c't magazin für computer technik 15 vom 1.7.2013 - since

Know-how | Trusted ComputingStorage Keys werden sie nichtzufällig generiert, sondern direktvon einem Seed abgeleitet.In jedem TPM stecken drei PrimarySeeds, innerhalb derer Hierarchiefast alle weiteren Schlüsselunterkommen. Die einzigeAusnahme sind Ephemeral Keys:Aufgrund ihrer Flüchtigkeit sindsie hierarchisch unabhängig.Der Platform Primary Seed(PPS) gehört fest zur Hardwareund lässt sich nicht zurücksetzen.Alle von diesem Seed abgeleitetenSchlüssel unterstehendem Hardware-Hersteller. Mitdem Platform Seed kann diePlattform beispielsweise Kennwörterfür die Festplatte sowieUEFI-Variablen sichern. Auch lassensich auf diesem Weg Updatesüberprüfen.Der Endorsement PrimarySeed (EPS) lässt sich hingegen beiBedarf neu generieren. Da rausabgeleitete Schlüssel und Identitätensind gegen Denial-of-Service-Angrifferobust: Da sie imTPM liegen, lassen sie sich nichtblockieren. Werden sie gelöscht,generiert das TPM sie anhandder KDF neu. Auf Basis des EPSwerden Identitäten und Schlüsselgesichert.Der Storage Primary Seed(SPS) dient zur Sicherung vonSchlüsseln und Daten-Containern.Dafür kann er sowohl vomBetriebssystem genutzt werden(etwa für Bitlocker) als auch vomAnwender (Datei-Verschlüsselung).Der SPS lässt sich ebenfallszurücksetzen, etwa um den Inhalteiner Festplatte für immerunlesbar zu machen.Wie die meisten Kryptomoduleschützt auch das TPM seineIntegrität. Die Dictionary AttackProtection erschwert Angriffeüber Rainbow Tables; dies sindgroße Tabellen mit vorberechnetenWerten zum Knacken vonHash-Werten. Beim TPM 2.0kann der Besitzer der Hardwareerstmals die Parameter desSchutzes vorgeben – wie vielefalsche Versuche erlaubt sindund nach wie vielen fehlgeschlagenenAutorisierungsversuchensich das TPM sperren soll. Innerhalbdes Sperrzeitraums ist einZugriff auf autorisierungsbedürftigeFunktionen nur nochdurch die Eingabe eines geheimenZugangsschlüssels möglich– vergleichbar damit, wie einnach mehrfacher falscher PIN-Eingabe gesperrtes Handy erstnach Angabe einer PUK freigegebenwird. UnautorisierteIm Windows-Tablet Microsoft Surface steckt ein TPMˇ2.0.Es ist in das ARM-SoC integriert – in diesem Fall kommtein Tegraˇ3 von Nvidia zum Einsatz.Funktionen bleiben hingegenbenutzbar, um DoS-Angriffe aufdas TPM einzuschränken.Notariell beglaubigtDie Funktion des TPM ist dieeines Notars, also eines ver -trauenswürdigen Dritten. Die öffentlicheinsehbare Spezifikationlegt fest, dass die Beglaubigungsfunktionenin alle Richtungenneutral sind. Sie kennen alsokeine Ausnahmen – weder fürdie Hersteller des TPM und derumliegenden Hardware noch fürden Besitzer des Geräts.Diesem Notar kann man entwedervertrauen oder nicht. Vonsich aus greift das TPM nie in dieProgrammausführung ein. Allerdingskann eine Firmware oderein Betriebssystem das TPM verwenden,um damit aktiv Richt -linien durchzusetzen.Die vom TPM gesicherte Vertrauenskettebeginnt mit der Initialisierungmehrerer PlatformConfiguration Register (PCR)beim Start des Systems. Im Verlaufdes Systemstarts haltenRechner und Betriebssystem diewechselnden Zustände der sicherheitsrelevantenKomponentenfest, beginnend bei Firm -ware, UEFI und Bootloader. Diekonkrete Form der Messunghängt vom System ab; meistwird entweder eine Prüfsummedes Codes oder dessen Signaturerfasst. PCRs lassen sich aberauch um Zertifikate oder Registry-Inhalteerweitern.Schrittweise erweitert dasTPM die PCRs um die stattgefundenenMessungen. Das TPMzeichnet die Boot-Sequenz alsonicht direkt auf, sondern protokolliertsie nur anhand von PCR-Erweiterungen. Wiederholt mandie Messungen später, müssendabei dieselben PCR-Werte her -auskommen. Dies verifiziert dieIntegrität des Boot-Vorgangs.Anhand des Messungsprotokollsbestätigt das TPM den ak -tuellen Zustand der Maschine –entweder für das Betriebssystemoder gegenüber Dritten. „Attestation“heißt der Vorgang, wenndas TPM die Messungen derKonfiguration mit einer Unterschriftverknüpft. Hierfür kommenspezielle Signaturschlüsselzum Einsatz. Das TPM 1.2 konntemit seinen Attestation IdentityKeys (AIK) nur Anfragen nachStandards signieren, die dasModul auch intern unterstützte.Daher konnte es beispielsweisekeine X.509-Zertifikatsanfragensignieren.Die Restricted Signing Keysdes TPM 2.0 kennen dieses Problemnicht, signieren aber nurvom TPM selbst erzeugte Zusammenfassungendes Systemzustands(Digests). Dies machtden Signaturprozess fälschungssicher.Die Beglaubigungsfunktionmacht auch im TPM erzeugteSchlüssel vertrauenswürdiger. Sokann das TPM etwa gegenübereiner Certificate Authority (CA)bestätigen, dass ein SSL-Zertifikattatsächlich an ein bestimmtesSystem gebunden ist. Auchkönnen Schlüssel signalisieren,dass sie eine Zwei-Faktor-Autorisierungbenötigen, etwa eine zusätzlichePIN.Das TPM kann Schlüssel erzeugen,die nur unter bestimmtenRandbedingungen funktionieren– wenn sich das System also ineinem zuvor als „gesund“ definiertenund zertifizierten Zustandbefindet. Eine Bank könntevor Online-Transaktionen überprüfen,ob der Zustand des Rechnersihren Vorgaben entspricht.Hierfür muss der Rechner denVorgang mit dem Schlüssel desgewünschten Zustands gegenzeichnen.Dies kann das TPMaber nur, sofern diese Konfigurationtatsächlich aktiv ist. PassenSignatur und Zertifikat nicht zusammen,kann die Bank den Vorgangabbrechen.Komplexe AutorisierungDas TPM 1.2 ermöglichte ausschließlichsymmetrische Autorisierungen,bei denen beide Seitenein Geheimnis teilen. DerNachfolger unterstützt eine flexiblereAutorisierung, genannt„Enhanced Authorization“ (EA).Sie besteht aus einer Kette verknüpfterAutorisierungen.Dieser Ansatz ermöglicht sehrflexible Autorisierungstypen, da -r unter Challenge-Response, Einweg-Tokens(wie TANs) sowieverteilte Autorisierungen (N ofM). Darüber hinaus dürfen TPM-Hersteller ihre Hardware fürzusätzliche Authentifizierungs -szenarien um eigene Befehle erweitern.Zusätzlich zu den kryptografischenFunktionen erweitert dasTPM die PC-Plattform um nichtflüchtigeSpeicherbereiche, indie nur autorisierte Prozesseschreiben dürfen.Malware versucht meist, sichfest im angegriffenen System zuverankern. Hierfür muss sie sichin den Startvorgang des Betriebssystemseinklinken. Daskann jedoch nicht gelingen,wenn Bootloader und Betriebssystemvon einem schreibgeschütztenMedium ausgeführtwerden. Das gesamte Betriebssystempasst zwar nicht ins TPM– es kann aber durchaus Konfigurationenspeichern, etwa ge -180 c’t 2013, Heft 15