Was ist ein TPM?

Ein Trusted Platform Module (TPM) ist ein spezieller Hardware-Sicherheitschip, der kryptografische Schlüssel generiert, speichert und schützt sowie die Boot-Firmware misst und überprüft, bevor ein Betriebssystem geladen wird. Da es physisch oder logisch vom Hauptprozessor isoliert ist, verleiht es einem Gerät eine hardwaregebundene Identität, die sich mit Software allein weder fälschen noch extrahieren lässt.

Die wichtigsten Erkenntnisse

• Ein TPM ist ein Chip, der kryptografische Schlüssel generiert und schützt.
• Schlüssel, die in einem TPM gespeichert sind, verlassen den Chip niemals in nutzbarer Form.
• Es überprüft Firmware- und Boot-Komponenten, um Manipulationen zu erkennen.
• TPM 2.0 ist der aktuelle Standard; ältere TPM 1.2-Geräte sind weitgehend veraltet.
• VersaDie CSG- und CSX-Geräte von … verfügen standardmäßig über TPM 2.0.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · TPM & Versa · Häufig gestellte Fragen

Warum ist ein TPM wichtig?

Die reine Speicherung von Schlüsseln in der Software hat eine Schwachstelle: Jedes Geheimnis, auf das ein Betriebssystem Zugriff hat, ist auch für einen Angreifer zugänglich, der dieses System kompromittiert. Ein TPM unterbricht diesen Zusammenhang, indem es private Schlüssel in einem Chip speichert, der diese niemals preisgibt – selbst wenn der Host auf Root-Ebene kompromittiert wird.

Diese Isolation bildet die Grundlage für eine Geräteidentität, die nicht durch das Klonen einer Festplatte oder eines VM-Images gefälscht werden kann, sowie für einen sicheren Systemstart, der Manipulationen an der Firmware erkennt, bevor ein Betriebssystem geladen wird. Vollständige Festplattenverschlüsselung, die Speicherung von Anmeldedaten und die Fernbeglaubigung stützen sich alle auf die Fähigkeit eines TPM, ein Geheimnis an einen verifizierten Hardwarezustand zu binden.

Bei Netzwerkgeräten bildet ein TPM die Grundlage für die Zero-Touch-Bereitstellung: Ein Gerät weist seine Identität gegenüber einer Verwaltungsebene mithilfe eines Schlüssels nach, den ein Angreifer selbst bei physischem Zugriff auf das Gerät nicht extrahieren kann.

Was ist ein TPM?

Ein TPM ist ein Mikrocontroller, der gemäß der TPM-Spezifikation der Trusted Computing Group entwickelt wurde und kryptografische Grundfunktionen in Hardware bereitstellt: einen Zufallszahlengenerator, Schlüsselgenerierung und -speicherung, Hash-Funktionen sowie Signaturfunktionen, die alle im eigenen geschützten Speicher des Chips und nicht auf der Host-CPU ausgeführt werden.

Zwei Eigenschaften zeichnen es aus. Im TPM generierte oder versiegelte Schlüssel können als nicht exportierbar gekennzeichnet werden, sodass privates Schlüsselmaterial außerhalb des Chips niemals im Klartext vorliegt. Das TPM verwaltet außerdem Register, in denen Messwerte der Firmware und des Boot-Zustands aufgezeichnet werden; Software kann es später auffordern, ein Geheimnis freizugeben oder diesen Zustand zu bestätigen, jedoch nur, wenn die Messwerte weiterhin mit den aufgezeichneten Werten übereinstimmen – Manipulationen unterbrechen die Kette.

Technisch gesehen kann ein TPM ein eigenständiger Chip, eine Funktion innerhalb eines vorhandenen Chipsatzes oder eine virtualisierte Instanz für eine VM sein.

Arten von TPMs

Die Implementierungen lassen sich in vier Kategorien einteilen, die sich danach unterscheiden, wo die Vertrauensgrenze verläuft. Das diskrete TPM (dTPM) ist ein dedizierter Chip, der physisch von der CPU getrennt ist – dies stellt die höchste Sicherheitsstufe dar, da eine Kompromittierung einen Angriff auf eine eigenständige Komponente erfordert. Das Firmware-TPM (fTPM) läuft als geschützte Funktion innerhalb der CPU oder des Chipsatzes – es ist kostengünstiger, teilt sich jedoch die Vertrauensgrenze mit der Firmware des Prozessors. Das integrierte TPM ist als eigenständige, nicht entfernbare Funktion in den Siliziumchip eines anderen Chips eingebaut. Das virtuelle TPM (vTPM) ist ein softwareemuliertes TPM, das ein Hypervisor einer virtuellen Maschine (VM) zur Verfügung stellt; es ist nützlich, wenn keine dedizierte Hardware verfügbar ist.

TPM 2.0 ist die aktuelle Spezifikation; frühere TPM 1.2-Geräte verwendeten einen eingeschränkteren, ausschließlich auf SHA-1 basierenden Algorithmus-Satz und sind in neuer Hardware weitgehend überholt.

TPM & Versa

Versa integriert TPM 2.0 in seine Produktreihe physischer Geräte – die Gateways und Switches der CSG- und CSX-Serien – als Hardware-Vertrauensbasis für die Geräteidentität und den sicheren Systemstart. Die CSX2000-Serie verfügt über einen TPM-Chip mit kryptografischer Beschleunigung zum Schutz von Verschlüsselungs- und Authentifizierungsschlüsseln sowie über ein sicheres BIOS und einen sicheren Systemstart; die CSG5000-Serie führt ein TPM 2.0-Modul als Teil ihrer Standardausstattung auf.

Das TPM macht das Zero-Touch-Provisioning vertrauenswürdig: Jede VOS-Appliance wird mit einem von „ Versa “ signierten Zertifikat ausgeliefert, und das TPM speichert seinen privaten Schlüssel in der Hardware und nicht in einer Datei, auf die das Betriebssystem Zugriff haben könnte. Ein Gerät, das an einem neuen Standort hochgefahren wird, weist seine Identität mithilfe eines Schlüssels nach, der den Chip nie verlassen hat, sodass ein geklontes Festplatten-Image sich nicht als dieses Gerät ausgeben kann. Die vollständige Spezifikationstabelle finden Sie in den technischen Daten der CSG5000-Serie.

Häufig gestellte Fragen

Was ist der Unterschied zwischen TPM 1.2 und TPM 2.0?

TPM 2.0 unterstützt moderne Algorithmen, darunter SHA-256 und Kryptografie auf Basis elliptischer Kurven, sowie ein flexibleres Richtlinienmodell, während TPM 1.2 auf SHA-1 und RSA beschränkt ist und als veraltet gilt. Nahezu die gesamte aktuelle Hardware, einschließlich der Geräte von Versa, wird mit TPM 2.0 ausgeliefert.

Können die Schlüssel eines TPM extrahiert oder kopiert werden?

Nein, das ist nicht beabsichtigt. Schlüssel, die innerhalb des TPM generiert oder darin versiegelt werden, sind als nicht exportierbar gekennzeichnet: Die Vorgänge finden innerhalb des Chips statt, und das Material der privaten Schlüssel verlässt den Chip niemals im Klartext, selbst wenn das Host-Betriebssystem vollständig kompromittiert oder das Gerät gestohlen wird.

Ist ein TPM dasselbe wie ein Hardware-Sicherheitsmodul (HSM)?

Sie sind zwar miteinander verwandt, aber nicht gleichwertig. Bei beiden handelt es sich um Hardware-Schlüsselspeicher, doch ein HSM ist ein Gerät mit höherem Durchsatz, das oft extern angebracht ist und für viele gleichzeitige Vorgänge ausgelegt ist, während ein TPM ein kostengünstiger Chip ist, der in ein einzelnes Gerät integriert ist, um die Identität dieses Geräts und die Integrität des Bootvorgangs zu gewährleisten.

Verschlüsselt ein TPM meine Festplatte automatisch?

Nein. Ein TPM führt selbst keine vollständige Festplattenverschlüsselung durch; es speichert und schützt den Schlüssel, den eine separate Festplattenverschlüsselungsfunktion verwendet, und gibt diesen Schlüssel erst frei, nachdem überprüft wurde, dass die Boot-Kette seit der Aufzeichnung der letzten als fehlerfrei bestätigten Messung nicht manipuliert wurde.

Kann ein TPM in ein Gerät eingebaut werden, das noch keines hat?

Manchmal erfolgt dies über ein separates Modul, das an einen kompatiblen Motherboard-Anschluss angeschlossen wird, doch viele moderne Geräte nutzen stattdessen ein in die vorhandene CPU integriertes Firmware-TPM. Die CSG- und CSX-Geräte von Versawerden standardmäßig mit einem als Hardwarekomponente integrierten TPM 2.0 ausgeliefert.

Mehr zum Thema TPM

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über TPMs informieren, sollten Sie sich als Nächstes diese Artikel ansehen.