Recomendações do TPM

Este artigo fornece recomendações para a tecnologia TPM (Trusted Platform Module) para Windows.

Para obter uma descrição do recurso básico do TPM, consulte a Visão geral da tecnologia Trusted Platform Module.

Design e implementação do TPM

Tradicionalmente, os TPMs são chips discretos soldados à placa-mãe de um computador. Essas implementações permitem que o fabricante de equipamento original (OEM) do computador avalie e certifique o TPM separado do restante do sistema. Implementações discretas do TPM são comuns. No entanto, eles podem ser problemáticos para dispositivos integrados que são pequenos ou têm baixo consumo de energia. Algumas implementações de TPM mais recentes integram a funcionalidade TPM no mesmo chipset que outros componentes da plataforma, embora ainda forneçam separação lógica semelhante a chips TPM discretos.

Os TPMs são passivos: eles recebem comandos e retornam respostas. Para obter todos os benefícios de um TPM, o OEM deve integrar cuidadosamente o hardware e o firmware do sistema ao TPM para enviar comandos a ele e reagir às suas respostas. Os TPMs foram originalmente projetados para fornecer benefícios de segurança e privacidade ao proprietário e aos usuários de uma plataforma, mas as versões mais recentes podem fornecer benefícios de segurança e privacidade para o próprio hardware do sistema. Antes de ser usado para cenários avançados, entretanto, um TPM deve ser provisionado. O Windows provisiona automaticamente um TPM, mas se o usuário estiver planejando reinstalar o sistema operacional, talvez seja necessário limpar o TPM antes de reinstalar para que o Windows possa tirar o máximo proveito do TPM.

O TCG (Trusted Computing Group) é uma organização sem fins lucrativos que publica e mantém a especificação TPM. O TCG existe para desenvolver, definir e promover padrões globais da indústria neutros em relação ao fornecedor. Esses padrões dão suporte a uma raiz de confiança baseada em hardware para plataformas de computação confiáveis interoperáveis. O TCG também publica a especificação TPM, como o padrão internacional ISO/IEC 11889, usando o processo de envio de especificação publicamente disponível que o Joint Technical Committee 1 define entre a ISO (Organização Internacional de Normalização) e o IEC (International Electrotechnical Commission).

Os OEMs implementam o TPM como um componente em uma plataforma de computação confiável, como um computador, tablet ou telefone. Plataformas de computação confiáveis usam o TPM para dar suporte a cenários de privacidade e segurança que o software sozinho não pode alcançar. Por exemplo, um software sozinho não pode relatar de forma confiável se há malware durante o processo de inicialização do sistema. A integração próxima entre o TPM e a plataforma aumenta a transparência do processo de inicialização e dá suporte à avaliação da integridade do dispositivo habilitando a medição e o relatório do software que inicia o dispositivo confiável. A implementação de um TPM como parte de uma plataforma de computação confiável fornece uma raiz de hardware de confiança, ou seja, ele se comporta de maneira confiável. Por exemplo, se uma chave armazenada em um TPM tiver propriedades que não permitem exportar a chave, essa chave realmente não poderá sair do TPM.

O TCG projetou o TPM como uma solução de segurança de mercado de massa de baixo custo que atende aos requisitos de diferentes segmentos de clientes. Existem variações nas propriedades de segurança de diferentes implementações de TPM, assim como existem variações em requisitos regulatórios e de clientes e para diferentes setores. Em compras do setor público, por exemplo, alguns governos definem claramente os requisitos de segurança para TPMs, enquanto outros não.

Comparação do TPM 1.2 x 2.0

De um padrão do setor, a Microsoft tem sido líder do setor em movimentação e padronização no TPM 2.0, que tem muitos benefícios importantes realizados em algoritmos, criptografia, hierarquia, chaves raiz, autorização e NV RAM.

Por que o TPM 2.0?

Produtos e sistemas TPM 2.0 têm vantagens de segurança importantes em relação ao TPM 1.2, inclusive:

• A especificação do TPM 1.2 só possibilita o uso de RSA e do algoritmo de hash SHA-1.
• Por motivos de segurança, algumas entidades estão se afastando de SHA-1. Notavelmente, o NIST exige que muitas agências federais mudem para o SHA-256 a partir de 2014, e os líderes de tecnologia, incluindo a Microsoft e o Google, removeram o suporte para assinatura ou certificados baseados em SHA-1 em 2017.
• O TPM 2.0 permite mais agilidade criptográfica por ser mais flexível em relação a algoritmos criptográficos.
  • O TPM 2.0 dá suporte a algoritmos mais novos, que podem melhorar o desempenho de assinatura e a geração de chave. Para obter a lista completa de algoritmos compatíveis, consulte o Registro de algoritmo TCG. Alguns TPMs não dão suporte a todos os algoritmos.
  • Para obter a lista de algoritmos compatíveis com o Windows no provedor de armazenamento criptográfico da plataforma, consulte Provedores de algoritmos de criptografia CNG.
  • O TPM 2.0 obteve a padronização ISO (11889:2015 ISO/IEC).
  • O uso do TPM 2.0 pode ajudar a eliminar a necessidade de OEMs abrir uma exceção a configurações padrão para determinados países e regiões.
• O TPM 2.0 oferece uma experiência mais consistente em implementações diferentes.
  • As implementações do TPM 1.2 têm configurações de política variadas. Isso pode resultar em problemas de suporte porque as políticas de bloqueio variam.
  • A política de bloqueio do TPM 2.0 é configurada pelo Windows, garantindo uma proteção contra ataques de dicionário consistente.
• Enquanto as peças do TPM 1.2 são componentes discretos de silício, que normalmente são soldados na placa-mãe, o TPM 2.0 está disponível como um componente de silício discreto (dTPM) em um único pacote de semicondutores, um componente integrado incorporado em um ou mais pacotes de semicondutores - juntamente com outras unidades lógicas no(s) mesmo(s) pacote(s) e como um componente baseado em firmware (fTPM) em execução em um ambiente de execução confiável (TEE) em um SoC de uso geral.

TPM discreto, integrado ou firmware?

Há três opções de implementação para TPMs:

• Chip TPM discreto como um componente separado em seu próprio pacote de semicondutores.
• Solução TPM integrada, usando hardware dedicado integrado em um ou mais pacotes de semicondutores ao lado, mas logicamente separado de outros componentes.
• Solução TPM de firmware, executando o TPM no firmware em um modo de execução confiável de uma unidade de computação de uso geral.

O Windows usa qualquer TPM compatível da mesma forma. A Microsoft não toma uma posição sobre de que maneira um TPM deve ser implementado e há um amplo ecossistema de soluções TPM disponíveis, que devem atender a todas as necessidades.

Existe alguma importância do TPM para os consumidores?

Para os consumidores finais, o TPM está nos bastidores, mas ainda é relevante. O TPM é usado para o Windows Hello, o Windows Hello para Empresas e, no futuro, será um componente de vários outros recursos de segurança importantes no Windows. O TPM protege o PIN, ajuda a criptografar senhas e se baseia em nossa história geral de experiência do Windows para a segurança como um pilar crítico. O uso do Windows em um sistema com um TPM permite um nível mais amplo e profundo de cobertura de segurança.

Conformidade do TPM 2.0 para Windows

Windows para edições desktop (Home, Pro, Enterprise e Education)

• Desde 28 de julho de 2016, todos os novos modelos, linhas ou séries de dispositivos (ou se você estiver atualizando a configuração de hardware de um modelo, linha ou série existente com uma atualização importante, como CPU, placas gráficas) devem implementar e habilitar por padrão o TPM 2.0 (detalhes na seção 3.7 da página Requisitos mínimos de hardware ). O requisito para habilitar o TPM 2.0 aplica-se somente à fabricação de novos dispositivos. Para obter recomendações do TPM sobre recursos específicos do Windows, consulte TPM e recursos do Windows.

IoT Core

• O TPM é opcional no IoT Core.

Windows Server 2016

• O TPM é opcional para SKUs do Windows Server, a menos que o SKU atenda aos outros critérios de qualificação (AQ) para o cenário dos Serviços Guardião de Host, caso em que o TPM 2.0 é necessário.

TPM e recursos do Windows

A tabela a seguir define quais recursos do Windows exigem suporte a TPM.

Status de OEM em disponibilidade do sistema TPM 2.0 e peças certificadas

Os clientes públicos e corporativos em setores regulamentados podem ter padrões de aquisição que exijam o uso de peças TPM certificadas em comum. Com isso, os OEMs, que fornecem os dispositivos, talvez precisem usar apenas componentes TPM certificados nos sistemas de classe comercial. Para obter mais informações, entre em contato com o OEM ou o fornecedor de hardware.