Client Security Solution 8.3 Implementierungshandbuch - Lenovo

Wiederherstellung auf ihn zugegriffen werden kann, werden zwei Instanzen des Schlüssels erstellt
und auf zwei verschiedene Arten geschützt. Zum einen wird der Systembasisschlüssel mit einem
symmetrischen AES-Schlüssel verschlüsselt, der vom Client Security Solution-Administratorkennwort
oder vom Client Security-Verschlüsselungstext abgeleitet wird. Diese Kopie des Client Security
Solution-Wiederherstellungsschlüssels dient ausschließlich zur Wiederherstellung von einem gelöschten
TPM oder einer ausgetauschten Systemplatine aufgrund eines Hardwareausfalls.
Die zweite Instanz des Client Security Solution-Wiederherstellungsschlüssels wird durch den SRK für
den Import in die Schlüsselhierarchie verpackt. Durch diese doppelte Instanz des Systembasisschlüssels
kann das TPM mit ihm verbundene geheime Daten bei normalem Betrieb schützen. Außerdem ist eine
Wiederherstellung einer fehlerhaften Systemplatine durch den Systembasisschlüssel möglich, der mit einem
AES-Schlüssel verschlüsselt ist, der über das Client Security Solution-Administratorkennwort oder den Client
Security-Verschlüsselungstext entschlüsselt wird. Anschließend wird ein Systemblattschlüssel erstellt. Dieser
Schlüssel wird erstellt, um geheime Schlüssel auf Systemebene, wie z. B. den AES-Schlüssel, zu schützen.
Das folgende Diagramm stellt die Struktur für den Schlüssel auf Systemebene dar:
System Level Key Structure - Take Ownership
Trusted Platform Module
Storage Root Private Key
Storage Root Public Key
System Base Private Key
System Base Public Key
System Leaf Private Key
System Leaf Public Key
Encrypted via derived AES Key
System Base Private Key
System Base Public Key
One-Way Hash
CSS Admin PW/PP
One-Way Hash
System Base AES
Protection Key
(derived via output
of hash algorithm)
Abbildung 1. Systemebenenschlüsselstruktur - Eigentumsrecht übernehmen
Benutzer registrieren
Auth
If Passphrase
loop n times
Damit die Daten von allen Benutzern durch dasselbe TPM (Trusted Platform Module) geschützt werden
können, muss jeder Benutzer seinen eigenen Benutzerbasisschlüssel erstellen. Dieser asymmetrische
Speicherschlüssel kann migriert werden und wird ebenfalls zweimal erstellt und durch einen symmetrischen
AES-Schlüssel geschützt, der über das Windows-Kennwort oder den Client Security-Verschlüsselungstext
der einzelnen Benutzer generiert wird.
Die zweite Instanz des Benutzerbasisschlüssels wird dann in das TPM importiert und durch den System-SRK
geschützt. Bei der Erstellung des Benutzerbasisschlüssels wird ein zweiter asymmetrischer Schlüssel
erstellt, der als Benutzerblattschlüssel bezeichnet wird. Mit dem Benutzerblattschlüssel werden geheime
Daten der einzelnen Benutzer geschützt. Hierzu zählen der AES-Schlüssel für Password Manager, der
zum Schutz von Internetanmeldedaten dient, das Kennwort, mit dem Daten geschützt werden, und der
AES-Schlüssel für das Windows-Kennwort, der den Zugriff auf das Betriebssystem schützt. Der Zugriff
auf den Benutzerblattschlüssel wird über das Windows-Benutzerkennwort oder den Client Security
Kapitel 3. Mit Client Security Solution arbeiten 25