信息安然行業(yè)面對著各類報復打擊，這些報復打擊對象包含Web瀏覽器、身份驗證過程和Adobe軟件等。面對這么多的報復打擊面，即便是實力雄厚經驗豐碩的企業(yè)，都可能束手無策。
但是，良多安然專家可能沒成心想到的是，多年來，他們身邊一向隱躲著一個沒有獲得充分操縱的防御東西：可托平臺模塊(TPM)。
國際行業(yè)尺度組織可托計較組(此中包含微軟、英特爾和惠普等公司)發(fā)布了TPM規(guī)范，此中介紹了甚么是安然加密措置器--該措置器可以存儲加密密鑰。TPM是基于ISO/IEC尺度11889而發(fā)布，當然TPM 2.0今朝正在開辟中，我們估計它將經由過程FIPS 140-2或140-3認證。與良多其他信息安然防御方案不合，TPM被內置到此刻良多端點計較設備中，這供給了不合的好處，同時也存在暗藏缺點。
在本文中，我們將具體介紹TPM規(guī)范、企業(yè)可以或許從TPM安然獲得甚么優(yōu)勢和TPM的暗藏錯誤謬誤。
TPM設備幫忙進步企業(yè)安然性
此刻良多設備(從計較機到手機，乃至到汽車系統(tǒng))都包含可托平臺模塊加密措置器。這些安然集成電路(凡是安裝在設備的主板上)供給了基于硬件的加密和安然功能，例如系統(tǒng)完全性查抄、磁盤加密和密鑰治理，并且都是以機械速度進行。
TPM的首要感化是操縱安然的顛末驗證的加密密鑰帶來強大年夜的設備安然性。TPM功能的核心是簽注密鑰，這是在出產過程中內置到TPM硬件的加密密鑰。這個簽注密鑰的私鑰部門盡不會呈此刻TPM外部或透露給其他組件、軟件、法度或小我。另外一個關頭密鑰是存儲根密鑰，該密鑰也存儲在TPM內;它被用來呵護其他利用法度成立的TPM密鑰，使這些密鑰只能由TPM經由過程被稱為綁定的過程來解密，TPM也是經由過程該過程鎖定命據到設備。與簽注密鑰不合，只有當TPM設備第一次被初始化或新用戶獲得所有權時，存儲根密鑰才會被成立。
因為TPM利用其本身內部固件和邏輯電路來措置指令，這可以或許抵抗針對把持系統(tǒng)的基于軟件的報復打擊，這意味著它可覺得需要加密辦事的任何過程進步安然呵護。全磁盤加密利用法度(例如微軟的BitLocker Drive Encryption和WinMagic的SecureDoc)也操縱TPM，同時，雙身分身份驗證中利用的與指紋和智能讀卡器相干的密鑰可以存儲在TPM芯片中。
除安然生成和存儲加密密鑰外，TPM還可以經由過程平臺建設存放器(PCR)機制來記實系統(tǒng)的狀況。這承諾TPM進行預啟動系統(tǒng)完全性查抄，也被稱為長途證實，這是一個功能強大年夜的數(shù)據呵護功能。經由過程將數(shù)據加密密鑰存儲在TPM中，數(shù)據可以有效地遭到呵護，此中TPM有一個參考值來查抄PCR狀況。只有系統(tǒng)狀況與存儲的PCR值匹配，這些密鑰才會啟封和利用，并且，只有在知足特定硬件和軟件前提時，才可以或許拜候系統(tǒng)。
長途證實也可用于自修復系統(tǒng)。例如，當谷歌Chromebook通電時，TPM會測量BIOS。假定這個測量和PCR值不匹配，Chromebook會在繼續(xù)啟動之前回到上一個已知信賴狀況，這較著降落了設備蒙受物理盜竊或軟件報復打擊的風險。
TPM設備奇特的簽注密鑰也意味著，它可以被用來驗證設備，而不是用戶。這個功能可以連絡所有802.1x兼容的收集政策履行點(例如防火墻、互換機和路由器)來供給基于硬件的身份驗證。無線和虛擬私有收集也能夠建設為履行基于硬件的身份驗證。操縱硬件程度的安然辦事可以或許供給比純軟件機制更好的呵護;按照Aberdeen公司2012年的陳述顯示，操縱這類身份驗證機制成立硬件信賴根底的企業(yè)遭受的安然變亂要比其他企業(yè)低50%。基于TPM的這些安然優(yōu)勢，TPM沒有被遍及利用和獲得遍及撐持，這很讓人驚訝。
TPM其實不是全能解決方案
再好的信息安然編制也有錯誤謬誤，TPM一樣如斯。例如，當然數(shù)字版權治理(DRM)其實不是TPM的預定用處，但一些企業(yè)仍是擔憂隱私標題問題，因為它可以用來供給強大年夜的DRM和履行軟件授權來鎖定內容到特定機械和辨認用戶勾當。對企業(yè)來講，這里的首要錯誤謬誤是，經由過程存儲密鑰在終端的TPM芯片中，基于TPM的身份驗證會綁定用戶到單臺電腦。這使良多設備利用(例如在線辦公桌面)變得不成能，所以，良多企業(yè)會選擇利用第三方軟件進行磁盤加密，出格是當律例沒有要求利用TPM供給的額外安然時。
還需要寄望的是，TPM的首要目標是為密鑰供給安然存儲，這意味著，數(shù)據只有在靜態(tài)才會遭到呵護，在利用過程中則沒有呵護。一旦啟封，數(shù)據就是純文本格局;當然TPM可以存儲預運行時建設參數(shù)，但在設備完成開機后，它不克不及節(jié)制已履行的歹意軟件。在加密和解密過程中，密鑰也等閑遭到報復打擊，這個標題問題已經由過程冷啟動報復打擊得以證實。TPM的另外一個標題問題(對任何PKI加密都是如斯)是密鑰治理。密鑰治理凡是很復雜，對TPM更是如斯;它需要整合TPM密鑰治理與更遍及的企業(yè)加密治理打算，并最大年夜限度地削減TPM給平常系統(tǒng)撐持任務帶來的復雜性，例如丟掉或遺忘身份驗證憑證，或安裝更改終端默許狀況的軟件補丁。
與所有其他安然節(jié)制一樣，TPM的錯誤謬誤可能給企業(yè)帶來暗藏安然標題問題，所以，只有與其他現(xiàn)有端點節(jié)制(例如多身分身份驗證、收集拜候節(jié)制和歹意軟件檢測)連絡利用，它才是最有效的。
TPM的將來?
對TPM設備的將來成長，我們將看到Wave Systems等供給商發(fā)布新產品，和TPM擺設作為微軟Windows 8和Server 2012的核心組件，相干的安然擺設可能會增加，出格是跟著密鑰治理變得加倍簡化。事實上，微軟已要求在運行Windows 8的設備(包含手機和平板電腦)和運行Server 2012的辦事器包含TPM芯片，這將鞭策TPM成長成為無處不在的安然呵護機制。跟著愈來愈多的企業(yè)想要供給內置安然性，同時確保不會給用戶造成不便，TPM還將繼續(xù)成長強大年夜，最終成為更具影響力的手藝。