[Win11要的TPM 2.0不一定是獨立晶片,你的CPU固件可能已經支持][ [eet-china]][2021-07-06]
有人曾說,是軟體行業推動了硬體行業的發展。要運行包含越來越多代碼的大型作業系統,你需要處理能力強勁的CPU;要裝下體積越來越大的APP,你需要更大的NAND Flash;要玩上帶各種視覺特效的遊戲,你就得跟礦工搶顯卡去……
上月底,微軟正式發佈了Windows 11作業系統,不少喜歡嘗鮮的用戶打算“就地升級”時卻遇到了麻煩,他們的電腦少了一樣必須的硬體支援—— TPM(Trusted Platform Module, 可信賴平臺模組)2.0。
什麼是 TPM?為什麼安裝 Windows 11 會需要它?老電腦沒有這個東西還能用Windows 11嗎?這是小夥伴們問的最多的幾個問題。
微軟企業和作業系統安全總監大衛·韋斯頓(David Weston)在 Windows 安全博客上解釋過:“TPM 是一種晶片,它可以集成到 PC 的主機板上,也可以單獨添加到 CPU 中。其目的是保護加密金鑰、用戶憑據等敏感性資料,使得惡意軟體和攻擊者無法訪問或篡改這些資料。”
如此看來,在嶄新的使用者介面(UI)、Android 應用程式支援(WSA 子系統)、手寫筆交互等體驗刷新之外,微軟這次更加注重Windows 11能夠為用戶安全帶來改進。強制要求TPM,也是微軟多年來一直在推進的重大硬體更新之一。
不同于其他安全防護軟體,TPM 晶片可以為使用者提供硬體級的資料保護,它不但適用於 BitLocker 等 Windows 功能加密磁片,也能防止針對密碼的字典攻擊。符合TPM的晶片首先必須具有產生加解密金鑰的功能,此外還必須能夠進行高速的資料加密和解密,以及充當保護BIOS和作業系統不被修改的輔助處理器。
關於微軟大力推廣TPM晶片的理由,還有一個,那就是防止和打擊盜版。
雅達利公司創建者之一的(Nolan Bushnell)曾在2008年時預言,遊戲產業面臨的盜版氾濫問題,在過不久將隨著新型加密晶片的逐步普及而成為歷史。
“一種名為TPM的加密晶片即將被使用在今後的大部分電腦主機板上。”布希內爾說道:“這就意味著遊戲產業將迎來一種全新的、絕對安全的加密方式,它無法在網路上被破解也不存在註冊碼被散播的危險,它將允許我們在那些盜版極為嚴重的地區開拓巨大的新市場。”
布希內爾認為,電影和音樂的盜版很難被阻止,因為只要是“能看、能聽的就可以拷貝”。然而電子遊戲的情況則完全不同,由於這類產品與代碼的緊密聯繫性,使用TPM晶片將能夠完全阻止盜版遊戲的運行。
“一旦TPM晶片的普及率達到足夠高的水準,我們就可以開始看到在亞洲,印度等盜版氾濫地區正版軟體收入的逐步增長,而這在以前是幾乎是不可想像的。”
這也是微軟希望看到的,盜版軟體不但影響了他們的營收,更給整個行業帶來了一大筆真金白銀的損失。2014年微軟網路犯罪中心的副總顧問兼執行董事大衛-費恩(David Finn)在一篇博文中寫道,“經由盜版軟體入侵的惡意程式給企業造成的打擊尤其嚴重。今年,IDC公司預計,企業將會花費1270億美元來處理安全問題,3640億美元來處理資料失竊。”
TPM晶片並不是新鮮事物
由此可見,TPM 晶片並不是什麼新鮮事物。
早在1999年10月,多家IT巨頭就聯合發起成立可信賴運算平臺聯盟(Trusted Computing Platform Alliance,TCPA),初期加入者有康柏、HP、IBM、英特爾、微軟等,該聯盟致力於促成新一代具有安全且可信賴的硬體運算平臺。
2003年3月,TCPA增加了諾基亞、索尼等廠家的加入,並改組為可信賴計算組織(Trusted Computing Group,TCG),希望從跨平臺和操作環境的硬體和軟體兩方面,制定可信賴電腦相關標準和規範,並提出了TPM規範。
最先響應號召的是廣大筆記本廠商,他們早早地內置了TPM功能,但更多的是防患於未然,畢竟當時支援TPM的作業系統還沒有出現,OEM廠商都是採用協力廠商軟體來實現TPM的部分功能。
直到2007年,Windows Vista正式發佈之後,TPM安全晶片才開始發揮其幕後英雄的作用,大量的系統安全功能通過其來實現。
在 2011 年,TPM 1.2 晶片已廣泛存在於各類商業用途的主機中。考慮到各種網路釣魚、勒索軟體、供應鏈和物聯網漏洞,這對於企業用戶來說是極為必要的安全手段。而且每個單獨的 TPM 都具有矽製造期間初始化的唯一簽名,可提高信任/安全效率。每個 TPM 都必須擁有一個所有者才能使用。TPM 用戶必須親自到場才能獲得所有權。在此過程結束且 TPM 擁有唯一所有者後,TPM 將被啟動。
“我們發現,83% 的企業經歷過固件攻擊,只有 29% 的企業有分配資源來保護它們的關鍵資料。”韋斯頓對當時企業用戶採用TPM的背景這樣描述道。
但微軟的目標不只是企業使用者,他們想把 TPM 晶片應用到每一台 PC 上,借助這種現代硬體的信任根(root-of-trust)來幫助抵禦常見和複雜的攻擊,比如勒索軟體和重量級駭客組織的複雜攻擊。
獨立晶片和基於固件的TPM有何不同?
2015年, Windows 10 發佈以後,微軟開始要求 OEM 廠商在硬體上提供TPM 晶片支援,不過這一要求並不是強制性的。TPM 2.0晶片也是從這一年開始在一些筆記本上出現,雖然傳統上來講,TPM是焊接到電腦主機板的離散晶片,但英特爾、AMD均在後續較新的處理器層面做了固件支持,除非特別老舊的設備才需要加裝TPM 2.0專用模組。
TPM模組通常是一種小眾的主機板配件,微星、華碩等OEM廠商均有生產,但只有少數桌上型電腦主機板有對應的20-1腳座,並且由於“國安”原因在網上幾乎買不到。據悉最近因為Windows 11的發佈導致TPM模組價格上漲不少,達到了幾十到上百美元不等。加裝之後,能夠拯救H77、Z97、AMD FM2等老平臺。
TPM安全晶片的原廠也不少,大部分是國外廠商,這是由於國外對於TPM安全晶片的研發、製造起步較早。主要廠家有英飛淩(Infineon)、意法半導體(ST)以及Atmel(2016年被Microchip收購)。
中國臺灣廠商華邦電子(收購了美國國家半導體公司旗下PC部門)也是主力廠商之一,不過大陸廠商這方面的研發起步較晚,大家比較熟悉的是聯想自家的“恒智”晶片以及國民技術、兆日科技的產品。目前市面上的國行產品大部分搭載的是國民技術的TPM晶片。
這裡還有個小故事,聯想研究院在2003年就開始了TPM晶片的自研,但直到2005年合併了IBM的PC事業部後才正式宣佈。當時的恒智TPM晶片採用了SoC設計,內置32位處理器,採用0.25微米工藝,達到了當時的國際先進水準。藉由“安全晶片”涉及國家安全的概念和IBM 的品牌效應,聯想開始叫板當時的PC龍頭惠普,這當年也被稱為“TPM門”事件,下面我們會談到。
獨立 TPM 作為隔離的、單獨的功能晶片實施,並且所有必需的計算資源都包含在獨立物理晶片包中。獨立 TPM 完全控制專用內部資源(例如易失性記憶體、非易失性記憶體和加密邏輯。),它是訪問和利用這些資源的唯一功能。
基於固件的 TPM (英特爾叫PTT,AMD叫fTPM) 則有很大不同,它不是使用獨立晶片來工作,而是利用計算設備中的其他資源和環境(如 SoC、CPU 或其它類似計算環境)工作,同時仍然提供類似於離散 TPM 晶片的邏輯分離。
基於固件的 TPM 沒有自己的專用存儲。它依賴於作業系統和平臺服務,以訪問平臺內的存儲。沒有專用存儲的一種含義是存在簽注金鑰 (EK) 證書。獨立TPM 製造商可將 TPM 存儲中裝有 EK 證書,以用於 TPM 簽注金鑰的獨立 TPM 設備交付給平臺製造商,但這對於固件 TPM 無法實現。固件 TPM 供應商通過製造商的特定流程為最終使用者提供證書。要獲得系統的 EK 證書,平臺所有者需要聯繫該平臺的晶片組/CPU 供應商
此外,還需要 TCG 認證的獨立 TPM,以滿足合規性和安全要求,包括強化晶片及其與智慧卡類似的內部資源。TCG合規性可證明TPM正確實施了TCG的規格。TCG認證所需的硬化使經認證的獨立TPM免受更複雜的物理攻擊。
歡迎光臨 伊莉討論區 (http://a401.file-static.com/) | Powered by Discuz! |