TCPA - Fritz Chip. 1 Vorwort 2 TCPA. 3 TPM (Fritz Chip) 3.1 Architektur. Stephan Dobretsberger F716 // 003xxxx

Transkript

1 1 Vorwort In Zusammenhang mit den Begriffen TCPA, Fritz Chip, Palladium gibt es in den Medien sehr viele Horrorszenarien zum Thema Trusted Computing (TC), aber leider nur sehr wenige Fakten. Ich werde daher hauptsächlich auf die technischen Hintergründe eingehen und aufgrund des beschränkten Umfangs auch hier nur das Trusted Platform Module (TPM), auch bekannt als Fritz Chip, behandeln. 2 TCPA Die Trusted Computing Platform Alliance (TCPA) wurde am 11. Oktober 1999 durch die fünf Unternehmen Compaq, Hewlett-Packard, IBM, Intel und Microsoft gegründet. Ziel dieser Industrievereinigung war es, das Vertrauen in Computersysteme und deren Sicherheit bei Transaktionen im Internet zu erhöhen. Die TCPA war basisdemokratisch organisiert, alle Beschlüsse mussten einstimmig erfolgen. Dies führte zur Verhinderung des Beschlusses der Version 1.2 und schließlich zur Ablöse durch die Trusted Computing Group (TCG) am 8. April Hier genügt bereits eine 2/3 Mehrheit zur Verabschiedung einer Spezifikation. [1] Die TCG sieht Trusted Computing nicht als Ersatz, sondern als Erweiterung der bestehenden Sicherheitsstandards wie X.509, IPSec, SSL, u.v.m. 3 TPM (Fritz Chip) Als TPM (Trusted Platform Module) wird die Hardwareausführung der TCG-Spezifikation bezeichnet. Den Beinamen Fritz Chip bekam es zu Ehren Fritz Hollings, Senator von South Carolina. Hollings war Initiator des SSSCA (Security Systems Standards and Certification Act), einer Gesetzesinitiative, die den Handel verpflichtet hätte, nur noch TC-konforme Geräte in Umlauf zu bringen. Später wurde dieses Ziel mit dem freundlicher klingenden Namen CBDTPA (Consumer Broadband and Digital Television Promotion Act) fortgesetzt. Beide Entwürfe scheiterten und Hollings verlor seinen Vorsitz im Senatsausschuss für Handel, Wirtschaft und Transport. [2][3][5] 3.1 Architektur Das TPM, zusammen mit der es unterstützenden Software, erzeugt ein Fundament des Vertrauens ( root of trust ). Es kann dieses Vertrauen auf andere Teile des Systems erweitern und so eine Kette des Vertrauens aufbauen. Für sich alleine ist das TPM nur ein sicherer Mikrocontroller mit kryptographischer Funktionalität. Angeschlossen wird es an den LPC (Low Pin Count) Bus, dem Nachfolger des ISA-Bus. Es wird vermutet, dass das TPM in Zukunft in den Prozessor integriert wird und nicht mehr als separater Chip am Motherboard vorhanden sein wird. Das TPM wird als passiver Chip von der CPU gesteuert und kann alleine weder den Bootvorgang überwachen, noch das Öffnen von Programmen und Dokumenten verhindern. Diese Möglichkeiten ergeben sich erst in dem Zusammenspiel mit einem TC-konformen Betriebsystem. Ein Beispiel hierfür ist die NGSCB (Next Generation Secure Computing Base, ehemals Palladium) von Microsoft. [4][9] 17. Mai von 6

2 3.1.1 Kryptographische und sicherheitsrelevante Funktionen Die kryptographischen Funktionen werden autonom ausgeführt. Externe Hard- und Software kann sie nicht beeinflussen, sie können nur die Eingabedaten für das TPM liefern. Das TPM besitzt folgende Features: RSA Beschleuniger Hardwareunterstützung für 2048 Bit RSA Ver- und Entschlüsselung SHA-1 Hash Algorithmus Hashfunktion für kleine Datenpakete. Für größere Daten wird der Hash außerhalb des TPM berechnet, da es dafür zu langsam ist Zufallszahlengenerator Interner Zufallszahlengenerator zur Erzeugung von Schlüsselpaaren Monotoner Zähler Es wird der Software ein nicht manipulierbarer, sich ständig erhöhender Zähler zur Verfügung gestellt. Er kann zum Beispiel dazu verwendet werden, um Änderungen an Log-Dateien festzustellen. [6] Tick-Counter Beim Booten wird ein Zusammenhang zwischen der aktuellen Zeit und dem Startwert des Tick- Counters berechnet. Da der Tick-Counter im TPM arbeitet und nicht von außen beeinflusst werden kann, stellt er die Basis für eine sichere Zeitangabe dar. [6] Schlüssel und Zertifikate Die Schlüssel und Zertifikate werden im nichtflüchtigen Speicher im TPM abgelegt Endorsement Key (EK) Der Endorsement Key (EK) ist ein Schlüsselpaar, bestehend aus einem privaten und einem öffentlichen Schlüssel. Der private Teil des Schlüssels verlässt das TPM nie. Der EK ist einmalig für jedes TPM. Er kann entweder im Gerät selbst erzeugt werden oder wird durch den Hersteller extern erzeugt und dann eingesetzt. Seit Version 1.2 kann der EK auch gelöscht und durch einen neuen ersetzt werden kann. Hier gibt es aber noch weitergehendere Forderungen nach einer vollständigen Schlüsselkontrolle durch den Benutzer. [6] 17. Mai von 6

3 Attestation Identity Key (AIK) Die AIKs werden verwendet, um das System bei einem Service Provider (SP) zu authentifizieren Platform Configuration Register (PCR) Im PCR werden Informationen über die Hard- und/oder Softwarekonfiguration gespeichert. Sie wird dazu verwendet, um Daten an die Plattform zu binden (siehe 3.3.2) Endorsement Certificate Das Endorsement Certificate enthält den Public Key des EK und gibt Auskunft darüber, dass das TPM echt ist, das heißt dass der EK sicher ist Platform Certificate Dieses Zertifikat wird vom Systemhersteller vergeben und bestätigt, dass die sicherheitsrelevanten Teile der Plattform echt sind Conformance Certificate Das Conformance Certificate wird entweder vom Hersteller oder von einem Prüflabor vergeben. Es gibt Auskunft über die Sicherheit des Gesamtsystems. 3.2 Software Stack Eine Anwendung kann auf das TPM entweder über die Microsoft Cryptographic API (CAPI) oder direkt über den TCG Software Stack (TSS) zugreifen TCG Software Stack Gemäß der TCG Spezifikation werden einige Dienste und Funktionen nicht im TPM ausgeführt. Der TSS stellt daher die entsprechende Softwarearchitektur zur Verfügung, um diese Funktionalität auf die CPU auszulagern Microsoft CAPI Die CAPI stellt kryptographische Funktionen für Win32 Anwendungen zur Verfügung. Diese Operationen sind in unabhängige Module, die Cryptographic Service Provider (CSP) aufgeteilt. Einige stellen starke kryptographische Algorithmen zur Verfügung, andere verwenden Hardware, wie zum Beispiel Smartcards. Ein CSP ist der TCG Service Provider (TSP), der Zugriff auf das TPM bietet. 17. Mai von 6

4 3.3 Einsatzmöglichkeiten Die Einsatzmöglichkeiten werden sehr stark von der Software bestimmt. Im Folgenden sollen daher nur zwei grundlegenden Möglichkeiten aufgezeigt werden, wie das TPM verwendet werden kann Hardware geschützte Speicherung Hardware geschützte Speicherung soll die Sicherheit privater Daten durch dezidierte Hardware erhöhen. Kleinere Mengen an Daten, wie zum Beispiel Schlüssel die kürzer als 2048 Bit sind, können direkt mit der in dem TPM eingebauten RSA-Engine verschlüsselt werden. Für größere Daten gibt es 2 Möglichkeiten: 1. Die Daten werden mit einem symmetrischen one-time File Encryption Key (FEK; kürzer als 2048 Bit) verschlüsselt. Anschließend kann das TPM verwendet werden, um den Schlüssel sicher zu speichern. 2. Das System teil die Daten in Blöcke, die das TPM verarbeiten kann und setzt diese danach wieder zusammen. Das erste Verfahren wird im allgemeinen das einfachere und schnellere sein, daher werde ich darauf noch ein wenig näher eingehen: Die Daten werden verschlüsselt und ergeben ein so genanntes Data Blob. Das TPM benutzt eine Schlüsselhierachie für die gespeicherten Schlüssel. Die Wurzel ist der Storage Root Key (SRK). Der verwendete Schlüssel wird mit dem, ihm in der Hierarchie übergeordneten, Schlüssel verschlüsselt und ergibt den Key Blob. Diese Blobs (Binary Large Objects) sind nun geschützt und können auf beliebigen Medien gespeichert werden. 17. Mai von 6

5 3.3.2 Daten an eine bestimmte Plattform binden Daten können auch an eine bestimmte Hard- und/oder Softwarekonfiguration gebunden werden. Der Ablauf ist in etwa derselbe, die Daten werden jedoch zuvor mit dem PCR (Platform Configuration Register) verknüpft. Wenn die Daten auf einem anderen System oder unter einer anderen Konfiguration verwendet werden wollen, so ist dies dann nicht mehr möglich. 3.4 Bereits verfügbare Hardware Es sind bereits die TPMs einiger Hersteller erhältlich. Bei Atmel heißt der Chip AT97SC3201, bei Infineon SLD 9630TT11 und bei National PC All diese Chips entsprechen noch der Version 1.1b der TCG Spezifikation. [4] [7] [8] IBM baut TPMs bereits in seine Notebooks der Thinkpad-Reihe ein. [5] 4 TPM-Kontrollmechanismen Um das angestrebte Vertrauen auch zu erreichen, besitzt das TPM 3 Kontrollmechanismen. TC ist eine opt-in -Technologie, das TPM ist also standardmäßig deaktiviert und muss erst durch den Benutzer explizit aktiviert werden. Der Benutzer kann sich sicher sein, dass das TPM nur dann verwendet wird, wenn er es auch möchte. 4.1 Physische Anwesenheit Es sind Mechanismen vorgesehen, um die physische Anwesenheit eines Menschen vor dem System zu erkennen. Wie dies gelöst wird, ist den Systemherstellern überlassen. Die Möglichkeiten gehen hier von einer zusätzlichen Taste auf der Tastatur, einem Jumper oder biometrischen Erkennung. Wichtig ist hierbei, dass dieser Mechanismus die Anwesenheit eindeutig erkennt und weder durch lokale, noch durch entfernt ausgeführte Software manipuliert werden kann. 4.2 Besitzer des TPM Zum Ausführen fast aller Operationen ist es notwendig, dass das TPM einen Besitzer zugeordnet ist. Frühere Besitzer können gelöscht und neue angelegt werden. Dies ist zum Beispiel über den Mechanismus der physischen Anwesenheit möglich. Andererseits kann dies auch mit dem Setzen eines Flags TakeOwnership im TPM verhindert werden. 4.3 Deaktivierung Die TCG Spezifikation beschreibt mehrere Möglichkeiten, das TPM zeitweise oder auch dauerhaft zu aktivieren bzw. zu deaktivieren. Es wird auch empfohlen, einen mechanischen Schalter vorzusehen, um dem Benutzer zu garantieren, dass das TPM wirklich abgeschaltet ist. 17. Mai von 6

6 5 Abkürzungen AIK Attestation Identity Key BLOB Binary Large OBject CAPI Cryptographic Application Program Interface CBDTPA Consumer Broadband and Digital Television Promotion Act...3 CSP Cryptographic Service Provider EK Endorsement Key FEK File Encryption Key LPC Low Pin Count (Bus) NGSCB Next Generation Secure Computing Base PCR Platform Configuration Register SP Service Provider SRK Storage Root Key SSSCA Security Systems Standards and Certification Act... 3 TCG Trusted Computing Group...2 TCPA Trusted Computing Platform Alliance...2 TPM Trusted Platform Module...3 TSP TCG Service Provider TSS TCG Software Stack Quellenverzeichnis Intel: Trusted Platform Module (TPM) based Security on Notebook PCs - White Paper [ ] [1] Brandt, Hinnerichs, Hoffmann: Trusted Computing Kontrolliertes Vertrauen [ ] [2] SSSCA: Security Systems Standards and Certification Act [ ] [3] CBDTPA: Consumer Broadband and Digital Television Promotion Act [ ] [4] BSI: Sichere Plattformen und die Trusted Computing Group (TCG) [ ] [5] Trusted Computing FAQ 1.1 deutsch [ ] [6] Heise: c't 24/2003, S. 33: Trusted Computing [ ] [7] Atmel: The Atmel Trusted Platform Module [ ] [8] Infineon: Platform Security Trusted Platform Module (TPM) [ ] [9] Trusted Computing Group: Frequently Asked Questions [ ] 17. Mai von 6