Trusted computing что это bios

Что такое TPM и как его использовать в Windows

Во многих компьютерах и ноутбуках сегодня можно встретить дополнительный чип, который называется TPM. В операционной системе он определяется в разделе «Устройства безопасности». Что это за зверь такой и для чего он, собственно, нужен мы и поговорим сегодня.

Расшифрование (decryption) иногда некорректно называют дешифрование (deciphering). Разница между ними в том, что при расшифровании вам известен алгоритм и секретный ключ, которым зашифрованы данные, а при дешифровании – нет.

Во-первых, чип нужно активировать в BIOS компьютера (если он не активирован).
Во-вторых, нужно стать его владельцем на уровне операционной системы.

Рассмотрим эти шаги более подробно.

1 Включение модуля TPM в BIOS компьютера

Для включения модуля зайдите в BIOS и перейдите в раздел, связанный с безопасностью. Хотя BIOS может существенно отличаться на разных компьютерах, как правило, раздел с настройками безопасности называется «Security». В этом разделе должна быть опция, которая называется «Security Chip».

Настройки безопасности в BIOS

Модуль может находиться в трёх состояниях:

Выключен (Disabled).
Включён и не задействован (Inactive).
Включён и задействован (Active).

В первом случае он не будет виден в операционной системе, во втором – он будет виден, но система не будет его использовать, а в третьем – чип виден и будет использоваться системой. Установите состояние «активен».

Тут же в настройках можно очистить старые ключи, сгенерированные чипом.

Очистка памяти чипа TPM

Очистка TPM может пригодиться, если вы, например, захотите продать свой компьютер. Учтите, что стерев ключи, вы не сможете восстановить данные, закодированные этими ключами (если, конечно, вы шифруете свой жёсткий диск).

Теперь сохраните изменения («Save and Exit» или клавиша F10) и перезагрузите компьютер.

После загрузки компьютера откройте диспетчер устройств и убедитесь, что доверенный модуль появился в списке устройств. Он должен находиться в разделе «Устройства безопасности».

Чип TPM в диспетчере устройств Windows

2 Инициализация модуля TPM в Windows

В правой части оснастки находится меню действий. Нажмите «Инициализировать TPM…». Если эта возможность не активна, значит, ваш чип уже инициализирован. Если он инициализирован не вами, и вы не знаете пароль владельца, то желательно выполнить сброс и очистку памяти модуля, как описано в предыдущем пункте.

Оснастка для управления чипом TPM

Инициализация модуля TPM через оснастку

Пароль TPM сгенерирован, инициализация

По завершении программа сообщит об успешной инициализации модуля. После завершения инициализации все дальнейшие действия с модулем – отключение, очистка, восстановление данных при сбоях, сброс блокировки – будут возможны только с помощью пароля, который вы только что получили.

Пароль владельца для TPM создан

Теперь действие инициализации стало неактивным, зато появилась возможность отключить TPM, сменить пароль владельца и сбросить блокировку модуля, если это произошло (модуль блокирует сам себя для предотвращения мошенничества или атаки).

Инициализация TPM завершена

Trusted Platform Module

Другие идентичные названия опции: Security Chip, Execute TPM Command.

В число опций BIOS, предназначенных для защиты информации компьютера, входит опция Trusted Platform Module. Она позволяет включить поддержку одноименного аппаратно-программного комплекса защиты информации. Пользователь может выбрать всего два варианта значений опции – Enabled (Включено) и Disabled (Выключено).

Принцип работы

Вряд ли найдется такой пользователь, которого бы совершенно не волновала проблема защиты конфиденциальной информации, расположенной на его компьютере. В коммерческой и промышленной сфере на решение этой проблемы тратятся огромные средства, но до сих пор эффективного и при этом недорогого средства, позволяющего защитить компьютерные данные, так и не было найдено.

Система Trusted Platform Module является одной из попыток удовлетворить насущную потребность в подобной технологии. Хотя она и не является панацеей, тем не менее, она способна значительно повысить степень защиты информации как на уровне компьютерных сетей, так и на уровне отдельных компьютеров и прочих устройств, содержащих важные данные.

Trusted Platform Module (TPM, доверенный платформенный модуль) – это программно-аппаратный комплекс для защиты информации. Комплекс может устанавливаться на любые компьютеры и даже на отдельные накопители и мобильные устройства, такие как смартфоны. Чаще всего комплексом TPM оснащаются ноутбуки. Что немаловажно, компьютерные системы, оснащенные аппаратными модулями TPM, стоят не намного дороже, чем аналогичные по характеристикам системы, не оснащенные TPM.

Основные свойства данных, которые призвана обеспечить технология TPM:

Стандарт TPM был разработан рядом известных производителей программного и аппаратного обеспечения, в число которых входят Microsoft, HP, Intel, IBM. Впоследствии к их числу присоединились такие компании, как Sun, AMD, Sony и Verisign.

Использование TPM позволяет предотвратить взлом компьютера и утечку важной информации, заражение его троянскими программами и вирусами, сохранить целостность лицензионного программного обеспечения, обеспечить защиту сетевого трафика. Система TPM может гарантировать защиту ПО от модификации, а также защиту данных от копирования.

Накопители, поддерживающие систему TPM, способны осуществлять аппаратное шифрование данных, что обеспечивает защиту конфиденциальной информации. При авторизации пользователя в системе TPM могут использоваться различные методы, в том числе и биометрические, такие, как сканирование отпечатков пальцев.

Спецификация TPM позволяет использовать как полностью программную, так и аппаратно-программную реализацию технологии. На практике в большинстве случае используется второй вариант, как дающий наибольшую степень защиты.

Основой системы TPM является специальный чип, встроенный в материнскую плату. Этот чип, который часто называется криптографическим процессором или просто криптопроцессором, содержит необходимые для защиты информации программные и аппаратные средства. Его назначение – хранить и генерировать ключи, производить ассиметричное шифрование и хэширование данных. Микросхемы криптопроцессоров на сегодняшний день изготавливаются многими производителями и установлены на миллионах компьютеров.

При загрузке компьютера с установленной системой TPM при помощи криптопроцессора производится проверка на идентичность всех основных компонентов компьютера, как аппаратных, так и программных, таких, как BIOS и операционная система. В случае успеха подобной проверки компьютер считается работающим в так называемом проверенном состоянии. В этом состоянии могут исполняться любые приложения, в том числе, и те, которые требуют защиты и сохранения конфиденциальности данных, а также может осуществляться доступ к зашифрованным данным.

На программном уровне для работы TPM необходима поддержка технологии со стороны операционной системы, а также наличие специального программного обеспечения. Технология Trusted Platform Module поддерживается большинством современных операционных систем линейки Windows, начиная с Windows XP SP2, а также современными версиями Linux.

Читать еще: Fan speed bios

Опция Trusted Platform Module позволяет включить в BIOS поддержку данной технологии. Она доступна лишь в том случае, если материнская плата компьютера оснащена криптопроцессором-микросхемой TPM. Выбор значения Enabled позволяет пользователю включить эту микросхему, а значения Disabled – выключить.

Стоит ли включать?

Ответ на этот вопрос зависит от того, установлена ли у вас на компьютере система Trusted Platform Module. Если да, то систему стоит включить. Однако необходимо помнить, что использование системы не является панацеей и не всегда может заменить применение традиционных антивирусов, брандмауэров и прочих средств компьютерной безопасности.

Производители BIOS предлагают пользователю выбор, и вы всегда сможете выключить данную систему, если вы не нуждаетесь в ее помощи. Само собой, если ваш компьютер оснащен старой операционной системой, не поддерживающей TPM (Windows XP SP1 и более старые ОС), то включение ее также не имеет никакого смысла.

Доверительные вычисления (Trustworthy computing)

Доверительные вычисления ( Trusted Computing ) — совокупность стандартов, разрабатываемых на их основе технологий, аппаратного и программного обеспечения для создания высокой степени безопасности. Безопасность гарантируется тем, что система допускает использование только сертифицированного аппаратного и программного обеспечения. Под сертификацией скрывается иерархия цифровых подписей; на их основании принимается решение, что и каким компонентам будет позволено. Криптографические процессоры проверяют подписи и контролируют сам центральный процессор .

Trusted computing и trustworthy computing

Различают понятия «trusted» и » trustworthy «. NSA (Национальное агенство безопасности США) определяет trusted component как компонент , сбой в котором не влияет на безопасность всей системы, а trustworthy component — как компонент , в котором не произойдет сбой. С другой стороны, Министерство обороны США определяет trusted как нечто, чему мы вынуждены доверять за неимением выбора. Таким образом, термин trusted (доверенный) имеет довольно много значений.

Приведем пример: наши соседи не могут разглашать информацию о состоянии нашего здоровья, просто потому, что ее у них нет. Таким образом, они не могут нарушить безопасность нашей медицинской информации. А вот наш лечащий врач имеет к ней доступ и может поделиться информацией. Мы выбрали себе того лечащего врача, которому доверяем, то есть пошли на компромисс . Если же лечащий врач — один в радиусе 100 км, то мы просто вынуждены ему доверять. Во всех трех случаях компонент является доверенным.

В инициативе доверительных вычислений trusted computing означает, что данному вычислительному процессу может доверять производитель вычислительного устройства и разработчик программного обеспечения. Далее речь пойдет именно о trusted computing (доверительных вычислениях).

Создатели идеи доверительных вычислений

Доверительные вычисления разрабатываются Trusted Computer Group ( TCG , ранее TCPA). В совет директоров TCG входят ведущие производители программного и аппаратного обеспечения. Всего в TCG около сотни организаций-участников и несколько десятков спонсоров. TCG разрабатывает спецификации, определяющие доверительные вычисления в виде серии отраслевых стандартов. Члены TCG внедряют принципы доверительных вычислений в выпускаемое ими программное обеспечение и оборудование.

История доверительных вычислений

Теоретические основания TCPA заложены в труде В. Арбау, Д. Фар-бера и Дж. Смита «Защищенная и надежная архитектура начальной загрузки». Ключевая мысль о «базовом мониторе» для контроля всего доступа, впрочем, намного старше — она была высказана Джеймсом Андерсеном в 1972 г. в работе для Военно-воздушных сил Соединенных Штатов и с тех пор является основой при разработке военных систем безопасности. Авторы обращают внимание на то обстоятельство, что если безопасности программного обеспечения уделяется много внимания, то доверие к оборудованию подразумевается само собой.

В их системе AEGIS базовая система ввода/вывода делится на две логические подсистемы: одна — это привычная BIOS , а другая отвечает за правильность контрольных сумм и цифровых подписей. Таким образом, после включения компьютера сначала на все возможные ошибки проверяется энергозависимая память , затем — платы расширения, загрузочный сектор , операционная система и т. д. AEGIS впервые предусматривает полную цепочку проверки — от включения компьютера до запуска приложения, не пропуская ни одного компонента оборудования. Такие «полные цепочки» на самом деле легко разрываются. Поэтому на случай ошибки авторы предусмотрели аварийную загрузку с одного или нескольких серверов. При возникновении проблем с оборудованием это не помогает, однако с подобной трудностью сталкивается каждый пользователь ПК в любом случае. Кроме того, AEGIS может при поврежденном BIOS провести автоматическое восстановление с надежного сервера. Модель системы была основана на FreeBSD, а также на IPv6 для шифруемой загрузки.

Относительно сертификации необходимых для цифровых подписей открытых ключей не дается никаких пояснений. Как можно прочитать во втором разделе, авторы допускают даже сеть доверия Web of Trust, известную по PGP/GnuPG.

Основы доверительных вычислений

Доверительные вычисления определяют пять ключевых элементов, которыми должна обладать полностью доверенная система .

Endorsement Key.
Secure Input and Output.
Memory curtaining / Protected execution.
Sealed storage.
Remote attestation.

Подтверждающий ключ (Endorsement Key)

Endorsement key — это пара 2048-битных RSA-ключей. Ключи генерируются производителем микросхемы на основе протокола, разработанного TCG . Закрытый ключ хранится в микросхеме. Микросхема проектируется таким образом, чтобы ключ нельзя было извлечь даже с помощью аппаратного анализа. Открытый ключ используется для подтверждения подлинности и шифрования данных, передаваемых микросхеме. Микросхемы называются доверенными модулями (Trusted Platform Module — TPM ) или микросхемами Фрица (по имени американского сенатора, который активно работает над тем, чтобы внедрить такие микросхемы во все потребительское оборудование и установить штрафы за продажу несовместимых с ними устройств).

Безопасный ввод/вывод

Чтобы подтвердить, что используемое для ввода/вывода программное обеспечение действительно есть программное обеспечение, которое должно выполнять ввод/вывод, используются контрольные суммы. Таким образом можно выявить часть вредоносного программного обеспечения.

Memory curtaining

Для обеспечения повышенной надежности областей памяти, содержащих особо важные данные (например, криптографические ключи), эти области памяти изолируются. Даже операционная система может получить доступ только к некоторым областям изолированной памяти. Таким образом можно запретить части вредоносного программного обеспечения получить доступ к данным системными средствами.

Sealed storage

Можно зашифровать данные при помощи ключей устройств или программ, обрабатывающих эти данные. То есть получить доступ к этим данным сможет только эта копия программы в паре с именно этим экземпляром устройства (очевидно, можно потребовать наличия любого числа конкретных программ и устройств, а также типов программ или устройств). Таким образом можно, например, предотвратить прослушивание музыки на нелицензионном плеере.

Читать еще: Ideapad вход в bios

Remote attestation

Аппаратное обеспечение может сообщать подтвержденную сертификатом информацию о том, какое программное обеспечение сейчас выполняется. Информация часто шифруется открытым ключом наблюдаемой программы или программы, запрашивающей информацию, то есть никто больше, включая пользователя компьютера, не сможет получить доступ к этой информации. Удаленное наблюдение позволит авторизованным организациям обнаруживать изменения, происходящие на компьютере пользователя. Таким образом, например, компании-производители программного обеспечения смогут предотвратить изменения своего программного обеспечения с целью обойти его ограничения.

Как происходит процесс загрузки

Компьютер запускается с активированной микросхемой Фрица. Согласно спецификации TCG , сначала через Internet путем обращения к заслуживающему доверия координатору времени настраивается локальный таймер . После этого система проверяет BIOS и платы PCI , а в случае некоторых реализаций — даже клавиатуру. Сертифицированный интерфейс DMA призван воспрепятствовать несанкционированному доступу к памяти. Оборудование должно входить в список сертифицированного оборудования ( Hardware Certification List , HCL ). Еще один список — перечень аннулированных серийных номеров ( Serial Number Revocation List , SRL): в первую очередь , он будет касаться приложений, но предположительно также и оборудования. Все, что перечислено в списке, блокируется. Согласно спецификации, оба списка при каждом запуске системы корректируются через Internet . Приложения, указанные в SRL, должны, по идее, блокироваться и в «добровольном» режиме. Также могут быть блокированы или удалены документы, входящие в перечень аннулированных документов (Document Revoсation List , DRL).

Возможные применения доверительных вычислений

Digital Rights Management (DRM)

Считается, что идея доверительных вычислений возникла именно для защиты авторского права. Каким образом здесь используются доверительные вычисления?

Например, загрузка файла с музыкой. С помощью удаленного наблюдения можно разрешить проигрывать данный файл только на той программе-плеере, которая не нарушает правила компании звукозаписи (считаем, что у компании звукозаписи есть список таких программ). Закрытое хранилище не позволит пользователю открыть этот файл с помощью другого плеера или другого компьютера. Музыка будет проигрываться в скрываемой памяти, что не позволит пользователю сделать нелегальную копию файла во время проигрывания. Безопасный ввод/вывод не позволит перехватить данные, передаваемые звуковой системе, и сделать таким способом нелегальную копию.

Выявление мошенничества (cheating) в online-играх

Часть игроков многопользовательских online-игр модифицируют свою копию игры с целью получения несправедливого преимущества в игре. С помощью удаленного наблюдения, безопасного ввода/вывода и сокрытия памяти серверы игры могут убедиться, что их игроки используют неизмененные копии игры.

Защиты от кражи идентификатора

Рассмотрим активно развивающееся в последние годы online банковское дело. При соединении пользователя с сервером банка можно использовать удаленное наблюдение. То есть страница сервера с полями для ввода данных будет отображена только в том случае, если сервер подтвердит, что он действительно является сервером этого online-банка. Далее введенные пользователем и зашифрованные номер счета и PIN передаются по сети.

Защита от вирусов и шпионов (spyware)

Рассмотрим такой пример: на некотором сайте можно скачать модифицированный клиент ICQ, содержащий код, который загружает на компьютер вирус или перехватывает и журналирует все события клавиатуры. Операционная система обнаружит отсутствие правильной цифровой подписи у измененного клиента ICQ и проинформирует пользователя.

Тем самым вирусы или другое вредоносное ПО не смогут запуститься, так как они не будут входить в число доверенных приложений, имеющих цифровую подпись или помеченных иным образом.

Доверительные вычисления могут быть использованы разработчиками антивирусов для предотвращения повреждения вирусами их антивирусов.

Защита биометрических аутентификационных данных

Устройства биометрической аутентификации могут использовать доверительные вычисления для предотвращения установки шпионских программ. Для биометрических устройств особенно остро стоит вопрос кражи аутентификационных данных, так как в отличие от пароля они не могут быть изменены.