Квантовые вычисления начинают понемногу набирать обороты и прокладывать себе дорогу из исследовательских лабораторий в коммерческие сферы. Как и любая новая технология, они помимо благ, несут в себе и ряд угроз. Одной из главных таких угроз называют возможность быстрого взлома криптографически защищённых систем. В новых модулях TPM компания Infineon предусмотрела меры против этого.

Новинка, чип OPTIGA TPM SLB 9672, отличается от привычных TPM рядом особенностей. Во-первых, по словам компании, это первый в индустрии TPM-модуль, поддерживающий 256-битные ключи шифрования, а во-вторых, он, опять-таки, впервые в индустрии, поддерживает методы пост-квантовой криптографии (PQC), дополнительно усиливающие защищённость системы, оснащённой таким модулем.

Наконец, SLB 9672 поддерживает обновление алгоритмов защиты, если старые окажутся скомпрометированными. Также новинка имеет функцию самовосстановления прошивки в случае её повреждения, соответствующую стандартам NIST SP 800-193. Встроенное хранилище на базе энергонезависимой памяти, используемое для хранения ключей, поддерживает их проверку и сертификацию с использованием нескольких независимых источников. Разумеется, полностью поддерживаются все спецификации TCG/TPM, а сам чип соответствует стандарту TPM 2.0 версии 1.59.

Компания-разработчик сопровождает новинку средствам разработки и предлагает демо-платы с новым чипом, что должно упростить внедрение новых систем защиты. Поддерживаются все новейшие версии ОС Windows и Linux. Чип способен работать в расширенном температурном диапазоне, от -40 до +105 °C, что немаловажно ввиду растущей популярности периферийных вычислений. Infineon заявляет, что собирается поддерживать новую TPM-платформу минимум десять лет в рамках программы Infineon Security Partner Network (ISPN).

Компания Microsoft анонсировала предварительную версию технологии доверенного запуска Azure Trusted Launch. Trusted Launch позволяет администраторам развёртывать виртуальные машины с проверенными и подписанными загрузчиками, ядрами ОС и политикой загрузки, которая использует модуль Trusted Launch Virtual Trusted Platform Module (vTPM) для выявления буткитов и руткитов и отслеживания того, была ли загрузка скомпрометирована.

Мониторинг vTPM позволяет администраторам видеть целостность всего процесса загрузки, а политики vTPM гарантируют отсутствие доступа к ключам, сертификатам и секретам у скомпрометированных виртуальных машин. Если служба обнаружит подозрительную активность во время загрузки, пользователи увидят предупреждение в Центре безопасности Azure (Azure Security Center).

Центр безопасности Azure представляет собой единую панель, куда сведены все предупреждения о нарушении целостности, рекомендации и исправления. Эти новые функции легко активируются: доверенный запуск включается простым изменением кода развёртывания или флажком на портале Azure для всех виртуальных машин.

Как сообщает ресурс TheRegister, опция Azure Trusted Launch пока доступна не для всех виртуальных машин. В частности, её не поддерживают инстансы HBv3, Lsv2, M, Mv2, NDv4 и NVv4. Пользователям также потребуется запустить RHEL 8.3, SUSE 15 SP2, Ubuntu 20.04 или 18.04 LTS, Windows Server 2019 или 2016 и Windows 10 Pro или Enterprise, чтобы воспользоваться преимуществами новой функции безопасности.

Microsoft пояснила, что опция Trusted Launch доступна в предварительной версии в отдельных регионах Azure без дополнительных затрат, и она поддерживает наиболее часто используемые образы операционных систем, а в ближайшее время появятся поддержка и других ОС.

VMware опубликовала новое, более жёсткое руководство по настройке безопасности для своего флагманского пакета платформы виртуализации vSphere. Компания пару лет до этого не производила крупных обновлений руководства, и опубликовала лишь одно сразу после выхода vSphere 7.0 Update 1 в октябре 2020 года.

Как отметил ресурс The Register, самым примечательным в новом руководстве является очень настоятельное предложение использовать модули Trusted Platform Module (TPM), которые по-прежнему является опцией у некоторых серверов или не включены по умолчанию. «TPM 2.0 — это недорогой способ получить очень продвинутую безопасность на VMware vSphere и ESXi, и мы твердо уверены, что вам не следует приобретать новое оборудование без них», — заявил Боб Планкерс (Bob Plankers), технический маркетинговый архитектор VMware.

Отдельное внимание уделено усилению контроля и изоляции: «Xclarity, iLO и iDRAC отлично работают, но иногда их можно настроить способом, предоставляющим возможности для злоумышленников». Также добавлены рекомендации относительно проброса шины PCIe в ВМ, чтобы злоумышленники не попытались использовать его для прямого доступа к оборудованию. В новом руководстве также добавлен список устаревших элементов управления, которые не рекомендуется использовать. Например, при неправильной настройке у ВМ не будет вывода на виртуальный экран, и можно будет пропустить важные сообщения.

Напомним, что хотя VMware продлила срок службы vSphere 6.7, поддержка версии 6.5 истекает в ноябре 2021 года.

Windows Server, как и любая другая ОС, не лишена уязвимостей. В эпоху развития облачных и периферийных вычислений информационной безопасности следует уделять повышенное внимание. И именно так поступит Microsoft при выпуске следующей версии Windows Server. Новый релиз предусматривает обязательное наличие в серверной системе функций UEFI и TPM.

Модуль TPM 2.0 (GIGABYTE)

Многие пользователи систем и серверов на базе Windows Server полагаются на низкоуровневые системы безопасности, в частности, Secure Boot и BitLocker. Они лучше всего работают при наличии соответствующего программного и аппаратного обеспечения. Речь идёт о правильной реализации UEFI и наличии модуля Trusted Platform Module (TPM). Однако и Secure Boot, и TPM не всегда имеются в составе сервера по умолчанию.

Ранее сертификация Windows Server относилась к этому вопросу довольно прохладно, наличие UEFI Secure Boot и TPM не было обязательным. Это порождало и продолжает порождать слабость в системе ИТ-безопасности, когда речь заходит о серверах с Windows Server в качестве операционной системы.

Процесс Secure Boot в операционных системах семейства Windows 10

Однако сейчас, когда облачных систем и систем периферийных вычислений всё больше, мириться с таким положением дел нельзя. И в Microsoft это понимают. Новая программа сертификации Windows Server предусматривает обязательное наличие TPM 2.0 и Secure Boot, причём для производителей и поставщиков серверов установлен крайний срок 1 января 2021 года.

В новом релизе Windows Server наличие и задействование этих компонентов станет обязательным. Причём речь идёт как о bare-metal установках, так и о виртуальных машинах, запущенных в Hyper-V или сторонних гипервизорах, одобренных в рамках программы Server Virtualization Validation Program (SVVP).

Конечно, пользователей ждут некоторые неудобства, но TPM 2.0 стандарт не новый. Сертификация уже существующих систем на Windows Server предусматривает так называемую фазу Additional Qualification (дополнительная квалификация) — достаточно установить модуль TPM 2.0 и задействовать опцию Secure Boot.

Под вопросом лишь срок выпуска нового крупного релиза Windows Sever. Пока эта дата остаётся в тайне. Можно только сказать, что речь идёт о второй половине текущего года. Следует также отметить, что программа Assurance AQ for Windows Server 2019 также предусматривает включение вышеупомянутых функций.

Модули TPM (Trusted Platform Module) часто устанавливаются в системы, с помощью которых осуществляется обработка конфиденциальной информации. Одна из функций этих модулей — генерация и безопасное хранение ключей шифрования. Для этого на борту модуля имеется отдельный криптопроцессор.

Но, как выяснилось, использование TPM не дает стопроцентной гарантии от утечки данных.

Архитектура криптопроцессора TPM

Группа исследователей, в которую вошли представители Вустерского политехнического института, а также Любекского и Калифорнийского университетов, разработала метод атаки, позволяющий восстанавливать значения закрытых ключей, сохранённых в модуле TPM.

Атака получила название TPM-Fail — она затрагивает как программно-аппаратные решения Intel (CVE-2019-11090), так и модули, построенные на базе чипов STMicroelectronics ST33 (CVE-2019-16863). Исследовали выложили в публичный доступ прототип ПО для атаки, а также продемонстрировали возможность восстановления 256-битного закрытого ключа, который используется в ЭЦП-алгоритмах ECDSA и EC-Schnorr.

Модуль TPM, установленный на системную плату. Версия Infineon, уязвимости нет

В основе новой атаки лежит временной анализ операций в процессе генерирования цифровой подписи. Оценка задержек позволяет получить информацию об отдельных битах, но для успешного восстановления ключа необходимо довольно существенное время.

Это время оценивается в 4-20 минут (до 15 тысяч операций) в случае решения Intel и порядка 80 минут (до 40 тысяч операций) для аппаратных TPM на базе ST33, поскольку для временного анализа необходима генерация нескольких тысяч ЭЦП для уже известных атакующему данных.

STMicroelectronics признала ошибку и сообщает, что в новой редакции криптопроцессора работа алгоритма ECDSA более не даёт задержек, которые можно было бы проанализировать. Интересно, что в аналогичных чипах Infineon и Nuvoton данная уязвимость отсутствует изначально.

Результаты аудита SDK для создания защищённых приложений

Что касается решений Intel, то описываемая проблема затрагивает все процессоры, начиная с поколения Haswell — как мобильные и десктопные, так и серверные. Но компания также признаёт наличие уязвимости и уже в ноябрьском обновлении прошивок она была устранена наряду с 24 другими различными уязвимостями.

Дополнительно стоит отметить публикацию результатов аудита различных средств разработки приложений, работающих с кодом, выполняемых в изолированных анклавах. По результатам выявлено 35 уязвимостей, потенциально позволяющих извлечь из AES-ключи или даже запускать какой-либо вредоносный код. Как выяснилось, архитектура Intel SGX не является единственной уязвимой — потенциально под угрозой находится также и RISC-V Keystone.

Компания Eurocom представила обновлённую линейку своих мобильных рабочих станций, получивших теперь дополнительный уровень безопасности. Речь идёт о семействе 15- и 17-дюймовых моделей Racer 3W, Neptune 3, Panther 5 и Scorpius 3, все модификации которых станут оснащаться системой аппаратного шифрования. За это будет отвечать криптопроцессор, соответствующий спецификации Trusted Platform Module (TPM).

Eurocom решила уделить отдельное внимание вопросам конфиденциальности данных, хранящихся в их устройствах. Прежде фирменные мобильные рабочие станции уже имели защитный замок Kensington, который оберегал от физического проникновения в систему при краже аппарата, а также комплектовались биометрическим сканером для снятия отпечатков пальцев. Теперь же охранная система дополнится TPM-модулем, который размещается на материнской плате устройства. Целью интегрированного чипа является реализация комплекса мер по защите при физическом или программном взломе, который включает в себя управление памятью в защищённом режиме, шифрование шины и данных, активное экранирование и другие мероприятия.

www.tabletpcreview.com

Что касается настройки модуля TPM в мобильных рабочих станциях от Eurocom, то производитель постарался максимально упростить данную задачу. В BIOS будет отображаться меню с конфигурацией, через которое откроется доступ к управлению криптопроцессором.

Изготовление всех устанавливаемых на материнской плате чипов возьмёт на себя фирма Infineon, работающая в сфере полупроводниковых технологий. Если рассмотреть возможности TPM более подробно, то окажется, что пользователям станет доступным ряд новых функций, вроде:

• хранения цифровых учетных записей;
• управления ключами с помощью TPM;
• настройки смарт-карт и сканеров отпечатков пальцев для мультизадачной аутентификации;
• шифрования файлов и папок для упорядоченного контроля за доступом в к ним;
• обеспечения безопасного удаленного и беспроводного доступа;
• создания, хранения и введения ограничений на использование криптографических ключей.

devj.eurocom.com