Hva er en TPM, og hvorfor trenger Windows en til diskkryptering?

BitLocker-diskkryptering krever normalt en TPM på Windows. Microsofts EFS-kryptering kan aldri bruke en TPM. Den nye funksjonen "enhetskryptering" på Windows 10 og 8.1 krever også en moderne TPM, og derfor er den bare aktivert på ny maskinvare. Men hva er en TPM?

TPM står for "Trusted Platform Module". Det er en brikke på datamaskinens hovedkort som hjelper til med å aktivere manipulasjonsbestandig fulldisk-kryptering uten å kreve ekstremt lange passord.

Hva er det, nettopp?

TPM er en chip som er en del av datamaskinens hovedkort - hvis du kjøpte en off-the-shelf PC, er den loddet på hovedkortet. Hvis du har bygget din egen datamaskin, kan du kjøpe en som tilleggsmodul hvis hovedkortet støtter det. TPM genererer krypteringsnøkler, holder en del av nøkkelen til seg selv. Så, hvis du bruker BitLocker-kryptering eller enhetskryptering på en datamaskin med TPM, blir en del av nøkkelen lagret i selve TPM-en, i stedet for bare på disken. Dette betyr at en angriper ikke bare kan fjerne stasjonen fra datamaskinen og forsøke å få tilgang til filene andre steder.

Denne brikken gir maskinvarebasert autentisering og manipulering, slik at en angriper ikke kan forsøke å fjerne brikken og plassere den på et annet hovedkort, eller manipulere med hovedkortet selv for å forsøke å omgå krypteringen - i det minste i teorien.

Kryptering, kryptering, kryptering

For de fleste er det mest relevante brukstilfelle her kryptering. Moderne versjoner av Windows bruker TPM transparent. Bare logg inn med en Microsoft-konto på en moderne PC som sendes med "enhetskryptering" aktivert, og den vil bruke kryptering. Aktiver BitLocker-diskkryptering, og Windows vil bruke en TPM til å lagre krypteringsnøkkelen.

Du får normalt tilgang til en kryptert stasjon ved å skrive inn Windows-passordet ditt, men det er beskyttet med en lengre krypteringsnøkkel enn det. Den krypteringsnøkkelen er delvis lagret i TPM, slik at du faktisk trenger Windows-innloggingspassordet og den samme datamaskinen stasjonen er fra for å få tilgang. Derfor er "gjenopprettingsnøkkelen" for BitLocker ganske lengre - du trenger den lengre gjenopprettingsnøkkelen for å få tilgang til dataene dine hvis du flytter stasjonen til en annen datamaskin.

Dette er en grunn til at den eldre Windows EFS-krypteringsteknologien ikke er så god. Det har ingen måte å lagre krypteringsnøkler i en TPM. Det betyr at den må lagre krypteringsnøklene på harddisken, og gjør den mye mindre sikker. BitLocker kan fungere på stasjoner uten TPM, men Microsoft gikk ut av veien for å skjule dette alternativet for å understreke hvor viktig en TPM er for sikkerhet.

Hvorfor TrueCrypt Shunned TPMs

Selvfølgelig er en TPM ikke det eneste fungerende alternativet for diskkryptering. TrueCrypts FAQ - nå tatt ned - brukes til å understreke hvorfor TrueCrypt ikke brukte og aldri ville bruke en TPM. Det slengte TPM-baserte løsninger som å gi en falsk følelse av sikkerhet. Selvfølgelig sier TrueCrypts nettside nå at TrueCrypt i seg selv er sårbart og anbefaler at du bruker BitLocker - som bruker TPM - i stedet. Så det er litt av et forvirrende rot i TrueCrypt land.

Dette argumentet er fremdeles tilgjengelig på VeraCrypts nettsted, men. VeraCrypt er en aktiv gaffel av TrueCrypt. VeraCrypts vanlige spørsmål insisterer på at BitLocker og andre verktøy som er avhengige av TPM, bruker den til å hindre mot angrep som krever at en angriper har administratortilgang, eller har fysisk tilgang til en datamaskin. "Det eneste som TPM er nesten garantert å gi, er en falsk følelse av sikkerhet," sier FAQ. Det står at en TPM i beste fall er "overflødig".

Det er litt av sannhet til dette. Ingen sikkerhet er helt absolutt. En TPM er uten tvil en mer praktisk funksjon. Hvis du lagrer krypteringsnøklene i maskinvare, kan en datamaskin automatisk dekryptere stasjonen, eller dekryptere den med et enkelt passord. Det er sikrere enn å bare lagre nøkkelen på disken, da en angriper ikke bare kan fjerne disken og sette den inn i en annen datamaskin. Det er knyttet til den spesifikke maskinvaren.

Til slutt er en TPM ikke noe du må tenke på mye. Datamaskinen har enten en TPM eller den ikke - og moderne datamaskiner vil generelt. Krypteringsverktøy som Microsofts BitLocker og "enhetskryptering" bruker automatisk en TPM til å kryptere filene dine på transparent måte. Det er bedre enn ikke å bruke noen kryptering i det hele tatt, og det er bedre enn å bare lagre krypteringsnøklene på disken, da Microsofts EFS (Encrypting File System) gjør.

Så langt som TPM vs ikke-TPM-baserte løsninger, eller BitLocker vs TrueCrypt og lignende løsninger - vel, det er et komplisert emne vi er egentlig ikke kvalifisert til å ta opp her.

Bilde Kreditt: Paolo Attivissimo på Flickr