Module de plateforme de confiance

L'autorisation de la politique TPM 2.0 inclut le HMAC 1.2, la localité, la présence physique et le PCR. Elle ajoute une autorisation basée sur une signature numérique asymétrique, une indirection vers un autre secret d'autorisation, des compteurs et des limites de temps, des valeurs NVRAM, une commande particulière ou des paramètres de commande et la présence physique. Elle permet d'utiliser la fonction AND et la fonction OR de ces primitives d'autorisation pour construire des politiques d'autorisation complexes.

Le Trusted Computing Group (TCG) a rencontré une certaine résistance au déploiement de cette technologie dans certains domaines, où certains auteurs voient des utilisations possibles qui ne sont pas spécifiquement liées au Trusted Computing , ce qui peut soulever des problèmes de confidentialité. Les inquiétudes portent notamment sur l'abus de la validation à distance des logiciels qui décident quels logiciels sont autorisés à s'exécuter et sur les moyens possibles de suivre les actions entreprises par l'utilisateur enregistrées dans une base de données, d'une manière totalement indétectable pour l'utilisateur.

L' utilitaire de chiffrement de disque TrueCrypt , ainsi que son dérivé VeraCrypt , ne prennent pas en charge le TPM. Les développeurs originaux de TrueCrypt étaient d'avis que le but exclusif du TPM était de « protéger contre les attaques qui nécessitent que l'attaquant ait des privilèges d'administrateur ou un accès physique à l'ordinateur ». L'attaquant qui a un accès physique ou administratif à un ordinateur peut contourner le TPM, par exemple en installant un enregistreur de frappe matériel , en réinitialisant le TPM ou en capturant le contenu de la mémoire et en récupérant les clés émises par le TPM. Le texte de condamnation va jusqu'à affirmer que le TPM est entièrement redondant. L'éditeur de VeraCrypt a reproduit l'allégation originale sans autre changement que le remplacement de « TrueCrypt » par « VeraCrypt ». L'auteur a raison de dire qu'après avoir obtenu un accès physique illimité ou des privilèges administratifs, ce n'est qu'une question de temps avant que d'autres mesures de sécurité en place soient contournées. Cependant, arrêter un attaquant en possession de privilèges administratifs n'a jamais été l'un des objectifs du TPM (voir § Utilisations pour plus de détails), et le TPM peut arrêter certaines altérations physiques .

En 2015, Richard Stallman a suggéré de remplacer le terme « informatique de confiance » par le terme « informatique traîtresse » en raison du danger que l'ordinateur puisse être amené à désobéir systématiquement à son propriétaire si les clés cryptographiques lui sont cachées. Il considère également que les TPM disponibles pour les PC en 2015 ne sont pas actuellement dangereux et qu'il n'y a aucune raison de ne pas en inclure un dans un ordinateur ou de ne pas le prendre en charge dans un logiciel en raison des tentatives infructueuses de l'industrie d'utiliser cette technologie pour la gestion des droits numériques (DRM) , mais que le TPM2 sorti en 2022 est précisément la menace « informatique traîtresse » contre laquelle il avait mis en garde.

Linus Torvalds a écrit en 2023 qu'il n'y a aucun moyen de croire que le caractère aléatoire généré par le TPM est meilleur que le caractère aléatoire généré de toute façon par le CPU, et qu'il n'y a aucune raison de prendre en charge le caractère aléatoire à partir d'une source de firmware.

En 2010, Christopher Tarnovsky a présenté une attaque contre les TPM lors de Black Hat Briefings , où il a affirmé pouvoir extraire des secrets d'un seul TPM. Il a pu le faire après 6 mois de travail en insérant une sonde et en espionnant un bus interne pour le PC Infineon SLE 66 CL.

En cas d'accès physique, les ordinateurs équipés de TPM 1.2 sont vulnérables aux attaques de démarrage à froid tant que le système est allumé ou peut être démarré sans mot de passe à partir de l'arrêt, de la veille ou de l'hibernation , ce qui est la configuration par défaut pour les ordinateurs Windows avec le chiffrement intégral du disque BitLocker. Un correctif a été proposé, qui a été adopté dans les spécifications de TPM 2.0.

En 2009, le concept de données d'autorisation partagées dans TPM 1.2 s'est avéré défectueux. Un adversaire ayant accès aux données pourrait usurper les réponses du TPM. Un correctif a été proposé, qui a été adopté dans les spécifications de TPM 2.0.

En 2015, dans le cadre des révélations de Snowden , il a été révélé qu'en 2010, une équipe de la CIA américaine avait affirmé lors d'une conférence interne avoir mené une attaque d'analyse de puissance différentielle contre des TPM capable d'extraire des secrets.

Les principales distributions Trusted Boot (tboot) antérieures à novembre 2017 sont affectées par une attaque DRTM (Dynamic Root of Trust for Measurement) CVE - 2017-16837, qui affecte les ordinateurs fonctionnant sur la technologie Trusted eXecution Technology (TXT) d'Intel pour la routine de démarrage.

En 2018, une faille de conception dans la spécification TPM 2.0 pour la racine de confiance statique pour la mesure (SRTM) a été signalée ( CVE - 2018-6622). Elle permet à un adversaire de réinitialiser et de falsifier les registres de configuration de la plateforme conçus pour conserver en toute sécurité les mesures des logiciels utilisés pour démarrer un ordinateur. La correction de cette faille nécessite des correctifs de micrologiciel spécifiques au matériel. Un attaquant abuse des interruptions d'alimentation et des restaurations d'état du TPM pour tromper le TPM en lui faisant croire qu'il fonctionne sur des composants non altérés.

En 2021, le groupe Dolos a montré une attaque sur un TPM discret, où la puce TPM elle-même avait une certaine résistance à la falsification, mais les autres points d'extrémité de son bus de communication ne l'avaient pas. Ils ont lu une clé de chiffrement de disque complet pendant qu'elle était transmise sur la carte mère et l'ont utilisée pour décrypter le SSD de l'ordinateur portable.

En octobre 2017, il a été signalé qu'une bibliothèque de codes développée par Infineon , qui était largement utilisée dans ses TPM, contenait une vulnérabilité, connue sous le nom de ROCA, qui générait des paires de clés RSA faibles permettant de déduire des clés privées à partir de clés publiques . Par conséquent, tous les systèmes dépendant de la confidentialité de ces clés faibles sont vulnérables aux compromissions, telles que le vol d'identité ou l'usurpation d'identité.

Les cryptosystèmes qui stockent les clés de chiffrement directement dans le TPM sans aveuglement pourraient être particulièrement exposés à ce type d'attaques, car les mots de passe et d'autres facteurs n'auraient aucune importance si les attaques pouvaient extraire des secrets de chiffrement.

Infineon a publié des mises à jour du micrologiciel de ses TPM pour les fabricants qui les ont utilisés.

Actuellement, presque tous les fabricants de PC et d’ordinateurs portables fournissent un TPM dans leurs produits.

Le TPM est implémenté par plusieurs fournisseurs :

• Infineon fournit à la fois des puces TPM et des logiciels TPM, qui sont livrés en versions OEM avec les nouveaux ordinateurs ainsi que séparément par Infineon pour les produits dotés de la technologie TPM conformes aux normes TCG. Par exemple, Infineon a accordé une licence pour le logiciel de gestion TPM à Broadcom Corp. en 2004.
• Microchip (anciennement Atmel) a fabriqué des dispositifs TPM qu'elle prétend être conformes à la spécification Trusted Platform Module version 1.2 révision 116 et proposés avec plusieurs interfaces (LPC, SPI et I2C), modes (certifiés FIPS 140-2 et mode standard), classes de température (commerciales et industrielles) et packages (TSSOP et QFN). Ses TPM prennent en charge les PC et les appareils embarqués. Elle fournit également des kits de développement TPM pour prendre en charge l'intégration de ses dispositifs TPM dans diverses conceptions embarquées.
• Nuvoton Technology Corporation fournit des dispositifs TPM pour les applications PC. Nuvoton fournit également des dispositifs TPM pour les systèmes embarqués et les applications Internet des objets (IoT) via des interfaces hôtes I2C et SPI. Le TPM de Nuvoton est conforme aux critères communs (CC) avec un niveau d'assurance EAL 4 augmenté de ALC_FLR.1, AVA_VAN.4 et ALC_DVS.2, FIPS 140-2 niveau 2 avec sécurité physique et EMI/EMC niveau 3 et exigences de conformité du Trusted Computing Group , le tout pris en charge au sein d'un seul appareil. Les TPM produits par Winbond font désormais partie de Nuvoton.
• STMicroelectronics fournit des TPM pour les plateformes PC et les systèmes embarqués depuis 2005. L'offre de produits comprend des composants discrets dotés de plusieurs interfaces prenant en charge les interfaces SPI ( Serial Peripheral Interface ) et I²C et différents niveaux de qualification (grand public, industriel et automobile). Les produits TPM sont certifiés Common Criteria (CC) EAL4+ augmentés de ALC_FLR.1 et AVA_VAN.5, certifiés FIPS 140-2 niveau 2 avec niveau de sécurité physique 3 et également certifiés Trusted Computing Group (TCG).

Il existe également des types hybrides ; par exemple, le TPM peut être intégré dans un contrôleur Ethernet , éliminant ainsi le besoin d'un composant de carte mère séparé.

La mise à niveau sur le terrain est le terme utilisé par le TCG pour désigner la mise à jour du micrologiciel TPM. La mise à jour peut être effectuée entre TPM 1.2 et TPM 2.0, ou entre les versions du micrologiciel. Certains fournisseurs limitent le nombre de transitions entre 1.2 et 2.0, et certains restreignent la restauration des versions précédentes. Les constructeurs de plateformes tels que HP fournissent un outil de mise à niveau.

Depuis le 28 juillet 2016, tous les nouveaux modèles, lignes ou séries d'appareils Microsoft (ou la mise à jour de la configuration matérielle d'un modèle, d'une ligne ou d'une série existante avec une mise à jour majeure, comme le processeur, les cartes graphiques) implémentent et activent par défaut TPM 2.0.

Alors que les composants TPM 1.2 sont des composants discrets en silicium, qui sont généralement soudés sur la carte mère, TPM 2.0 est disponible sous forme de composant discret (dTPM) en silicium dans un seul boîtier semi-conducteur, de composant intégré incorporé dans un ou plusieurs boîtiers semi-conducteurs - aux côtés d'autres unités logiques dans le(s) même(s) boîtier(s), et sous forme de composant basé sur un micrologiciel (fTPM) exécuté dans un environnement d'exécution de confiance (TEE) sur un système sur puce (SoC) à usage général.

• Google Compute Engine propose des TPM virtualisés (vTPM) dans le cadre du produit Shielded VMs de Google Cloud .
• La bibliothèque libtpms fournit une émulation logicielle d'un module de plateforme sécurisée (TPM 1.2 et TPM 2.0). Elle vise l'intégration de la fonctionnalité TPM dans les hyperviseurs, principalement dans Qemu.

• Windows 11 nécessite la prise en charge de TPM 2.0 comme configuration système minimale requise. Sur de nombreux systèmes, TPM est désactivé par défaut, ce qui nécessite de modifier les paramètres de l'UEFI de l'ordinateur pour l'activer.
• Windows 8 et versions ultérieures disposent d'une prise en charge native du TPM 2.0.
• Windows 7 peut installer un correctif officiel pour ajouter la prise en charge de TPM 2.0.
• Windows Vista à Windows 10 disposent d'une prise en charge native de TPM 1.2.
• Le Trusted Platform Module 2.0 (TPM 2.0) est pris en charge par le noyau Linux depuis la version 3.20 (2012)

• Google inclut des TPM dans les Chromebooks dans le cadre de son modèle de sécurité.
• Oracle fournit des TPM dans ses systèmes des séries X et T, tels que les serveurs des séries T3 ou T4. La prise en charge est incluse dans Solaris 11. [
• En 2006, avec l'introduction des premiers modèles Macintosh équipés de processeurs Intel, Apple a commencé à livrer des Mac avec TPM. Apple n'a jamais fourni de pilote officiel, mais un portage sous GPL était disponible. Apple n'a pas livré d'ordinateur avec TPM depuis 2006.
• En 2011, le fabricant taïwanais MSI a lancé sa tablette Windpad 110W dotée d'un processeur AMD et d'un module TPM Infineon Security Platform, qui est livré avec la version 3.7 du logiciel de contrôle. La puce est désactivée par défaut mais peut être activée avec le logiciel préinstallé inclus.

• L'hyperviseur VMware ESXi prend en charge TPM depuis la version 4.x et, à partir de la version 5.0, il est activé par défaut.
• L'hyperviseur Xen prend en charge les TPM virtualisés. Chaque invité dispose de son propre TPM logiciel émulé unique.
• KVM , combiné à QEMU , prend en charge les TPM virtualisés. Depuis 2012 , il prend en charge le passage de la puce TPM physique à un seul invité dédié. QEMU 2.11, sorti en décembre 2017, fournit également des TPM émulés aux invités.
• VirtualBox prend en charge les périphériques TPM virtuels 1.2 et 2.0 à partir de la version 7.0 publiée en octobre 2022.

• Les systèmes d'exploitation Microsoft Windows Vista et versions ultérieures utilisent la puce en conjonction avec le composant de chiffrement de disque inclus appelé BitLocker . Microsoft avait annoncé qu'à partir du 1er janvier 2015, tous les ordinateurs devront être équipés d'un module TPM 2.0 afin de passer la certification matérielle Windows 8.1 . Cependant, dans une révision du programme de certification Windows de décembre 2014, cette exigence est devenue facultative. Cependant, TPM 2.0 est requis pour les systèmes de secours connectés . Les machines virtuelles exécutées sur Hyper-V peuvent avoir leur propre module TPM virtuel à partir de Windows 10 1511 et Windows Server 2016. Microsoft Windows inclut deux commandes liées au TPM : tpmtool , un utilitaire qui peut être utilisé pour récupérer des informations sur le TPM, et tpmvscmgr , un outil de ligne de commande qui permet de créer et de supprimer des cartes à puce virtuelles TPM sur un ordinateur.

Les clés d'approbation TPM (EK) sont des paires de clés asymétriques propres à chaque TPM. Elles utilisent les algorithmes RSA et ECC . Le fabricant du TPM fournit généralement des certificats de clé d'approbation dans la mémoire non volatile du TPM . Les certificats attestent de l'authenticité du TPM. À partir de TPM 2.0, les certificats sont au format X.509 DER .

Ces fabricants fournissent généralement leurs certificats racines (et parfois intermédiaires) d'autorité de certification sur leurs sites Web.

• DMLA
• Infineon
• Intel
• NationZ
• Nuvoton
• ST Micro

Pour utiliser un TPM, l'utilisateur a besoin d'une bibliothèque logicielle qui communique avec le TPM et fournit une API plus conviviale que la communication TPM brute. Actuellement, il existe plusieurs bibliothèques TPM 2.0 open source de ce type. Certaines d'entre elles prennent également en charge TPM 1.2, mais la plupart des puces TPM 1.2 sont désormais obsolètes et le développement moderne se concentre sur TPM 2.0.

En règle générale, une bibliothèque TPM fournit une API avec des mappages un à un vers les commandes TPM. La spécification TCG appelle cette couche l'API système (SAPI). De cette façon, l'utilisateur a plus de contrôle sur les opérations TPM, mais la complexité est élevée. Pour masquer une partie de la complexité, la plupart des bibliothèques proposent également des moyens plus simples d'appeler des opérations TPM complexes. La spécification TCG appelle ces deux couches Enhanced System API (ESAPI) et Feature API (FAPI).

Il n'existe actuellement qu'une seule pile qui respecte la spécification TCG. Toutes les autres bibliothèques TPM open source disponibles utilisent leur propre forme d'API plus riche.

Ces bibliothèques TPM sont parfois également appelées piles TPM, car elles fournissent l'interface permettant au développeur ou à l'utilisateur d'interagir avec le TPM. Comme le montre le tableau, les piles TPM font abstraction du système d'exploitation et de la couche de transport, de sorte que l'utilisateur peut migrer une application entre les plates-formes. Par exemple, en utilisant l'API de la pile TPM, l'utilisateur interagirait de la même manière avec un TPM, que la puce physique soit connectée via une interface SPI, I2C ou LPC au système hôte.