Trusted Computing Group TPM 1.2 (diskuse)

[=^..^= AmigaPower®]

Na co to je, ten chip?

[vogo]

První odkaz z google

[amigapower]

...huh, naštěstí je to tam i v polštině, ale i tak dál nevim na co to je, nějaký šifrování, nebo co? Co to dělá v praxi? Přijdu k počítači a... ???

[vogo]

no a to je přesně to co bych rád věděl, pokud v tom jsou skladovat hesla, jak donutit třeba aplikace aby je tam skladovali, jak tím šifrovat oddíl disku? Je to rychlé? Má to výhody oproti jinému řešení? Jak to sakra rozumě použít?

[koso]

Nejde ani tak o urychlenie operaci, ako o to, ze sa jedna o hardwarove zariadenie, teda je tam vyrazne vyssia uroven zabezpecenie v porovnani so softwarovymi systemami.

Vacsinou su TPM moduly schopne vygenerovat a "uskladnit" kluce pre asymetricku kryptografiu. Naledne mozu aplikacie vyuzit tento modul na sifrovanie, s tym, ze privatne kluce su zabezpecene v module a nie je mozne ich ziskat (ak neuvazujeme rozne postupy zahrnajuce rozobranie cipu :) ).

Podobne je mozne cip vyuzit pri bezpecnej tvorbe hashu.

Ak by som to zrhnul, ten cip nedokaze nic, co by sa nedalo spravit softwarovo ... avsak narozdiel od softwaru je tu ovela vacsia bezpecnost, kedze software moze byt "upraveny", pripadne by mohol utocnik "postranne kanaly" pri utoku.

Co sa tyka praktickeho vyuzitia pod linuxom, tak to by som aj ja rad vedel. Pod windowsami to podporuje aplikacny balik ThinkVantage dodavany k thinkpadom, ale aj bitlocker samotneho systemu.

[kotyz]

nahovno. melo by to hardwarove akcelerovat nejaky to sifrovani a to je tak cely.

[vogo]

tak nějak jsem to tušil :) jinak pro zajímavost jeden článek

[Vašek Lorenc]

Mohl sis zkusit projet alespoň závěrečné práce na fakultě.. ;) Principy a využití modulu důvěryhodné platformy, třeba. A asi tam budou i nějaké další.

Obecně bych nepodezříval TPM z toho, že to bude akcelerátor s rozumným výkonem.. spíš by mělo sloužit jako klíčenka, z níž ty klíče samy o sobě nejdou vydolovat a tím pádem jsou bezpečně uloženy -- TPM pak ochotně provádí operace, které by jinak vykonával SW, jen aby heslo nedal z ruky. Pak je ale potřeba myslet na situace, kdy TPM odejde ;)

[vogo]

Prošel jsem si to co našel google... z toho mi jasně vyplynulo, že mě, jakožto obyčejnému sprtelníku poslouží stejně dobře klíčenka Kwallet a disk šifrovaný pomocí dm-crypt/LUKS. S jednou nespornou výhodou: obé lze použít i na jiném stroji, tedy pokud se odporoučí TPM čip do křemíkového nebe nejsem nahraný...

[koso]

TPM nema pre domacehoo uzivatela ziaden vyznam. Tu ide skor o zabezpecenie sifrovania, ktore je vyzadovane zakonoom pre rozne pouzitie. Tam moze patrit ochrana tajnych informacii a podobne.

Napr. neviem ako v CZ, ale na SK je mozne vyhotovit zaruceny elektronicky podpis len pomocou certifikovaneho hardwaroveho zariadenia, ktore robi viacmenej to iste ako TPM.

[Mrkva]

ps: co mě štve je nepodporovaná čtečka otisků prstů, s ní by to byla větší zábava.

Tohle jste zkoušel?

[vogo]

však píšu, že je nepodporovaná

[disorder]

da sa pouzit RNG, ale nejak tomu velmi nedoverujem

[petr_p]

Ano, já to používám. Ovšem ani jako akcelerátor kryptografických operací (moc pomalé a neumí dlouhé klíče s SHA-2), ani jako úložiště klíčů (celkem složité ovládání, omezený počet slotů, problémy s kompatibilitou v multibootu a opět malé klíče, i když openssl už to prý umí používat), ale pro zaručení integrity systému.

Čip v sobě má uložený klíč, který se v každé části bootu zřetězí s otiskem následně zaváděné kódu (BIOS, grub, Linux, initrd), vypočte se otisk tohoto řetězce a přepíše se jím hodnota registru (tzv. rozšíření). Takto se dojde až do initrd, kde cryptosetup použije výslednou hodnotu registru jako heslo k otevření luksového zařízení, v kterém je schované LVM a v něm všechny souborové systémy včetně kořenového.

Výsledkem je automatický start systému, pokud se v něm nikdo nehrabal. Pokud by se v něm někdo hrabal, tak selže otevření luksu.

Nasadil jsem to, protože BIOS té samé desky má nechutnou vlastnost – kdokoliv si může nabootovat z čehokoliv chce.

Plánoval jsem o tom napsat do blogu, ale pak jsem na to zapomněl. Možná tak učiním.

[vogo]

tohle zní zajímavě, přimlouvám se za zápisek do blogu :)

[Shadow]

+1

Taky se primlouvam.