TPM z certyfikacją FIPS 140-2 / Common Criteria

TPM z certyfikacją FIPS 140-2/Common Criteria to moduł formalnie potwierdzony jako spełniający uznane normy bezpieczeństwa kryptograficznego.

TPM z certyfikacją FIPS 140-2 / Common Criteria — czym jest ten moduł

TPM z certyfikacją FIPS 140-2 / Common Criteria to wyspecjalizowany moduł bezpieczeństwa, którego działanie zostało ocenione według formalnych wymagań dotyczących ochrony danych kryptograficznych, zarządzania kluczami oraz odporności na określone scenariusze ataku. Nie jest to zwykły układ pamięci ani program uruchamiany w systemie operacyjnym. TPM, czyli Trusted Platform Module, może być osobnym elementem na płycie głównej albo funkcją realizowaną w wydzielonej części układu sprzętowego. Jego zadaniem jest przechowywanie i używanie kluczy kryptograficznych w sposób ograniczający możliwość ich bezpośredniego odczytania przez system, aplikacje lub osoby korzystające z komputera.

Określenie FIPS 140-2 odnosi się do amerykańskiego standardu oceny modułów kryptograficznych. W ramach takiej oceny analizuje się między innymi sposób generowania, przechowywania i niszczenia kluczy, kontrolę dostępu, reakcję na naruszenie obudowy lub integralności układu, a także mechanizmy autodiagnostyki. Common Criteria jest natomiast międzynarodowym sposobem opisywania i oceniania właściwości bezpieczeństwa produktów informatycznych. W tym przypadku ważne są nie tylko same funkcje modułu, ale również zdefiniowany zakres oceny, model zagrożeń, środowisko pracy i poziom uzyskanego potwierdzenia.

Certyfikacja nie oznacza, że każdy komputer wyposażony w TPM automatycznie spełnia wszystkie wymagania bezpieczeństwa. Ocena dotyczy konkretnego rozwiązania, jego wersji, konfiguracji oraz zakresu wskazanego w dokumentacji. Dlatego przy analizie urządzenia trzeba odróżnić samą obecność TPM od posiadania modułu objętego formalnym certyfikatem. Znaczenie ma także to, czy certyfikat odnosi się do całego produktu, czy wyłącznie do określonego komponentu kryptograficznego.

TPM i certyfikacja FIPS 140-2 / Common Criteria na tle innych zabezpieczeń

Moduł TPM działa na innej zasadzie niż typowe zabezpieczenia programowe. Hasło użytkownika, aplikacja szyfrująca pliki lub mechanizm kontroli logowania funkcjonują w środowisku, które może zostać zmodyfikowane przez złośliwe oprogramowanie. TPM ma zapewnić odseparowane miejsce dla operacji związanych z kluczami oraz dla pomiarów stanu uruchamiania urządzenia. Dzięki temu możliwe jest sprawdzenie, czy określone elementy procesu startowego nie zostały zmienione przed przekazaniem kontroli systemowi.

W praktycznym zastosowaniu TPM może współpracować z szyfrowaniem dysku, bezpiecznym rozruchem, ochroną poświadczeń, podpisywaniem danych oraz mechanizmami potwierdzania integralności platformy. Klucz może zostać powiązany z warunkiem, że komputer uruchomił się w oczekiwany sposób. Jeżeli zmieni się istotny element konfiguracji, dostęp do danych może wymagać dodatkowego uwierzytelnienia albo klucza odzyskiwania. Ogranicza to ryzyko wynikające z wyjęcia nośnika i próby odczytania jego zawartości w innym urządzeniu.

Nie należy jednak utożsamiać TPM z zaporą sieciową, programem antywirusowym ani systemem tworzenia kopii zapasowych. Moduł nie wykrywa wszystkich szkodliwych plików, nie zastępuje aktualizacji i nie zabezpiecza przed każdą kradzieżą urządzenia. Certyfikacja również nie stanowi gwarancji prawidłowej konfiguracji. Błędnie ustawione uprawnienia, utracony klucz odzyskiwania, wyłączone szyfrowanie lub nieaktualne oprogramowanie mogą osłabić ochronę pomimo zastosowania certyfikowanego rozwiązania.

Warto rozróżnić TPM fizyczny od implementacji firmware. Oba warianty mogą realizować podobne funkcje użytkowe, ale sposób oceny, zakres zaufania i informacje zawarte w dokumentacji mogą być odmienne. Przy wymaganiach formalnych trzeba sprawdzić dokładny identyfikator modułu, wersję oprogramowania wewnętrznego, status certyfikatu oraz warunki, w jakich przeprowadzono ocenę. Sama nazwa TPM na liście podzespołów nie wystarcza do potwierdzenia zgodności z FIPS 140-2 albo Common Criteria.

TPM z FIPS 140-2 / Common Criteria — typowe problemy i objawy

Jednym z częstszych problemów jest brak modułu w ustawieniach firmware mimo deklarowanej obsługi przez płytę główną. Przyczyną może być wyłączona funkcja bezpieczeństwa, niezgodna wersja firmware, zmiana ustawień po aktualizacji albo ograniczenie konkretnej konfiguracji. W takiej sytuacji system może sygnalizować brak urządzenia, odmawiać włączenia szyfrowania lub żądać klucza odzyskiwania po każdej większej zmianie sprzętowej.

Inny problem dotyczy utraty spójności pomiarów rozruchu. Wymiana płyty głównej, modyfikacja ustawień uruchamiania, przywrócenie starszej wersji firmware albo zmiana sposobu startu systemu może spowodować, że TPM uzna środowisko za inne niż wcześniej. Nie musi to oznaczać awarii modułu. Jest to często prawidłowa reakcja ochronna, która wymaga użycia wcześniej przygotowanego klucza odzyskiwania i ponownego uporządkowania konfiguracji.

Trudności mogą pojawić się także po wyczyszczeniu TPM. Operacja ta usuwa dane powiązane z dotychczasowymi kluczami i może doprowadzić do utraty dostępu do zaszyfrowanego dysku, jeżeli nie przygotowano kopii klucza odzyskiwania. Przed wykonaniem takiej czynności należy ustalić, które usługi korzystają z modułu, sprawdzić stan szyfrowania oraz upewnić się, że dostęp do ważnych danych został zabezpieczony niezależnym sposobem.

W diagnostyce należy zwrócić uwagę na komunikaty systemowe, dzienniki zdarzeń, stan szyfrowania, wersję firmware oraz informacje o producencie modułu. Samo ponowne uruchomienie nie rozwiązuje problemu, jeżeli przyczyna leży w niezgodnych ustawieniach lub w braku klucza odzyskiwania. W razie podejrzenia uszkodzenia trzeba również wykluczyć problemy z płytą główną, zasilaniem i aktualizacją firmware.

TPM z certyfikacją — praktyczne wskazówki dotyczące użytkowania

Przed włączeniem szyfrowania dysku należy zapisać klucz odzyskiwania w bezpiecznym miejscu, niezależnym od tego samego komputera. Nie powinien być przechowywany wyłącznie na szyfrowanym nośniku ani w lokalizacji, do której dostęp zależy od działania TPM. Dobrą praktyką jest także opisanie, którego urządzenia dotyczy dany klucz, ponieważ przy większej liczbie komputerów pomyłka może wydłużyć przywracanie dostępu.

Nie zaleca się czyszczenia TPM bez wcześniejszego sprawdzenia skutków tej operacji. Przed zmianą płyty głównej, aktualizacją firmware lub modyfikacją ustawień bezpiecznego rozruchu warto zawiesić szyfrowanie zgodnie z procedurą systemu i potwierdzić dostępność klucza odzyskiwania. Po zakończeniu prac należy zweryfikować stan modułu, szyfrowania oraz ochrony rozruchu.

W dokumentacji urządzenia powinno się odnotować model modułu, wersję firmware, informacje o certyfikacji i zakres jej zastosowania. Przy audycie bezpieczeństwa należy sprawdzić, czy używany wariant znajduje się w aktualnym wykazie właściwej instytucji oraz czy certyfikat nie dotyczy wyłącznie starszej wersji. FIPS 140-2 jest standardem, który w wielu zastosowaniach został zastąpiony nowszym FIPS 140-3, dlatego wymagania formalne powinny być potwierdzone przed zakupem lub konfiguracją sprzętu.

Ważne jest również rozdzielenie celu technicznego od celu formalnego. Do codziennej ochrony danych wystarczające mogą być funkcje TPM, szyfrowanie i bezpieczny rozruch. Jeżeli jednak urządzenie ma pracować w środowisku wymagającym konkretnego certyfikatu, trzeba zebrać dowody zgodności dotyczące dokładnego modelu, konfiguracji i procedur użytkowania. Certyfikowany moduł nie naprawi błędów organizacyjnych, takich jak wspólne hasła, brak kopii zapasowych lub udostępnianie kluczy osobom nieupoważnionym.

Kiedy zgłosić TPM z FIPS 140-2 / Common Criteria do serwisu

Do serwisu warto zgłosić komputer, gdy TPM z certyfikacją FIPS 140-2 / Common Criteria jest niewidoczny, zgłasza błąd, nie pozwala uruchomić szyfrowania albo po zmianie podzespołów stale żąda klucza odzyskiwania. Pomoc może być potrzebna również wtedy, gdy nie ma pewności, czy zastosowany moduł jest fizyczny, firmware’owy, zgodny z wymaganym standardem lub właściwie skonfigurowany. Przed przekazaniem urządzenia należy poinformować o szyfrowaniu i przygotować dostęp do klucza odzyskiwania, o ile jest dostępny.

W ramach diagnostyki można sprawdzić ustawienia firmware, stan modułu, komunikację z systemem, integralność procesu uruchamiania, konfigurację szyfrowania oraz wpływ ostatnich zmian sprzętowych. W przypadku uszkodzenia płyty głównej lub modułu trzeba zachować ostrożność, ponieważ pochopna wymiana może uniemożliwić dostęp do danych. Serwis może także pomóc w uporządkowaniu dokumentacji technicznej i wskazać, które informacje są niezbędne do potwierdzenia zgodności z wymaganiami bezpieczeństwa.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się diagnostyką i naprawą laptopów oraz komputerów PC, dlatego zgłoszenie problemu z TPM powinno zawierać model urządzenia, opis komunikatu, informację o szyfrowaniu i wskazanie ostatnio wykonanych zmian. Takie dane ułatwiają bezpieczne rozpoczęcie diagnostyki i ograniczają ryzyko wykonania operacji, która mogłaby usunąć klucze lub utrudnić odzyskanie danych.