#129 - Was bedeutet TPM‪?‬ IT Manager Podcast (DE, german) - Aktuelle IT-Themen vorgestellt und diskutiert

Die Abkürzung TPM steht für Trusted Platform Module. Es handelt sich hierbei um einen Mikrochip, der Computer oder ähnliche Geräte um grundlegende Sicherheitsfunktionen erweitert, um die Plattformintegrität sicherzustellen. Sobald es auf einem System installiert ist, dient es zur sicheren Hinterlegung von Schlüsseln, Passwörtern und digitalen Zertifikaten, um eine Plattform-Validierung zu ermöglichen, eine zentrale Vertrauensbasis einzurichten und die Voraussetzungen für das Management von Anwender-Legitimationen zu schaffen. Außerdem lässt sich mit dem TPM verifizieren, dass an der Hardware keine Veränderungen vorgenommen wurden und am BIOS keine Manipulationen erfolgt sind.
TPM-Chips werden grundsätzlich nach der TCG-Spezifikation entwickelt. Die TCG-Spezifikation basiert auf einem offenen herstellerneutralen Industriestandard, der durch die Trusted Computing Group, einer Non-Profit-Organisation von Firmen, für das Trusted Computing entwickelt, definiert und gefördert wird.
Das TPM ist laut TCG-Spezifikation ein passives Modul. Das bedeutet, dass jede Aktion einer TPM-Komponente von außerhalb des TPM über eine entsprechende Schnittstelle angestoßen werden muss. Auf den ersten Blick ist es mit einer Chipkarte vergleichbar. Das heißt es enthält unter anderem logische Einheiten, Speicherbereiche und einen Ein-/Ausgabekanal. Der signifikante Unterschied besteht jedoch darin, dass ein TPM-Chip an eine Plattform bzw. ein System gebunden ist, wogegen eine Chipkarte in aller Regel einen einzigen Besitzer hat.
Die Sicherheitsfunktionen, die die TPM-Module bieten, sind umfassend. Dazu zählen:
Versiegelung, Auslagerung, Bescheinigung, Schutz für kryptografische Schlüssel und sicherer Zufallsgenerator.
Mit der Verschlüsselung, die auch als Sealing bezeichnet wird, können Daten an das Gerät verbunden verschlüsselt werden. Die krypotgrafischen Schlüssel werden direkt im TPM Modul abgelegt. Damit wird die Sicherheitsfunktion 'Schutz für kryptografische Schlüssel' implementiert. Vor einem Hard- oder Softwareangriff sind die Schlüssel so sehr weitreichend geschützt. Durch die als Binding oder Wrapping bezeichnete Auslagerung lassen sich Schlüssel auf externe Speicher exportieren, wodurch die Zahl der Schlüssel bei TPMs nahezu unbegrenzt ist. Mittels Remote Attestation oder Bescheinigung sichert die Technik einer entfernten Partei Fähigkeiten und Zustand des Systems zu. Meist kommen dafür das Privacy CA (Trusted Third Party) Verfahren oder die Direct Anonymous Attestation zum Einsatz. Über das Sicherheitsfeature sicherer Zufallsgenerator garantiert Ihnen das TPM gemäß der TCG-Spezifikation einen zuverlässigen Zufallsgenerator bereitzustellen, der für eine sichere Verschlüsselung unabdingbar ist. Außerdem sind im Trusted Platform Module diverse Zertifikate und Schlüsselpaare enthalten, die zum einen die Korrektheit des Herstellungsprozesses bestätigen sollen und zum anderen das Modul eindeutig identifizieren und zum Verschlüsseln oder digitalen Signieren von Daten dienen.
Endorsement Zertifikat — Dieses Zertifikat bestätigt die Echtheit des TPM. Genaugenommen wird sichergestellt, dass das TPM von einem autorisierten Hersteller bereitgestellt wurde. Das TPM wird in dem Zertifikat durch ein 2048 Bit langes Schlüsselpaar, dem sog. Endorsement Key, eindeutig repräsentiert. Dieses Schlüsselpaar wird entweder bei der Herstellung des TPM-Chips vom Hersteller erzeugt oder erst zu einem späteren Zeitpunkt im Chip gebildet. In beiden Fällen verlässt der Endorsement Key das Trusted Platform Module niemals. Der Endorsement Key wird verwendet, um sog. Attestation Identity Keys, kurz AIK zu erzeugen. Der Attestation Identity Key schützt das Gerät gegen unautorisierte Firmware und modifizierte Software. Dafür wird ein Hash kritischer Sektionen der Firmware oder der Software erstellt, bevor sie ausgeführt wird. Will sich das System mit einem Netzwerk verbinden, werden diese Hash-Werte zu