TPM, anakart üzerinde bulunan küçük ve özel amaçlı bir güvenlik çipidir. Yaptığı iş tek cümleyle özetlenebilir: kriptografik anahtarları üretir, saklar ve kullanır — ama dışarı vermez.
Neden bir çip gerekiyor
Bir anahtar yazılım tarafından bellekte tutuluyorsa, o belleğe erişebilen bir saldırgan anahtarı da alabilir. Dosyada tutuluyorsa dosya kopyalanabilir.
TPM bu zinciri kırar. Anahtar çipin içinde üretilir ve hiçbir zaman dışarı çıkmaz. Şifreleme ve imzalama işlemleri çipin içinde yapılır; dışarıya yalnızca sonuç verilir.
Sonucu şudur: anahtarı çalmak için diski kopyalamak yetmez, o fiziksel çipe sahip olmak gerekir.
Anahtar mantığının genel çerçevesi simetrik ve asimetrik şifreleme yazısında.
Ölçülmüş başlatma
TPM’in ikinci ve daha az bilinen işlevi budur.
Sistem açılırken her aşama — ürün yazılımı, önyükleyici, çekirdek — bir sonrakinin özetini hesaplar ve TPM’e kaydeder. Bu kayıtlar geriye dönük değiştirilemez.
Sonuçta elinizde, sistemin hangi durumda açıldığını kanıtlayan bir ölçüm zinciri olur.
Bunun pratik değeri, bir anahtarın belirli bir başlatma durumuna bağlanabilmesidir. Sistem beklenen bileşenlerle açıldıysa anahtar serbest bırakılır; bir şey değiştiyse bırakılmaz.
Zincirin en alt halkasının nasıl korunduğu UEFI ve Secure Boot yazısında.
Disk şifrelemesiyle ilişkisi
En yaygın kullanım budur ve mekanizmayı anlamak, yaşanan sorunların çoğunu açıklar.
Disk şifrelemesi, şifreleme anahtarını TPM’e emanet eder. Makine açıldığında ve ölçümler beklenen değerlerle uyuşuyorsa TPM anahtarı serbest bırakır; kullanıcı hiçbir şey yazmadan sistem açılır.
Bu, kullanıcı deneyimi açısından belirleyicidir: parola sormayan bir şifreleme, kullanıcı direnci üretmez. Filo genelinde şifrelemeyi mümkün kılan tek şey budur.
Ters tarafı da vardır: disk başka bir makineye takıldığında o makinenin TPM’i anahtarı bilmez ve veri okunamaz. Korumanın kaynağı tam olarak budur.
Filo genelinde devreye alma yöntemi BitLocker’ı filo genelinde devreye almak rehberinde.
Kurtarma anahtarı: en kritik operasyonel kalem
Ölçümler değiştiğinde TPM anahtarı vermez ve sistem kurtarma anahtarını ister. Ölçümleri değiştiren şeyler ise gündelik işlerdir.
Tipik tetikleyiciler: ürün yazılımı güncellemesi, açılış sırasının değiştirilmesi, Secure Boot’un açılıp kapatılması, anakart değişimi, bazı donanım eklemeleri.
Bu yüzden kurtarma anahtarının merkezî olarak saklanması pazarlık konusu değildir. Saklanmadığında sonuç kesindir: bir ürün yazılımı güncellemesinden sonra makine kurtarma ekranında kalır ve veri erişilemez olur.
Aynı emanet disiplini Mac tarafında da geçerlidir; kurumsal Mac yönetimi yazısında ele alınıyor.
Diğer kullanımlar
Disk şifrelemesi en görünür kullanımdır ama tek değildir.
Cihaz kimliği. Cihaza özel bir anahtar üretilip TPM’de saklanır; kurumsal ağa ya da uygulamalara bağlanırken cihazın kimliği bu anahtarla kanıtlanır. Kablosuz tarafındaki karşılığı 802.1X ile kurumsal kablosuz yazısında.
Parolasız oturum açma. Kimlik anahtarları TPM’de tutulduğunda, oturum açma parola yerine cihaz artı biyometrik doğrulamaya dayanır. Bu, oltalamaya karşı belirgin bir katman ekler; kalıplar oltalama türleri yazısında.
Sanal makinelerde. Hipervizörler sanal TPM sunabilir; sanal makinelerde de disk şifrelemesi ve uyumluluk denetimleri mümkün olur. Konak tarafındaki mantık hipervizör nedir yazısında.
Neyi korumaz
Sınırları bilmek, yanlış güven duymayı önler.
TPM, çalışan bir sistemi korumaz. Sistem açıkken şifreleme anahtarı bellektedir; o noktada koruma işletim sisteminin görevidir.
Kullanıcı hesabını korumaz. Parolası zayıf bir hesap, TPM’li bir makinede de kolay ele geçirilir.
Ve zararlı yazılımı engellemez. Ölçülmüş başlatma, başlatma zincirindeki bir değişikliği fark eder; işletim sistemi içinde çalışan bir zararlıyı görmez. O katman EDR nedir yazısının konusudur.
Envanterde ne kontrol edilir
Üç alan toplanmalıdır: çipin var olup olmadığı, sürümü ve etkin olup olmadığı.
Üçüncüsü şaşırtır: birçok makinede çip vardır ama ürün yazılımında kapalıdır. Bu makinelerde disk şifrelemesi ya hiç açılmaz ya da parola sorarak açılır — ve kullanıcı direnci başlar.
Sürüm de önemlidir; eski sürümler bazı modern gereksinimleri karşılamaz ve işletim sistemi yükseltmelerinde engel oluşturur.
Ürün yazılımı tabanlı çip
Bugün satılan cihazların bir bölümünde ayrı bir fiziksel çip yoktur; işlev, işlemcinin içindeki yalıtılmış bir bölgede yazılımla sağlanır.
İşlevsel olarak aynı hizmeti verir ve işletim sistemi açısından ayırt edilemez. Fiziksel çipe göre farkı, koruma sınırının donanımsal değil işlemci mimarisine dayalı olmasıdır.
Çoğu kurumsal senaryoda bu fark önemli değildir; yüksek güvenlik gerektiren özel durumlarda ise ayrık çip tercih edilir. Envanter çıkarırken hangi türün kullanıldığı da kaydedilmelidir — bazı uyumluluk denetimleri bu ayrımı sorar.
Kısaca
TPM, anahtarı üretir ve kullanır ama dışarı vermez; diski kopyalamak anahtarı ele geçirmeye yetmez.
Filo genelinde şifrelemeyi kullanıcıya parola sormadan mümkün kılan şey budur. Karşılığında tek bir operasyonel zorunluluk getirir: kurtarma anahtarını merkezî olarak saklamak. Saklanmadığında ilk ürün yazılımı güncellemesi veri kaybına dönüşür.