Client Security Solution 8.3 Implementierungshandbuch - Lenovo

Softwareemulation
Damit Benutzer, deren Computer über kein TPM verfügt, eine ähnliche Ansicht erhalten, unterstützt CSS
den TMP-Emulationsmodus.
Der TPM-Emulationsmodus ist eine softwarebasierte Sicherheitsbasis. Dem Benutzer stehen dieselben
Funktionen, die vom TPM bereitgestellt werden, wie z. B. digitale Signatur, die Entschlüsselung
symmetrischer Schlüssel, RSA-Schlüsselimport, Schutz und Generierung von zufallsgenerierten Nummern,
zur Verfügung. Allerdings ist die Sicherheit geringer, da es sich bei der Sicherheitsbasis um softwarebasierte
Schlüssel handelt.
Der TPM-Emulationsmodus kann nicht als sicherer Ersatz für das TPM verwendet werden. Das TPM bietet
die folgenden beiden Schlüsselschutzmethoden, die sicherer sind als der TPM-Emulationsmodus.
• Alle vom TPM verwendeten Schlüssel sind durch einen eindeutigen Schlüssel auf Stammverzeichnisebene
geschützt. Der eindeutige Schlüssel auf Stammverzeichnisebene wird innerhalb des TPM erstellt und
kann außerhalb davon weder angezeigt noch verwendet werden. Im TPM-Emulationsmodus ist der
Schlüssel auf Stammverzeichnisebene ein softwarebasierter Schlüssel, der auf dem Festplattenlaufwerk
gespeichert ist.
• Alle Operationen mit privatem Schlüssel werden im TPM durchgeführt, so dass das private
Schlüsselmaterial für keinen Schlüssel jemals außerhalb des TPM angezeigt wird. Im
TPM-Emulationsmodus werden alle Operationen mit privatem Schlüssel in der Software durchgeführt, so
dass kein Schutz des privaten Schlüsselmaterials besteht.
Der TPM-Emulationsmodus ist in erster Linie für Benutzer gedacht, denen Sicherheit kein so großes Anliegen
ist und denen es eher um die Geschwindigkeit bei der Systemanmeldung geht.
Austausch der Systemplatine
Ein Austausch der Systemplatine bedeutet, dass der alte SRK, an den die Schlüssel gebunden waren, nicht
mehr gilt, und dass ein anderer SRK erforderlich ist. Dieser Fall kann auch eintreten, wenn das TPM (Trusted
Platform Module) über das BIOS gelöscht wird.
Der Client Security Solution-Administrator muss die Berechtigungsnachweise des Systems
an einen neuen SRK binden. Es ist erforderlich, dass der Systembasisschlüssel über den
Systembasis-AES-Sicherungsschlüssel entschlüsselt wird, der von den Berechtigungsnachweisen zur
Autorisierung des Client Security Solution-Administrators abgeleitet wird.
Wenn es sich beim Client Security Solution-Administrator um eine Domänenbenutzer-ID handelt und
das Kennwort für diese Benutzer-ID auf einer anderen Maschine geändert wurde, muss das Kennwort
bekannt sein, das bei der letzten Anmeldung auf dem System, das wiederhergestellt werden soll, verwendet
wurde, um den Systembasisschlüssel für die Wiederherstellung zu entschlüsseln. Ein Bespiel: Bei der
Implementierung wird eine Benutzer-ID und ein Kennwort des Client Security Solution-Administrators
konfiguriert. Ändert sich das Kennwort von diesem Benutzer auf einer anderen Maschine, ist das
ursprüngliche, bei der Implementierung festgelegte Kennwort für die Autorisierung erforderlich, um das
System wiederherzustellen.
Gehen Sie wie folgt vor, um die Systemplatine auszutauschen:
1. Melden Sie sich als Client Security Solution-Administrator am Betriebssystem an.
2. Der bei der Anmeldung ausgeführte Code (cssplanarswap.exe) erkennt, dass der Sicherheitschip nicht
aktiviert ist und fordert einen Neustart für die Aktivierung an. (Dieser Schritt kann durch die Aktivierung
des Sicherheitschips im BIOS umgangen werden.)
3. Das System wird erneut gestartet und der Sicherheitschip aktiviert.
Kapitel 3. Mit Client Security Solution arbeiten 27