¿Qué es un TPM?

Un módulo de plataforma de confianza (TPM) es un chip de seguridad de hardware específico que genera, almacena y protege claves criptográficas, y que comprueba y verifica el firmware de arranque antes de que se cargue el sistema operativo. Aislado física o lógicamente del procesador principal, proporciona al dispositivo una identidad basada en el hardware que el software por sí solo no puede falsificar ni extraer.

Puntos clave

• Un TPM es un chip que genera y protege claves criptográficas.
• Las claves almacenadas en un TPM nunca salen del chip en un formato utilizable.
• Analiza el firmware y los componentes de arranque para detectar posibles manipulaciones.
• TPM 2.0 es la versión actual; los dispositivos TPM 1.2 más antiguos están prácticamente obsoletos.
• VersaLos dispositivos CSG y CSX de esta marca incorporan TPM 2.0 de forma predeterminada.

En esta página: Por qué es importante · Cómo funciona · Tipos · TPM y Versa · Preguntas frecuentes

¿Por qué es importante un TPM?

El almacenamiento de claves exclusivamente en software presenta una vulnerabilidad: cualquier secreto que pueda leer un sistema operativo, también lo puede leer un atacante que consiga acceder a dicho sistema. Un TPM rompe ese vínculo al mantener las claves privadas dentro de un chip que nunca las expone, ni siquiera en caso de que se produzca un ataque a nivel de root en el equipo anfitrión.

Ese aislamiento sustenta la identidad del dispositivo, que no puede falsificarse clonando un disco o una imagen de máquina virtual, así como el arranque seguro, que detecta la manipulación del firmware antes de que se cargue el sistema operativo. El cifrado de disco completo, el almacenamiento de credenciales y la certificación remota se basan en la capacidad del TPM para vincular un secreto al estado verificado del hardware.

En el caso de los dispositivos de red, un TPM es la base del aprovisionamiento sin intervención: un dispositivo demuestra su identidad ante un plano de gestión mediante una clave que un atacante no puede extraer, ni siquiera con acceso físico al dispositivo.

¿Qué es un TPM?

Un TPM es un microcontrolador —diseñado según la especificación TPM del Trusted Computing Group— que proporciona primitivas criptográficas a nivel de hardware: un generador de números aleatorios, generación y almacenamiento de claves, funciones hash y firma, todo ello realizado dentro de la propia memoria protegida del chip, en lugar de en la CPU del equipo anfitrión.

Hay dos características que lo definen. Las claves generadas o selladas dentro del TPM pueden marcarse como no exportables, de modo que el material de la clave privada nunca existe fuera del chip en texto plano. El TPM también mantiene registros que recogen mediciones del firmware y del estado de arranque; posteriormente, el software puede solicitarle que revele un secreto o que certifique ese estado, pero solo si las mediciones siguen coincidiendo con lo registrado: cualquier manipulación rompe la cadena.

Desde el punto de vista físico, un TPM puede ser un chip independiente, una función integrada en un chipset ya existente o una instancia virtualizada para una máquina virtual.

Tipos de TPM

Las implementaciones se clasifican en cuatro categorías, que se distinguen por la ubicación del límite de confianza. El TPM discreto (dTPM) es un chip dedicado, físicamente separado de la CPU: ofrece el nivel de seguridad más alto, ya que comprometerlo implica atacar un componente independiente. El TPM de firmware (fTPM) se ejecuta como una función protegida dentro de la CPU o del chipset: es más económico, pero comparte su límite de confianza con el firmware del procesador. El TPM integrado está incorporado en el silicio de otro chip como una función discreta e inamovible. El TPM virtual (vTPM) es un TPM emulado por software que un hipervisor presenta a una máquina virtual, útil cuando no se dispone de hardware dedicado.

TPM 2.0 es la especificación actual; los dispositivos TPM 1.2 anteriores utilizaban un conjunto de algoritmos más limitado, que solo incluía SHA-1, y han quedado prácticamente obsoletos en el hardware nuevo.

TPM y Versa

Versa Incorpora TPM 2.0 en su gama de dispositivos físicos —las pasarelas y conmutadores de las series CSG y CSX— como raíz de confianza de hardware en la que se basan la identidad de los dispositivos y el arranque seguro. La serie CSX2000 integra un chip TPM con aceleración criptográfica para proteger las claves de cifrado y autenticación, además de una BIOS segura y un arranque seguro; la serie CSG5000 incluye un módulo TPM 2.0 entre sus especificaciones estándar.

El TPM es lo que hace que el aprovisionamiento sin intervención sea fiable: cada dispositivo VOS se suministra con un certificado firmado por la Autoridad de Certificación de Microsoft ( Versa), y el TPM almacena su clave privada en el hardware, en lugar de en un archivo al que el sistema operativo pudiera dar acceso. Un dispositivo que se enciende en una nueva ubicación demuestra su identidad mediante una clave que nunca ha salido del chip, por lo que una imagen de disco clonada no puede suplantar su identidad. Consulte las especificaciones de los dispositivos de la serie CSG5000 para ver la tabla completa de especificaciones.

Preguntas frecuentes

¿Cuál es la diferencia entre TPM 1.2 y TPM 2.0?

TPM 2.0 es compatible con algoritmos modernos, como SHA-256 y la criptografía de curva elíptica, además de ofrecer un modelo de políticas más flexible, mientras que TPM 1.2 se limita a SHA-1 y RSA y se considera obsoleto. Prácticamente todo el hardware actual, incluidos los dispositivos de Versa, viene equipado con TPM 2.0.

¿Se pueden extraer o copiar las claves de un TPM?

No, no es así por diseño. Las claves generadas dentro del TPM, o selladas en él, están marcadas como no exportables: las operaciones se realizan dentro del chip, y el material de la clave privada nunca sale de él en texto plano, ni siquiera si el sistema operativo del equipo se ve totalmente comprometido o si el dispositivo es robado.

¿Es un TPM lo mismo que un módulo de seguridad de hardware (HSM)?

Están relacionados, pero no son equivalentes. Ambos son almacenes de claves de hardware, pero un HSM es un dispositivo —a menudo externo— de mayor rendimiento, diseñado para realizar numerosas operaciones simultáneas, mientras que un TPM es un chip de bajo coste integrado en un único dispositivo para garantizar la identidad de dicho dispositivo y la integridad del arranque.

¿El TPM cifra mi disco duro automáticamente?

No. Un TPM no realiza por sí mismo el cifrado completo del disco; almacena y protege la clave que utiliza una función independiente de cifrado del disco, y solo libera dicha clave tras verificar que la cadena de arranque no ha sido manipulada desde que se registró la última medición válida conocida.

¿Se puede añadir un TPM a un dispositivo que no lo tiene?

A veces, mediante un módulo independiente que se conecta a un conector compatible de la placa base; sin embargo, muchos dispositivos modernos utilizan en su lugar un TPM de firmware integrado en la CPU existente. Los dispositivos CSG y CSX de Versaincluyen TPM 2.0 integrado como componente de hardware de serie.

Más información sobre TPM

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los TPM, te conviene echarles un vistazo a continuación.