц, 2 Мбайт кэша L2)
Память 2x 256 Мбайт DDR2 (PC2-4200/DDR2-533)
Слоты памяти 4 DIMM
Жёсткий диск 80 Гбайт (7200 об/мин)
Отсеки приводов 3x 5,25", 1x 3,5", 2x внутренних 3,5"
Привод CD/DVD DVD-ROM 16x/48x
Дисковод 1,44 Мбайт
Контроллер жёсткого диска SMART III Serial ATA 3.0 Gb/s
Корпус Мини-"башня"
Графический интерфейс PCI Express x16
ОС Microsoft Windows XP Professional, Microsoft Windows XP Home и SuSE Linux
Слоты 2 полноразмерных PCI, 1 полноразмерный PCI Express x1, 1 полноразмерный PCI Express x16 (2 дополнительных полноразмерных слота PCI)
Звук Встроенный High Definition Audio с 2-канальным кодеком Realtek ALC260
Сеть Встроенный гигабитный контроллер Broadcom NetXtreme с поддержкой TPM (BCM5752)
Сетевые карты Intel Pro 1000 MT Gigabit NIC (x1 PCI Express)
Внешние порты ввода/вывода Сзади: 6x USB 2.0, 1x последовательный порт, 1x параллельный порт, 2x PS/2 для клавиатуры/мыши, 1x RJ45 для сети, 1x D-SUB VGA, звуковые порты; спереди: 2 USB 2.0, наушники

IBM уже некоторое время представляет решения со встроенным TPM. С выпуском ноутбуков T23 ThinkPad пароли и ключи можно хранить в безопасном месте, можно кодировать данные локально, а работу в сетях VPN осуществлять с лучшей защитой.

Сегодня всё больше компьютеров оснащается TP-модулями, причём пользователь об этом зачастую и не подозревает. Когда мы получили в лабораторию ноутбук Dell X1, мы обнаружили, что он оснащён тем же самым сетевым контроллером Broadcom BCM5752m с поддержкой TPM.

Заключение

Концепция доверяемых вычислений (Trusted Computing) является продуманным технологическим подходом, который обеспечивает разумные решения многих рисков безопасности, хотя и не всех. Концепция предлагает более удобные и мощные решения, чем другие подходы.

Дополнительные затраты на оснащение аппаратных комплектующих невелики, а, в особенности, в корпоративной среде с большой ИТ-инфраструктурой TPM способна принести немалую пользу. В ближайшем будущем должны появиться процессоры, поддерживающие доверяемые вычисления. Технологии LaGrande (Intel) и Presidio (AMD) технически схожи, позволяя реализовать "защищённое" системное ядро. Кроме того, процессоры поддерживают дополнительные незащищённые системные разделы, что хорошо покажет себя в паре с технологиями Vanderpool и Pacifica (Intel/AMD).

У нас нет никаких сомнений насчёт успеха платформ TPM. Риски, связанные с новой технологией (собственно, как и с любой другой), существуют только в связи с неправильным использованием её потенциала, что подогревается агрессивными заявлениями некоторых политиков, связанных с огромным влиянием индустрий музыки и фильмов. К сожалению, HP/Compaq не смогла предоставить нам даже бета-версию программного обеспечения, что не позволило более пристально взглянуть на потенциал TPM.

Пока доверяемые вычисления не станут реальностью в корпорациях, комплектующие с поддержкой TPM будут находиться в состоянии своеобразной "спячки". С выходом Windows Vista мы ещё раз вернёмся к технологии TPM, и на сей раз - более пристально.

Другие идентичные названия опции: Security Chip, Execute TPM Command.

В число опций BIOS, предназначенных для защиты информации компьютера, входит опция Trusted Platform Module. Она позволяет включить поддержку одноименного аппаратно-программного комплекса защиты информации. Пользователь может выбрать всего два варианта значений опции – Enabled (Включено) и Disabled (Выключено).

Вряд ли найдется такой пользователь, которого бы совершенно не волновала проблема защиты конфиденциальной информации, расположенной на его компьютере. В коммерческой и промышленной сфере на решение этой проблемы тратятся огромные средства, но до сих пор эффективного и при этом недорогого средства, позволяющего защитить компьютерные данные, так и не было найдено.

Система Trusted Platform Module является одной из попыток удовлетворить насущную потребность в подобной технологии. Хотя она и не является панацеей, тем не менее, она способна значительно повысить степень защиты информации как на уровне компьютерных сетей, так и на уровне отдельных компьютеров и прочих устройств, содержащих важные данные.

Trusted Platform Module (TPM, доверенный платформенный модуль) – это программно-аппаратный комплекс для защиты информации. Комплекс может устанавливаться на любые компьютеры и даже на отдельные накопители и мобильные устройства, такие как смартфоны. Чаще всего комплексом TPM оснащаются ноутбуки. Что немаловажно, компьютерные системы, оснащенные аппаратными модулями TPM, стоят не намного дороже, чем аналогичные по характеристикам системы, не оснащенные TPM.

Основные свойства данных, которые призвана обеспечить технология TPM:

  • Защита
  • Целостность
  • Безопасность
  • Авторство

Стандарт TPM был разработан рядом известных производителей программного и аппаратного обеспечения, в число которых входят Microsoft, HP, Intel, IBM. Впоследствии к их числу присоединились такие компании, как Sun, AMD, Sony и Verisign.

Использование TPM позволяет предотвратить взлом компьютера и утечку важной информации, заражение его троянскими программами и вирусами, сохранить целостность лицензионного программного обеспечения, обеспечить защиту сетевого трафика. Система TPM может гарантировать защиту ПО от модификации, а также защиту данных от копирования.

Накопители, поддерживающие систему TPM, способны осуществлять аппаратное шифрование данных, что обеспечивает защиту конфиденциальной информации. При авторизации пользователя в системе TPM могут использоваться различные методы, в том числе и биометрические, такие, как сканирование отпечатков пальцев.

Спецификация TPM позволяет использовать как полностью программную, так и аппаратно-программную реализацию технологии. На практике в большинстве случае используется второй вариант, как дающий наибольшую степень защиты.

Основой системы TPM является специальный чип, встроенный в материнскую плату. Этот чип, который часто называется криптографическим процессором или просто криптопроцессором, содержит необходимые для защиты информации программные и аппаратные средства. Его назначение – хранить и генерировать ключи, производить ассиметричное шифрование и хэширование данных. Микросхемы криптопроцессоров на сегодняшний день изготавливаются многими производителями и установлены на миллионах компьютеров.

При загрузке компьютера с установленной системой TPM при помощи криптопроцессора производится проверка на идентичность всех основных компонентов компьютера, как аппаратных, так и программных, таких, как BIOS и операционная система. В случае успеха подобной проверки компьютер считается работающим в так называемом проверенном состоянии. В этом состоянии могут исполняться любые приложения, в том числе, и те, которые требуют защиты и сохранения конфиденциальности данных, а также может осуществляться доступ к зашифрованным данным.

На программном уровне для работы TPM необходима поддержка технологии со стороны операционной системы, а также наличие специального программного обеспечения. Технология Trusted Platform Module поддерживается большинством современных операционных систем линейки Windows, начиная с Windows XP SP2, а также современными версиями Linux.

Опция Trusted Platform Module позволяет включить в BIOS поддержку данной технологии. Она доступна лишь в том случае, если материнская плата компьютера оснащена криптопроцессором-микросхемой TPM. Выбор значения Enabled позволяет пользователю включить эту микросхему, а значения Disabled – выключить.

Стоит ли включать?

Ответ на этот вопрос зависит от того, установлена ли у вас на компьютере система Trusted Platform Module. Если да, то систему стоит включить. Однако необходимо помнить, что использование системы не является панацеей и не всегда может заменить применение традиционных антивирусов, брандмауэров и прочих средств компьютерной безопасности.

Производители BIOS предлагают пользователю выбор, и вы всегда сможете выключить данную систему, если вы не нуждаетесь в ее помощи. Само собой, если ваш компьютер оснащен старой операционной системой, не поддерживающей TPM (Windows XP SP1 и более старые ОС), то включение ее также не имеет никакого смысла.

Trusted Platform Modules (доверяемые платформенные модули) представляют собой небольшие чипы, служащие для защиты данных и уже несколько лет используемые в компьютерах, консолях, смартфонах, планшетах и ресиверах. В настоящее время чипами TPM оснащен приблизительно миллиард устройств, причем 600 миллионов из них - это офисные ПК.

С 2001 года сторонники «теории заговора» стали рассматривать чипы в качестве инструмента контроля, позволяющего якобы ограничивать права пользователя: теоретически TPM-чипы можно применять, например, чтобы ограничить нелегальное копирование фильмов и музыки.Однако за последние 12 лет не было ни одного подобного случая. Более того, Windows использует подобный модуль для безопасной загрузки и шифрования данных жесткого диска посредством BitLocker. Таким образом, TPM обеспечивает преимущество в борьбе с вредоносным ПО и хищением данных.

Несмотря на все это, спецификация версии 2.0 привлекла к себе немало внимания, ведь теперь TPM-чипы запущены «по умолчанию» (раньше пользователю нужно было активировать их самостоятельно). По всей видимости, в скором времени будет сложно найти в продаже устройства без TPM 2.0, так как компания Microsoft соответствующим образом изменила критерии сертификации для Windows. Начиная с 2015 года стандарт TPM 2.0 является обязательным для всех, в противном случае производитель аппаратного обеспечения не получит подтверждение о пройденной сертификации.

TPM-менеджер в окне Панели управления Windows отображает статус и версию чипа TPM

TPM-чип гарантирует безопасность ОС

Самым эффективным способом защиты системы, исключающим возможность проникновения хакеров, является использование аппаратного чипа TPM. Он представляет собой небольшой «компьютер в компьютере»: доверяемый модуль с собственным процессором, оперативной памятью, накопителем и интерфейсом ввода/вывода.

Главной задачей TPM является предоставление в распоряжение операционной системы гарантированно безопасных служб. Например, чипы TPM хранят криптоключи, использующиеся для шифрования данных на жестком диске. Кроме того, модуль подтверждает идентичность всей платформы и проверяет систему на возможные вмешательства хакеров в работу аппаратных средств. На практике TPM в тандеме с UEFI Secure Boot обеспечивает пользователю полностью защищенный и безопасный процесс запуска операционной системы.

Этап, на котором загружается ПО стороннего разработчика (антивирусный сканер), Microsoft обозначает как Measured Boot. Для драйвера ELAM (Early Launch Anti-Malware, ранний запуск антивредоносной программы) от разработчиков антивирусного ПО Microsoft предоставляет свою подпись. Если же она отсутствует, UEFI прерывает процесс загрузки. Ядро проверяет антивирусную защиту при запуске. Если ELAM-драйвер проходит проверку, ядро признает действительными и остальные драйверы. Это исключает возможность того, что руткиты окажут влияние на процесс загрузки Windows и «воспользуются ситуацией», когда антивирусный сканер еще не активен.

Предыдущая спецификация TPM 1.2 использовала устаревшую технологию с внедренными в аппаратной части алгоритмами шифрования RSA-2048 и SHA-1 (последний считается как раз небезопасным). Вместо использования строго определенных алгоритмов в чипах TPM в версии 2.0 можно предусмотреть симметричные и асимметричные методы шифрования. Например, в настоящий момент доступны SHA-2, HMAC, ECC и AES. К тому же в TPM 2.0 путем обновления можно добавить поддержку новых криптоалгоритмов.


TPM-чипы генерируют ключи для BitLocker - системы шифрования в Windows

Подход к использованию ключей также изменился. Если раньше в качестве фундамента для всех предлагаемых служб задействовались два фиксированных криптографических ключа, то TPM 2.0 работает с очень большими случайными числами - так называемыми начальными. При этом нужные ключи генерируются посредством математических функций с использованием начальных чисел в качестве исходных данных. TPM 2.0 предоставляет также возможность генерации ключей только для однократного использования.

Если у вас есть ноутбук или ПК с поддержкой TPM, и вы получаете сообщение в Центре безопасности Windows Defender, в котором сообщается, что вам необходимо обновить свой процессор безопасности или прошивку TPM, вам следует обновить его по приоритету. В этом руководстве я расскажу, как можно очистить TPM и обновить прошивку безопасности TPM .

Что такое TPM в Windows 10?

Trusted Platform Module (TPM) - является специализированным чипом. TPM обычно устанавливается на системную плату компьютера и взаимодействует с остальными компонентами системы с помощью аппаратной шины. Он может хранить ключи шифрования RSA, специфичные для хост-системы и аппаратной аутентификации. Чип TPM также содержит "пару" ключей RSA, называемую ключом подтверждения . Пара поддерживается внутри чипа и не может быть доступна с помощью программного обеспечения. Короче говоря, он может хранить важные данные, включая отпечатки пальцев, данные о лицах и т. д.

Как проверить есть ли TPM на компьютере?

Нажмите сочетание кнопок Win + R и введите tpm.msc. Модуль TPM может находиться в одном из следующих состояний: Готов к использованию , Готов к использованию в режиме ограниченной функциональности и Не готов к использованию . Чтобы воспользоваться большинством функций TPM в Windows 10, модуль TPM должен быть Готов к использованию .

Важно: Если у вас будет модуль, то вы сможете обновить и очистить TPM именно в этих параметрах справа. По этому вы можете не прибегать ниже к пунктам. Но если что пойдет не так, ниже пункты именно для вас.

Примечание: При включении TPM могут быть проблемы с bitlocker, отключите bitlocker при включении модуля TPM.

Как обновить прошивку процессора безопасности TPM

Обновление для TPM обычно содержит исправление для уязвимости безопасности, которая может повлиять на безопасность операционной системы. В этом обновлении будет рассмотрена уязвимость, которую вам необходимо будет загрузить и установить. Также возможно, что обновления прошивки отправляются OEM-производителями, которые быстрее по сравнению с Windows Update.

Загрузка и установка обновлений для Windows

Это лучший способ обновить ваш TPM. Если у вас отключены автоматические обновления, то обновите windows до последней версии через центр обновления Windows или , через каталог micosoft.

Установка обновлений прошивки OEM-производителями

Многие OEM-производители, включая Microsoft, предлагают обновления встроенного ПО отдельно. Если обновление прошивки TPM не было включено в Центр обновления Windows, то вам придется вручную загрузить и применить его. Ниже приведен список OEM-производителей, с которых вы можете загрузить обновление.

  • Microsoft Surface Devices
  • Acer
  • Fujitsu
  • HP Customer Support
  • HP Enterprise Support
  • Lenovo
  • Panasonic
  • Toshiba

Как очистить TPM

После того как вы установили обновление прошивки либо через Центр обновления Windows, либо с веб-сайта OEM, вам также потребуется очистить TPM. Это важно для обеспечения безопасности данных. Очистка вашего TPM приведет к сбросу вашего процессора безопасности до его настроек по умолчанию.

  • Откройте Защитник Windows 10, перейдите Безопасность устройств . Далее найдите Устранение неполадок процессора безопасности и нажмите Очистить TPM. Перед завершением процесса необходимо перезагрузить устройство.

Очистить TPM с помощью PowerShell

Есть команда, которая сбрасывает модуль Trusted Platform Module в состояние по умолчанию и удаляет значение авторизации владельца и все ключи, хранящиеся в модуле TPM. Эта команда использует значение авторизации владельца, хранящееся в реестре, вместо указания значения или использования значения в файле.

  • Откройте PowerShell от имени администратора и введите Clear-Tpm.