TPM Flashcards
Was ist ein TPM? (Abkürzung und was es ist)
- Passiver Security Controller
- Auf dem Mainboard fest verbaut
- Phsyikalisch vom Hauptprozessor getrennt
- Widerstandsfähig gegen logische und physische Attacken
Wie beinhaltet ein TPM? (Aufbau)
- SHA-1 Engine
- HMAC Engine
- Platform Configuration Registers (PCR)
- Random Number Generator
- Key Generation Engine
Welche Funktionen bietet ein TPM?
- Hardware basierter Zufallszahlengenerator
- Fungiert als “Root of Trust”
Was versteht man unter TC und insbesondere unter TB? (Abk. + Bedeutung)
TC = Trusted Computer
TB = Trusted Boot
- Während des Bootens werden die gemessenen Systemkonfigurationenswerte in das TPM (PCR) geschrieben
- Diese Werte können später für Binding und Sealing und Attestation verwendet werden.
Wofür steht CRTM?
Core Root of Trust for Measurement
Wie sieht der Vorgang der Messung beim TC aus?
Startpunkt: CRTM
-> Misst Bios
–> Misst Bootloader
—> Misst OS
—-> Misst Applikationen
Was versteht man unter Binding?
- Herkömmliche Asymmetrische Verschlüsselung
- Wird genutzt um Daten an ein spezifisches TPM zu binden
- Keine Interaktion mit TPM erforderlich
Wie können Daten beim Binding entschlüsselt werden?
Können nur vom TPM wiederhergestellt werden, welches auch den Schlüssel kennt.
Bei non-migratable Keys kann es nur das TPM,
Warum ist Platform-Binding nicht möglich?
Wegen Migratable Keys
Was versteht man unter Sealing?
- Erweiterung von Binding
- Konfiguration der verschlüsselten Plattform kann verifiziert werden
- Geheimtext enthält den Zustand des Systems zum Zeitpunkt der Verschlüsselung
- Kann Daten an eine bestimmte Konfiguration binden
Wann können Daten beim Sealing nur entschlüsselt werden?
Wenn sich das System in einem vordefiniertem (vertrauenswürdigen) Zustand befinde.
Was versteht man unter (Remote) Attestation?
- Beglaubigung der Plattform gegenüber Third-Party
Wie läuft die Remote Attestation ab?
o Plattform fordert Dienst bei Anbieter an
o Anbieter verlangt Attestation
o Plattform signiert Systemkonfiguration (PCR) mit (AIK) Attestation Identity Key
o Anbieter erhält Attestation
o Anbieter überprüft AIK über Third Party
o Anbieter überprüft Systemkonfiguration der Plattform [anhand PCR]
o Plattform erhält Zugang / wird abgelehnt.
Wie kann Sealing nur verwendet werden?
Ausschließlich mit non-migratable Keys
Beschreiben Sie
“Migratable Keys”
- Können auf andere TPMs/Plattformen migriert werden
- Dritte haben keine Sicherheit, das die Schlüssel von einem TPM kommen
Beschreiben Sie
“non-migratable Keys”
- Können nicht auf andere TPMs/ Plattformen migriert werden
- TPM kann Bescheinigen, das ein Key nicht migrierbar ist
- Kann nur im TPM geschützen Umfeld existieren
Wie viele unterschiedliche Schlüssel kann ein TPM generieren?
3 + 6 (9)
Welche 3 speziellen Schlüssel kann ein TPM?
- Endorsement Key
- Storage Root Key
- Attestation Identify Key
Welche 6 generellen Schlüssel kann ein TPM?
- Storage
- Signing
- Binding
- Migration
- Legacy
- Authchange
Zweck Attestation Identity Key (AIK)
- Bescheinigt aktuelle Plattformkonfiguration
- Alias für TPM/ Plattform Identität (Endorsement Key)
Zweck Storage Keys
- Kann benutzt werden um andere Schlüssel zu entschlüsseln
- Storage Root Key (SRK) ist ein spezieller Storage Key
- Starker Schutz
Zweck Binding Keys
Gleichwertig zu traditioneller asymmetrischer Verschlüsselung
Zweck Signing Keys
Nachrichten Authentikation
Authentikation TPM internet Berichte
Zweck Migration Keys
Ermöglicht TPM als Migrationsautorität zu handeln
Wird verwendet um migrierbare Schlüssel für den Transport auf eine andere Plattform zu sichern
Eigenschaften Attestation Identity Key (AIK)
- AIKs sind non-migratable signing keys
- Vom TPM Besitzer generiert
- Eine Plattform kann mehrere AIKs haben
Eigenschaften Storage Keys
- 2048 RSA Ver & Entschlüsselunskey
- Migrierbar
- Für Sealing muss key non-migratable sein
Eigenschaften Binding Keys
Asymmetrische Ver- und Entschlüsselung (Typischerweise RSA 2048 Bit)
Migrierbar zu anderen Plattformen
Kann nur für Binding-Befehle verwendet werden
Eigenschaften Signing Keys
2048 RSA Signing/Verification key Pair
Können zu anderen Plattformen migriert werden
Eigenschaften Migration Keys
2048 bit RSA Ver- und Entschlüsselungskey
