返回 经济法律论文 首页
用于Windows的TPM 2.0加密芯片

  TPM的细节
  TPM芯片包含CPU、RAM和闪存,几乎是一个完整的电脑。下面,我们将为大家介绍该芯片的构造和TPM芯片如何确保Windows启动的安全。
  芯片架构分解
  TPM芯片有一个CPU和一个易失性存储器(RAM)和非易失性存储器(闪存)。闪存中保存种子等,种子是用于输入到加密算法中的大随机数,它们在运算单元进行处理,严格区分为对称、不对称和散列,生成器产生大量的随机数,这是安全加密方法的基础。执行单元则负责测试密钥及芯片的初始化。
  TPM检测下启动
  Windows
  在Windows启动的过程中,TPM芯片将检测存储器中存储的校验值和各个组件的校验值是否相符,只有在两者相匹配的情况下,UEFI才会继续执行启动进程。当电脑开机时,首先检查的是UEFI固件和Windows的引导程序,如果两者皆完好无损,则加载Windows内核模块,并检查预先启动反恶意程序软件的签名,如果签名正确,TMP的检测步骤则结束,预先启动反恶意程序软件将接管检测任务,检查所有来自第三方的驱动程序是否包含病毒,检测通过后Windows服务将开始启动。
  Windows管理控制台TPM管理单元中显示TPM芯片的状态和版本。
  TPM芯片生成可以用于Windows BitLocker硬盘加密功能的密钥。
  已经有很长一段时间没人关注TPM了,这个称为可信平台模块(Trusted Platform Modules)的小芯片多年来已经被安装到许多电脑、游戏机、智能手机、平板电脑和机顶盒上,目前,大约有10亿台设备配备了TPM芯片,其中大约有6亿台设备是桌面电脑,它们大部分被用于工作场所。自2001年以来,“阴谋论者”认为TPM芯片会被用作监管工具,将削弱用户的权利。从理论上讲,TPM芯片确实可以被用于限制非法复制电影和音乐,然而在过去的12年间,该芯片暂时没有被用于实现类似的功能,它们更多的是被用于确保Windows的启动安全以及实现BitLocker硬盘加密功能。必须承认,使用TPM可以在防范恶意软件和数据被盗上起到一定的作用,虽然其加密的主密钥有可能掌握在美国国家安全局的手上。
  近日,即将推出的TPM 2.0版本规范再次引起了不小的轰动,因为在新的规范中TPM芯片将在出厂时被激活,而目前的TPM芯片则是在用户需要时才自己激活的。此外,更令人担心的是用户可能无法拒绝使用TPM芯片,因为新规范中没有强制规定必须有一个“开关”。而且,用户有可能很难买到没有安装TPM 2.0芯片的设备,因为微软已经修改了Windows的认证标准,从2015年起TPM 2.0将会是Windows认证标准的强制性要求,不安装TPM芯片的硬件厂商将无法获得Windows的认证标签。
  TPM芯片提高了Windows的安全性
  Windows的安全没有保障,黑客与恶意程序在入侵系统之后,可以彻底地摧毁系统的安全措施。要确保系统的安全,最佳的方式是利用主板上的硬件芯片,例如TPM,因为黑客完全没有机会接触到它。TPM实际上有点类似于电脑上的一台小电脑,它有自己的CPU、内存、存储器和输入输出接口。TPM的核心功能之一就是为操作系统提供安全保障服务,例如TPM可以用于存储加密硬盘驱动器的加密密钥。此外,它也可以用于验证外部设备和平台的完整性,确定设备是否被硬件黑客篡改。
  在实际应用中,TPM可以结合UEFI的安全启动功能,确保操作系统能够在绝对安全的情况下启动。利用TPM芯片验证各组件完整性的功能,通过微软所谓的“Measured Boot”机制,检测并加载系统内核,然后在加载任何第三方软件供应商的程序之前,检验并加载经过微软签名验证的预先启动的反恶意程序软件(Early Launch Anti Malware,简称ELAM),如果检验ELAM的签名失败,那么UEFI将停止启动的进程,如果ELAM的签名成功通过验证,那么它将负责验证其他的驱动程序。通过这种机制,早期肆虐Windows操作系统的Rootkit恶意程序将不能再作恶。
  目前TPM 1.2规范使用的技术已经过时,内置的硬件加密安全算法是RSA-2048和SHA-1,后者已经被认为是不安全的。而TPM 2.0将不再使用这些落后的算法,除了可以灵活地使用SHA-2、HMAC、ECC和AES等各种对称和非对称加密方法之外,TPM 2.0还可以通过更新支持其他新的加密算法。因此,TPM芯片也可以在中国和俄罗斯这些需要使用其他特定算法的地区使用。此外,TPM 2.0版本对于密钥的处理方式也与此前不同,除了两个固定的加密密钥用于各种基础服务之外,TPM 2.0还可以通过被称为种子的大量随机数值,通过数学函数生成新的密钥,因而TPM 2.0还能够生成供一次性使用的密钥。
  TPM 2.0的争议
  TPM 2.0标准的主要争议是,在新的规范中TPM芯片将在出厂时被激活,不再是用户需要时才自己激活。TPM的支持者认为,安全机制应该自动打开为好,例如操作系统的防火墙和防病毒软件也应该默认自动启动。而另一个受到广泛关注的问题是,TPM芯片是否应该有一个开关,也就是用户是否能够禁用TPM。按照目前已知的信息,是否能够通过BIOS或者UEFI控制TPM芯片,主要取决于硬件制造商。当前的TPM 2.0技术规范仅仅只是一个声明,而提供激活开关是明确被允许的。芯片厂商英飞凌认为激活开关的问题仍然存在变数,但是否将在UEFI提供TPM芯片的激活选项,决定权掌握在电脑制造商手上。对于制造商来说,只要有足够大的市场需求,毫无疑问将有大量用户可以自己决定激活或停止使用TPM芯片的电脑出现。


【相关论文推荐】
  • 该死的2比0
  • 5 + 2 =0 ?的深思
  • “0+0=2”
  • “新闻2。0”的想象与实践
  • 融合2。0:软件定义的融合
  • 0-2岁宝宝的“害怕”
  • 中国2:0领先的启示
  • 0。5mm间距BGA芯片的PCB设计
  • 5+2≠0:现代教育的启示