揭秘TPM安全芯片技術(shù)及應(yīng)用

揭秘TPM安全芯片技術(shù)及應(yīng)用隨著安全形勢(shì)的越來(lái)越嚴(yán)峻，目前國(guó)內(nèi)外越來(lái)越重視安全芯片的研制，主要分為國(guó)外的TPM和國(guó)內(nèi)的TCM兩大陣營(yíng)，TPM(TrustedPlatformModule)標(biāo)準(zhǔn)的芯片從要求上首先必須具有產(chǎn)生加、解密密鑰功能，還必須能夠進(jìn)行高速的資料加、解密。在我國(guó)為避免影響國(guó)家戰(zhàn)略安全的核心技術(shù)控制在某些國(guó)家手中，我國(guó)也在同步進(jìn)行可信計(jì)算平臺(tái)的研究和部署工作。其中，部署可信計(jì)算體系中，密碼技術(shù)是最重要的核心技術(shù)。典型安全事件從2003年開始，重要數(shù)據(jù)丟失已經(jīng)成為嚴(yán)重的信息安全問(wèn)題。盡管企業(yè)、機(jī)構(gòu)和個(gè)人均不同程度地部署了保密措施，但泄密案例還是層出不窮。從近年來(lái)國(guó)內(nèi)外公開發(fā)布的失泄密案件資料中，我們選擇了以下幾個(gè)經(jīng)典案例。2010年阿桑奇和他的“維基解密”幾乎成為所有政府和企業(yè)的夢(mèng)魘。各種“爆料”猶如一個(gè)個(gè)重磅炸彈，以致于整個(gè)世界引起軒然大波,美國(guó)的安全防范級(jí)別幾乎是世界范圍內(nèi)密集程度和技術(shù)含量最高的，但阿桑奇卻用實(shí)際行動(dòng)證明其并非見不可破!由此可見，數(shù)據(jù)泄密是沒有真空領(lǐng)域的.2011年12月21日上午，黑客在網(wǎng)上公開CSDN網(wǎng)站的用戶數(shù)據(jù)庫(kù)，導(dǎo)致600余萬(wàn)個(gè)注冊(cè)賬號(hào)泄露，之后網(wǎng)上曝出人人網(wǎng)、天涯、開心網(wǎng)、多玩、世紀(jì)佳緣、珍愛網(wǎng)、美空網(wǎng)、百合網(wǎng)等知名網(wǎng)站的用戶稱密碼遭網(wǎng)上公開泄露。最新監(jiān)測(cè)數(shù)據(jù)發(fā)現(xiàn)，目前網(wǎng)上公開暴露的網(wǎng)絡(luò)賬戶密碼超過(guò)1億個(gè)。因此，“泄密門”為我們敲響網(wǎng)絡(luò)安全警鐘。點(diǎn)擊圖片查看大圖一、安全芯片發(fā)展現(xiàn)狀隨著安全形勢(shì)的越來(lái)越嚴(yán)峻，目前國(guó)內(nèi)外越來(lái)越重視安全芯片的研制，主要分為國(guó)外的TPM和國(guó)內(nèi)的TCM兩大陣營(yíng)，TPM(TrustedPlatformModule)標(biāo)準(zhǔn)的芯片從要求上首先必須具有產(chǎn)生加、解密密鑰功能，還必須能夠進(jìn)行高速的資料加、解密。在我國(guó)為避免影響國(guó)家戰(zhàn)略安全的核心技術(shù)控制在某些國(guó)家手中，我國(guó)也在同步進(jìn)行可信計(jì)算平臺(tái)的研究和部署工作。其中，部署可信計(jì)算體系中，密碼技術(shù)是最重要的核心技術(shù)。二、TPM安全芯片傳統(tǒng)的系統(tǒng)中，密鑰和授權(quán)信息都存儲(chǔ)在硬盤中，這樣非常不安全，而在帶TPM安全芯片的系統(tǒng)中，難度加大了很多，這時(shí)攻擊者只有攻破TPM才有可能攻破系統(tǒng)的防護(hù)。這樣，這樣以來(lái)TPM成為系統(tǒng)可信的最低層次，它提供了整個(gè)系統(tǒng)可信的基礎(chǔ)。那么TPM就安全嗎？TPM的可信基礎(chǔ)來(lái)源于可信根，可信根(Rootoftrust)是無(wú)條件被信任的，系統(tǒng)并不檢測(cè)可信根的行為，因此可信根是否真正值得信任，是系統(tǒng)可信的關(guān)鍵。TPM是一個(gè)含有密碼運(yùn)算部件和存儲(chǔ)部件的小型系統(tǒng)，也可以作為另一個(gè)芯片的一部分出現(xiàn)，比如以太網(wǎng)接口。如下圖所示，TPM安全芯片包含了分別實(shí)現(xiàn)RSA、SHA-I等算法硬件處理引擎，它既是密鑰生成器，又是密鑰管理器件。TPM通過(guò)提供密鑰管理和配置管理等特性，與配套的應(yīng)用軟件一起，主要用于完成計(jì)算平臺(tái)的可靠性認(rèn)證、防止未經(jīng)授權(quán)的軟件修改、用戶身份認(rèn)證、數(shù)字簽名以及全面加密硬盤和可擦寫等功能。TPM安裝在輸入/輸出控制器，即連接外部設(shè)備與內(nèi)存的總線中，讓TPM可以監(jiān)視每一個(gè)從外存裝載入內(nèi)存的軟件。由于TPM處于硬件層，所以只要用戶選擇了打開TCG功能，任何行為都無(wú)法逃避監(jiān)視。TPM安全芯片首先驗(yàn)證當(dāng)前底層固件的完整性，如正確則完成正常的系統(tǒng)初始化，然后由底層固件依次驗(yàn)證BIOS和操作系統(tǒng)完整性，如正確則正常運(yùn)行操作系統(tǒng)，否則停止運(yùn)行。之后，利用TPM安全芯片內(nèi)置的加密模塊生成系統(tǒng)中的各種密鑰，對(duì)應(yīng)用模塊進(jìn)行加密和解密，向上提供安全通信接口，以保證上層應(yīng)用模塊的安全。TPM會(huì)按照整個(gè)系統(tǒng)及應(yīng)用軟件棧的裝載順序來(lái)監(jiān)視裝載到計(jì)算平臺(tái)上的系統(tǒng)軟件及所有應(yīng)用軟件，TPM采用哈希擴(kuò)展算法，以哈希值特征的形式來(lái)存儲(chǔ)所有能夠被平臺(tái)裝載的全部軟件。例如，在X86平臺(tái)運(yùn)行過(guò)程中，從機(jī)器加電啟動(dòng)開始，TPM將按照如下的順序監(jiān)視軟硬件系統(tǒng)及應(yīng)用軟件棧的裝載過(guò)程：BIOS、MBR、OS裝載器、OS、用戶應(yīng)用程序1-n.TPM將計(jì)算平臺(tái)上的整個(gè)軟件鏈的哈希值進(jìn)行記錄，之后就能夠把該平臺(tái)上的軟件加載狀況向管理中心報(bào)告。TPM可以對(duì)每個(gè)報(bào)告進(jìn)行數(shù)字簽名，確保報(bào)告的真實(shí)性。點(diǎn)擊圖片查看大圖點(diǎn)擊圖片查看大圖隨著安全形勢(shì)的越來(lái)越嚴(yán)峻，目前國(guó)內(nèi)外越來(lái)越重視安全芯片的研制，主要分為國(guó)外的TPM和國(guó)內(nèi)的TCM兩大陣營(yíng)，TPM(TrustedPlatformModule)標(biāo)準(zhǔn)的芯片從要求上首先必須具有產(chǎn)生加、解密密鑰功能，還必須能夠進(jìn)行高速的資料加、解密。在我國(guó)為避免影響國(guó)家戰(zhàn)略安全的核心技術(shù)控制在某些國(guó)家手中，我國(guó)也在同步進(jìn)行可信計(jì)算平臺(tái)的研究和部署工作。其中，部署可信計(jì)算體系中，密碼技術(shù)是最重要的核心技術(shù)。三、筆記本中的TPM安全芯片點(diǎn)擊圖片查看大圖ThinkPad筆記本中的TPM安全芯片可以與指紋識(shí)別模塊一起使用，普通筆記本中的指紋識(shí)別技術(shù)一般是把指紋驗(yàn)證信息儲(chǔ)存在硬盤中，而ThinkPad中的TPM安全芯片則是直接將指紋識(shí)別信息置于安全芯片中。一旦遭到暴力破解，安全芯片就啟動(dòng)自毀功能，這樣保證了您的個(gè)人信息資料不會(huì)泄密。安全芯片通過(guò)LPC總線下的系統(tǒng)管理總線來(lái)與處理器進(jìn)行通信，安全芯片的密碼數(shù)據(jù)只能輸入而不能輸出。即關(guān)鍵的密碼加密與解密的運(yùn)算將在安全芯片內(nèi)完成，而只將結(jié)果輸出到上層。安全芯片和指紋識(shí)別配合能達(dá)到最高的安全級(jí)別。基于以上的思想，TCG計(jì)算機(jī)使用TPM安全芯片對(duì)硬盤中的數(shù)據(jù)進(jìn)行加密。TPM安全芯片可以插入主板或直接以焊接到主板上的方式進(jìn)入主機(jī)，還可以將它們與BIOS集成在一起。TPM實(shí)際上就是在計(jì)算機(jī)系統(tǒng)中加入了一個(gè)可信第三方，通過(guò)可信第三方對(duì)系統(tǒng)的度量和約束來(lái)保證一個(gè)系統(tǒng)可信。四、TPM應(yīng)用安全領(lǐng)域多年的研究已經(jīng)證明，在網(wǎng)絡(luò)接入層構(gòu)建安全的接入模式是形成一體化深度防御的基礎(chǔ)，要經(jīng)過(guò)長(zhǎng)期的努力。但是在關(guān)鍵行業(yè)，如政府機(jī)關(guān)、企業(yè)的內(nèi)部體系中,政府部門每天都要面對(duì)眾處理日常事務(wù)，對(duì)象相對(duì)復(fù)雜，增加了流失和泄露機(jī)密文件的概率,所以部署TPM安全平臺(tái);型企業(yè)內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜，應(yīng)用眾多，需要進(jìn)行大量的跨部門信息傳遞。因此，它對(duì)可信計(jì)算技術(shù)的需求最為強(qiáng)烈，以解決底層安全、身份認(rèn)證、數(shù)據(jù)加密、集成管理等一系列問(wèn)題。如目前國(guó)外有很多公司在研究TPM芯片，也有不少成熟的產(chǎn)品，例如Thinkpad在X、R、T、W系列都帶有TPM安全芯片，由于國(guó)內(nèi)起步較晚也有商用的產(chǎn)品主要由聯(lián)想、兆日及同方等少數(shù)公司在開發(fā)TPM平臺(tái),接下來(lái)我將以ThinkpadT系列機(jī)型為例給大家介紹如何啟用TPM。1.在開機(jī)時(shí)按F1，進(jìn)入Security安全欄選中SecurityChip,使得在啟動(dòng)狀態(tài)，如下圖所示點(diǎn)擊圖片查看大圖當(dāng)你在BIOS中設(shè)置好啟動(dòng)安全芯片時(shí)，這時(shí)系統(tǒng)提示“是否立即激活安全設(shè)備”，選中是以后，系統(tǒng)會(huì)提示需要重啟。點(diǎn)擊圖片查看大圖點(diǎn)擊圖片查看大圖2.當(dāng)再次啟動(dòng)時(shí)，首先系統(tǒng)會(huì)提示配置TPM平臺(tái)，只需要按F10即可激活TPM。點(diǎn)擊圖片查看大圖點(diǎn)擊圖片查看大圖這時(shí)進(jìn)入Windows系統(tǒng)就會(huì)看到安全設(shè)備已激活的信息。點(diǎn)擊確定以設(shè)置ClientSecuritySolution點(diǎn)擊圖片查看大圖首次進(jìn)入CSS會(huì)有幾秒鐘時(shí)間系統(tǒng)初始化設(shè)置。點(diǎn)擊圖片查看大圖ClientSecuritySolution啟動(dòng)界面