Siła zaufania - Trusted Platform Module

Nie tak bezpieczny?

Siła zaufania - Trusted Platform Module

Przystawka do zarządzania TPM - Windows 7

TPM budzi wiele emocji. Dzieje się tak z kilku powodów. Są kraje, w których jego stosowanie jest zabronione. Na liście nie dziwi obecność Chin, ale znajdują się tam również Rosja czy Białoruś. Inne ważne wydarzenie w historii TPM, to prezentacja przedstawiona na ubiegłorocznej konferencji "BlackHat DC" (luty 2010 r.). Christopher Tarnovsky zrobił coś, co przez wielu było uważane za niemożliwe - złamał TPM. Tak naprawdę, to "rozpracował" procesor SLE 66 CL PC, który został wykorzystany przez jednego z największych producentów układów, firmę Infineon. Za pomocą skonstruowanego przez siebie narzędzia złamał klucze licencyjne Xboxa 360. Jak sam przyznał, nie jest to zadanie proste (ale możliwe). Wymagało to, po pierwsze, znacznej ingerencji w sprzęt (rozpuszczenie obudowy układu, zbudowanie wolframowych mostków), a po drugie - sporych nakładów czasowych (na opracowanie metody Tarnovsky poświęcił pół roku). Co ciekawe, badacz ten nie był pierwszym, który zanegował tezę o niemożliwości złamania TPM. Już w 2007 r., również na konferencji "BlackHat", miała zostać przedstawiona prezentacja na podobny temat. Z niewyjaśnionych do końca przyczyn wycofaną ją w ostatniej chwili. Jednakże ataki to jedna rzecz, a druga to ich znaczenie dla użytkowników. Niefrasobliwością byłoby powiedzenie, że nie ma się czego obawiać (a ponadto Tarnovsky nie ma zamiaru upowszechniać swoich odkryć), niemniej jednak rzecz nie jest trywialna. Wymaga też niemałej wiedzy oraz fizycznego dostępu do komputera przez dłuższy czas. O ile laptopa można po prostu ukraść, o tyle wyniesienie serwera stanowi znacznie poważniejsze wyzwanie. Ciekawa jest też opinia twórców popularnego TrueCrypta, twierdzących, że jedyną gwarantowaną rzeczą, którą daje TPM, jest złudzenie bezpieczeństwa. Według nich, nawet sama nazwa wprowadza w błąd, ponieważ żadna platforma nie pozostaje zaufana, po tym jak dostanie się w niepowołane ręce.

Niektórzy uznają, że nie ma potrzeby interesowania się TPM także z innych powodów. Przecież są karty kryptograficzne czy tokeny USB. Ale dużą rolę odgrywa tutaj cena, jak w rozmowie z dziennikarzem amerykańskiego tygodnika "Network World" powiedział Boudewijn Kiljan, Solution Architect w PricewaterhouseCoopers - karta kryptograficzna może być dwukrotnie droższa, a token o 1/3 droższy niż TPM. Poza tym specyfikacja TPM już jest dostępna, a przy odpowiedniej konfiguracji jest także rozwiązaniem niemalże bezobsługowym.

Konkurencja

Pomimo sceptycyzmu i sprzecznych sygnałów płynących z rynku, specyfikacja TPM jest jednak w stanie podnieść poziom bezpieczeństwa. Tego, że koncepcja stworzona przez TCG jest sensowna, dowodzą próby stworzenia rozwiązań konkurencyjnych wobec TPM. Przykładem może być choćby ControlVault (zbudowany przez Della) czy układ chińskiej produkcji o tajemniczej nazwie Hengzhi.


TOP 200