建站
咨詢
售后
建站咨詢
新聞中心
信息安全行業(yè)面臨著各種攻擊，這些攻擊對(duì)象包括Web瀏覽器、身份驗(yàn)證過程和Adobe軟件等。面對(duì)這么多的攻擊面，即使是實(shí)力雄厚經(jīng)驗(yàn)豐富的企業(yè)，都可能束手無策。
創(chuàng)新互聯(lián)公司專業(yè)為企業(yè)提供南譙網(wǎng)站建設(shè)、南譙做網(wǎng)站、南譙網(wǎng)站設(shè)計(jì)、南譙網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計(jì)與制作、南譙企業(yè)網(wǎng)站模板建站服務(wù)，10多年南譙做網(wǎng)站經(jīng)驗(yàn)，不只是建網(wǎng)站，更提供有價(jià)值的思路和整體網(wǎng)絡(luò)服務(wù)。
然而，很多安全專家可能沒有意識(shí)到的是，多年來，他們身邊一直隱藏著一個(gè)沒有得到充分利用的防御工具：可信平臺(tái)模塊(TPM)。
國際行業(yè)標(biāo)準(zhǔn)組織可信計(jì)算組(其中包括微軟、英特爾和惠普等公司)發(fā)布了TPM規(guī)范，其中介紹了什么是安全加密處理器--該處理器可以存儲(chǔ)加密密鑰。TPM是基于ISO/IEC標(biāo)準(zhǔn)11889而發(fā)布，雖然TPM 2.0目前正在開發(fā)中，我們預(yù)計(jì)它將通過FIPS 140-2或140-3認(rèn)證。與很多其他信息安全防御方案不同，TPM被內(nèi)置到現(xiàn)在很多端點(diǎn)計(jì)算設(shè)備中，這提供了不同的好處，同時(shí)也存在潛在缺陷。
在本文中，我們將詳細(xì)介紹TPM規(guī)范、企業(yè)能夠從TPM安全獲得什么優(yōu)勢(shì)以及TPM的潛在缺點(diǎn)。
TPM設(shè)備幫助提高企業(yè)安全性
現(xiàn)在很多設(shè)備(從計(jì)算機(jī)到手機(jī)，甚至到汽車系統(tǒng))都包含可信平臺(tái)模塊加密處理器。這些安全集成電路(通常安裝在設(shè)備的主板上)提供了基于硬件的加密和安全功能，例如系統(tǒng)完整性檢查、磁盤加密和密鑰管理，并且都是以機(jī)器速度進(jìn)行。
TPM的主要作用是利用安全的經(jīng)過驗(yàn)證的加密密鑰帶來強(qiáng)大的設(shè)備安全性。TPM功能的核心是簽注密鑰，這是在生產(chǎn)過程中內(nèi)置到TPM硬件的加密密鑰。這個(gè)簽注密鑰的私鑰部分絕不會(huì)出現(xiàn)在TPM外部或暴露給其他組件、軟件、程序或個(gè)人。另一個(gè)關(guān)鍵密鑰是存儲(chǔ)根密鑰，該密鑰也存儲(chǔ)在TPM內(nèi);它被用來保護(hù)其他應(yīng)用程序創(chuàng)建的TPM密鑰，使這些密鑰只能由TPM通過被稱為綁定的過程來解密，TPM也是通過該過程鎖定數(shù)據(jù)到設(shè)備。與簽注密鑰不同，只有當(dāng)TPM設(shè)備第一次被初始化或新用戶獲得所有權(quán)時(shí)，存儲(chǔ)根密鑰才會(huì)被創(chuàng)建。
由于TPM使用其自己內(nèi)部固件和邏輯電路來處理指令，這能夠抵御針對(duì)操作系統(tǒng)的基于軟件的攻擊，這意味著它可以為需要加密服務(wù)的任何進(jìn)程提高安全保護(hù)。全磁盤加密應(yīng)用程序(例如微軟的BitLocker Drive Encryption和WinMagic的SecureDoc)也利用TPM，同時(shí)，雙因素身份驗(yàn)證中使用的與指紋和智能讀卡器相關(guān)的密鑰可以存儲(chǔ)在TPM芯片中。
除了安全生成和存儲(chǔ)加密密鑰外，TPM還可以通過平臺(tái)配置寄存器(PCR)機(jī)制來記錄系統(tǒng)的狀態(tài)。這允許TPM進(jìn)行預(yù)啟動(dòng)系統(tǒng)完整性檢查，也被稱為遠(yuǎn)程證明，這是一個(gè)功能強(qiáng)大的數(shù)據(jù)保護(hù)功能。通過將數(shù)據(jù)加密密鑰存儲(chǔ)在TPM中，數(shù)據(jù)可以有效地受到保護(hù)，其中TPM有一個(gè)參考值來檢查PCR狀態(tài)。只有系統(tǒng)狀態(tài)與存儲(chǔ)的PCR值匹配，這些密鑰才會(huì)啟封和使用，并且，只有在滿足特定硬件和軟件條件時(shí)，才能夠訪問系統(tǒng)。
遠(yuǎn)程證明也可用于自修復(fù)系統(tǒng)。例如，當(dāng)谷歌Chromebook通電時(shí)，TPM會(huì)測(cè)量BIOS。如果這個(gè)測(cè)量和PCR值不匹配，Chromebook會(huì)在繼續(xù)啟動(dòng)之前回到上一個(gè)已知信任狀態(tài)，這顯著降低了設(shè)備遭受物理盜竊或軟件攻擊的風(fēng)險(xiǎn)。
TPM設(shè)備獨(dú)特的簽注密鑰也意味著，它可以被用來驗(yàn)證設(shè)備，而不是用戶。這個(gè)功能可以結(jié)合所有802.1x兼容的網(wǎng)絡(luò)政策執(zhí)行點(diǎn)(例如防火墻、交換機(jī)和路由器)來提供基于硬件的身份驗(yàn)證。無線和虛擬私有網(wǎng)絡(luò)也可以配置為執(zhí)行基于硬件的身份驗(yàn)證。利用硬件水平的安全服務(wù)能夠提供比純軟件機(jī)制更好的保護(hù);根據(jù)Aberdeen公司2012年的報(bào)告顯示，利用這種身份驗(yàn)證機(jī)制創(chuàng)建硬件信任根基的企業(yè)遭遇的安全事故要比其他企業(yè)低50%?；赥PM的這些安全優(yōu)勢(shì)，TPM沒有被廣泛應(yīng)用以及得到廣泛支持，這很讓人詫異。
TPM并不是萬能解決方案
再好的信息安全方法也有缺點(diǎn)，TPM同樣如此。例如，雖然數(shù)字版權(quán)管理(DRM)并不是TPM的預(yù)定用途，但一些企業(yè)還是擔(dān)心隱私問題，因?yàn)樗梢杂脕硖峁?qiáng)大的DRM和執(zhí)行軟件授權(quán)來鎖定內(nèi)容到特定機(jī)器和識(shí)別用戶活動(dòng)。對(duì)于企業(yè)來說，這里的主要缺點(diǎn)是，通過存儲(chǔ)密鑰在終端的TPM芯片中，基于TPM的身份驗(yàn)證會(huì)綁定用戶到單臺(tái)電腦。這使得多設(shè)備使用(例如在線辦公桌面)變得不可能，所以，很多企業(yè)會(huì)選擇使用第三方軟件進(jìn)行磁盤加密，特別是當(dāng)法規(guī)沒有要求使用TPM提供的額外安全時(shí)。
還需要注意的是，TPM的主要目的是為密鑰提供安全存儲(chǔ)，這意味著，數(shù)據(jù)只有在靜態(tài)才會(huì)受到保護(hù)，在使用過程中則沒有保護(hù)。一旦啟封，數(shù)據(jù)就是純文本格式;雖然TPM可以存儲(chǔ)預(yù)運(yùn)行時(shí)配置參數(shù)，但在設(shè)備完成開機(jī)后，它不能控制已經(jīng)執(zhí)行的惡意軟件。在加密和解密過程中，密鑰也容易受到攻擊，這個(gè)問題已經(jīng)通過冷啟動(dòng)攻擊得以證明。TPM的另一個(gè)問題(對(duì)于任何PKI加密都是如此)是密鑰管理。密鑰管理通常很復(fù)雜，對(duì)于TPM更是如此;它需要整合TPM密鑰管理與更廣泛的企業(yè)加密管理計(jì)劃，并最大限度地減少TPM給日常系統(tǒng)支持任務(wù)帶來的復(fù)雜性，例如丟失或遺忘身份驗(yàn)證憑證，或者安裝更改終端默認(rèn)狀態(tài)的軟件補(bǔ)丁。
與所有其他安全控制一樣，TPM的缺點(diǎn)可能給企業(yè)帶來潛在安全問題，所以，只有與其他現(xiàn)有端點(diǎn)控制(例如多因素身份驗(yàn)證、網(wǎng)絡(luò)訪問控制和惡意軟件檢測(cè))結(jié)合使用，它才是最有效的。
TPM的未來?
對(duì)于TPM設(shè)備的未來發(fā)展，我們將看到Wave Systems等供應(yīng)商發(fā)布新產(chǎn)品，以及TPM部署作為微軟Windows 8和Server 2012的核心組件，相關(guān)的安全部署可能會(huì)增加，特別是隨著密鑰管理變得更加簡化。事實(shí)上，微軟已經(jīng)要求在運(yùn)行Windows 8的設(shè)備(包括手機(jī)和平板電腦)以及運(yùn)行Server 2012的服務(wù)器包含TPM芯片，這將推動(dòng)TPM發(fā)展成為無處不在的安全保護(hù)機(jī)制。隨著越來越多的企業(yè)想要提供內(nèi)置安全性，同時(shí)確保不會(huì)給用戶造成不便，TPM還將繼續(xù)發(fā)展壯大，最終成為更具影響力的技術(shù)。
網(wǎng)站欄目：TPM安全概述：TPM設(shè)備的優(yōu)勢(shì)
本文鏈接：http://m.5511xx.com/article/cophsjj.html
