信息安全行業(yè)面臨著各種攻擊，這些攻擊對象包括Web瀏覽器、身份驗證過程和Adobe軟件等。面對這么多的攻擊面，即使是實力雄厚經(jīng)驗豐富的企業(yè)，都可能束手無策。

然而，很多安全專家可能沒有意識到的是，多年來，他們身邊一直隱藏著一個沒有得到充分利用的防御工具：可信平臺模塊(TPM)。

國際行業(yè)標(biāo)準(zhǔn)組織可信計算組(其中包括微軟、英特爾和惠普等公司)發(fā)布了TPM規(guī)范，其中介紹了什么是安全加密處理器--該處理器可以存儲加密密鑰。TPM是基于ISO/IEC標(biāo)準(zhǔn)11889而發(fā)布，雖然TPM 2.0目前正在開發(fā)中，我們預(yù)計它將通過FIPS 140-2或140-3認(rèn)證。與很多其他信息安全防御方案不同，TPM被內(nèi)置到現(xiàn)在很多端點計算設(shè)備中，這提供了不同的好處，同時也存在潛在缺陷。

在本文中，我們將詳細介紹TPM規(guī)范、企業(yè)能夠從TPM安全獲得什么優(yōu)勢以及TPM的潛在缺點。

TPM設(shè)備幫助提高企業(yè)安全性

現(xiàn)在很多設(shè)備(從計算機到手機，甚至到汽車系統(tǒng))都包含可信平臺模塊加密處理器。這些安全集成電路(通常安裝在設(shè)備的主板上)提供了基于硬件的加密和安全功能，例如系統(tǒng)完整性檢查、磁盤加密和密鑰管理，并且都是以機器速度進行。

TPM的主要作用是利用安全的經(jīng)過驗證的加密密鑰帶來強大的設(shè)備安全性。TPM功能的核心是簽注密鑰，這是在生產(chǎn)過程中內(nèi)置到TPM硬件的加密密鑰。這個簽注密鑰的私鑰部分絕不會出現(xiàn)在TPM外部或暴露給其他組件、軟件、程序或個人。另一個關(guān)鍵密鑰是存儲根密鑰，該密鑰也存儲在TPM內(nèi);它被用來保護其他應(yīng)用程序創(chuàng)建的TPM密鑰，使這些密鑰只能由TPM通過被稱為綁定的過程來解密，TPM也是通過該過程鎖定數(shù)據(jù)到設(shè)備。與簽注密鑰不同，只有當(dāng)TPM設(shè)備第一次被初始化或新用戶獲得所有權(quán)時，存儲根密鑰才會被創(chuàng)建。

由于TPM使用其自己內(nèi)部固件和邏輯電路來處理指令，這能夠抵御針對操作系統(tǒng)的基于軟件的攻擊，這意味著它可以為需要加密服務(wù)的任何進程提高安全保護。全磁盤加密應(yīng)用程序(例如微軟的BitLocker Drive Encryption和WinMagic的SecureDoc)也利用TPM，同時，雙因素身份驗證中使用的與指紋和智能讀卡器相關(guān)的密鑰可以存儲在TPM芯片中。

除了安全生成和存儲加密密鑰外，TPM還可以通過平臺配置寄存器(PCR)機制來記錄系統(tǒng)的狀態(tài)。這允許TPM進行預(yù)啟動系統(tǒng)完整性檢查，也被稱為遠程證明，這是一個功能強大的數(shù)據(jù)保護功能。通過將數(shù)據(jù)加密密鑰存儲在TPM中，數(shù)據(jù)可以有效地受到保護，其中TPM有一個參考值來檢查PCR狀態(tài)。只有系統(tǒng)狀態(tài)與存儲的PCR值匹配，這些密鑰才會啟封和使用，并且，只有在滿足特定硬件和軟件條件時，才能夠訪問系統(tǒng)。

遠程證明也可用于自修復(fù)系統(tǒng)。例如，當(dāng)谷歌Chromebook通電時，TPM會測量BIOS。如果這個測量和PCR值不匹配，Chromebook會在繼續(xù)啟動之前回到上一個已知信任狀態(tài)，這顯著降低了設(shè)備遭受物理盜竊或軟件攻擊的風(fēng)險。

TPM設(shè)備獨特的簽注密鑰也意味著，它可以被用來驗證設(shè)備，而不是用戶。這個功能可以結(jié)合所有802.1x兼容的網(wǎng)絡(luò)政策執(zhí)行點(例如防火墻、交換機和路由器)來提供基于硬件的身份驗證。無線和虛擬私有網(wǎng)絡(luò)也可以配置為執(zhí)行基于硬件的身份驗證。利用硬件水平的安全服務(wù)能夠提供比純軟件機制更好的保護;根據(jù)Aberdeen公司2012年的報告顯示，利用這種身份驗證機制創(chuàng)建硬件信任根基的企業(yè)遭遇的安全事故要比其他企業(yè)低50%。基于TPM的這些安全優(yōu)勢，TPM沒有被廣泛應(yīng)用以及得到廣泛支持，這很讓人詫異。

TPM并不是萬能解決方案

再好的信息安全方法也有缺點，TPM同樣如此。例如，雖然數(shù)字版權(quán)管理(DRM)并不是TPM的預(yù)定用途，但一些企業(yè)還是擔(dān)心隱私問題，因為它可以用來提供強大的DRM和執(zhí)行軟件授權(quán)來鎖定內(nèi)容到特定機器和識別用戶活動。對于企業(yè)來說，這里的主要缺點是，通過存儲密鑰在終端的TPM芯片中，基于TPM的身份驗證會綁定用戶到單臺電腦。這使得多設(shè)備使用(例如在線辦公桌面)變得不可能，所以，很多企業(yè)會選擇使用第三方軟件進行磁盤加密，特別是當(dāng)法規(guī)沒有要求使用TPM提供的額外安全時。

還需要注意的是，TPM的主要目的是為密鑰提供安全存儲，這意味著，數(shù)據(jù)只有在靜態(tài)才會受到保護，在使用過程中則沒有保護。一旦啟封，數(shù)據(jù)就是純文本格式;雖然TPM可以存儲預(yù)運行時配置參數(shù)，但在設(shè)備完成開機后，它不能控制已經(jīng)執(zhí)行的惡意軟件。在加密和解密過程中，密鑰也容易受到攻擊，這個問題已經(jīng)通過冷啟動攻擊得以證明。TPM的另一個問題(對于任何PKI加密都是如此)是密鑰管理。密鑰管理通常很復(fù)雜，對于TPM更是如此;它需要整合TPM密鑰管理與更廣泛的企業(yè)加密管理計劃，并最大限度地減少TPM給日常系統(tǒng)支持任務(wù)帶來的復(fù)雜性，例如丟失或遺忘身份驗證憑證，或者安裝更改終端默認(rèn)狀態(tài)的軟件補丁。

與所有其他安全控制一樣，TPM的缺點可能給企業(yè)帶來潛在安全問題，所以，只有與其他現(xiàn)有端點控制(例如多因素身份驗證、網(wǎng)絡(luò)訪問控制和惡意軟件檢測)結(jié)合使用，它才是最有效的。

TPM的未來?

對于TPM設(shè)備的未來發(fā)展，我們將看到Wave Systems等供應(yīng)商發(fā)布新產(chǎn)品，以及TPM部署作為微軟Windows 8和Server 2012的核心組件，相關(guān)的安全部署可能會增加，特別是隨著密鑰管理變得更加簡化。事實上，微軟已經(jīng)要求在運行Windows 8的設(shè)備(包括手機和平板電腦)以及運行Server 2012的服務(wù)器包含TPM芯片，這將推動TPM發(fā)展成為無處不在的安全保護機制。隨著越來越多的企業(yè)想要提供內(nèi)置安全性，同時確保不會給用戶造成不便，TPM還將繼續(xù)發(fā)展壯大，最終成為更具影響力的技術(shù)。