TPM – Einrichten und sinnvoll nutzen am Beispiel Windows 7

Die meisten von euch werden mit TPM erstmal wenig anfangen können. Dabei habt ihr alle sicherlich ein Gerät das über TPM verfügt. Doch der Reihe nach: TPM steht für [b]Trusted Platform Module[/b]. Ein TPM stellt einen abgesicherten Speicherbereich für kryptographische Schlüssel zur Verfügung, sammelt bestimmte Daten über den Zustand des Computers und unterstützt das Betriebssystem beim Zugriff auf kryptographische Funktionen wie etwa das Verschlüsseln einer Festplatte.

In einem TPM wird das asymmetrische Verschlüsselungsverfahren RSA genutzt. RSA nutzt ein einzigartiges Schlüsselpaar, dass aus 2 Schlüsseln, dem öffentlichen Verschlüsselungschlüssel (Public Key) und dem geheimen Entschlüsselungsschlüssel (Private Key) besteht. TPM nutzt eine RSA Schlüssellänge von 2048 bit. Da RSA sehr rechenintensiv ist, enthalten TPM Module eine Hardwareeinheit um das Ver- bzw. Entschlüsseln zu beschleunigen.

Dieses Schlüsselpaar (auch Endorsement Key genannt) ist durch den Hersteller des TPM signiert und garantiert so die Einzigartigkeit und Echtheit des TPMs. Im Grunde funktioniert ein TPM wie eine Smartcard nur mit dem Unterschied, das eine Smartcard benutzergebunden ist und ein TPM maschinengebunden.

Ein TPM schützt den Computer vor ungewollter Manipulation und erhöht die Sicherheit beim Zugriff auf verschlüsselte Daten. Zusammen mit dem Betriebssystem, welches den Einsatz eines TPM Modules unterstützen muss (z.B. Windows Vista, Windows 7, Windows 8/8.1, MacOS X, Android, Linux, uvm.) bildet das TPM dann eine so genannte [b]Trusted Computing Plattform[/b], kurz: TC-Plattform.

Der Controller des TPM ruft sein Programm meist aus einen ROM-Baustein ab, der nicht änderbar ist. Daher ist TPM sicher gegen Manipulationen, auch verarbeitet das TPM nur Befehle die vorher korrekt authentifiziert wurden.

[title]Nachteil einer TC-Plattform mit TPM[/title] Allerdings gibt es auch einen großen Nachteil an einer TC-Plattform: Den Datenschutz. Eine Musikdatei könnte mit Hilfe des einzigartigen kryptographischen Schlüssels z.B. auf die Benutzung auf nur diesem PC limitiert werden. Eine Verteilung dieser Datei könnte immer zu ihrem Ursprung zurückverfolgt werden da ein System durch TPM einzigartig identifizierbar ist.

Zwar bietet die TPM Spezifikation Unterstützung für das Direct Anonymous Attestation Protokoll welches aber meist keine Anwendung findet weil die Rechteinhaber schlichtweg nicht daran interessiert sind sondern sich lieber den gläsernden Kunden schaffen wollen. Das durch TPM verstärkte DRM (Digital Right Management) kann den normalen Endanwender stark einschränken.

Neuere Autos verfügen auch über TPM-Module und schützen so z.B. die Navigationssoftware vor Produktpiraterie. Dazu liegen wichtige Teile der Software nur verschlüsselt vor und können ohne das TPM nicht entschlüsselt und damit benutzt werden. Dieses Prinzip kann auch auf normale Computersoftware angewendet werden. Das größte Problem in einer TC-Plattform ist, dass viele Sicherheitsentscheidungen nicht mehr bei dem Benutzer liegen sondern das System selbst entscheidet.

[title]TPM sinnvoll einsetzen[/title] Wir wollen uns hier nun aber mit den Vorteilen einer TC-Plattform beschäftigen, allen voran das sichere Verschlüsseln von persönlichen Daten. Hier steht man dann aber schnell vor einem ganz neuen Problem: Eine (möglichst kostenlose) Software finden, die für die Verwendung in einer TC-Plattform geeignet ist. Windows 7 (nur Ultimate und Enterprise) sowie Windows 8/8.1 (nur Pro) stellen dazu die integrierte Software BitLocker zur Verfügung.

Die aktuell verbreitetste Verschlüsselungssoftware TrueCrypt unterstützt TPM übrigens nicht. Generell hat sich TPM bei Privatanwendern bisher so gut wie nicht durchgesetzt, in Firmen werden TC-Plattformen aber immer beliebter, Haupteinsatzgebiet sind aber nach wie vor Embedded-Systeme, also Systeme bei denen Soft- und Hardware eine Einheit bilden, z.B. Geldautomaten oder Steuerungsgeräte in Autos, Bahnen oder Flugzeugen.

Durch das geringe öffentliche Interesse sind die Mainboard-Hersteller zudem dazu übergegangen in Mainboards für den Privatanwender kaum noch TPM-Module zu verbauen. Allerdings verfügen heute praktisch alle Mainboards über einen TPM Header, in dem ein kompatibles TPM-Modul eingesteckt werden kann. TPM Module kosten maximal 10 Euro und sind ungefähr so groß wie eine 1-Euro Münze.

Nach dem Einbau des TPM-Moduls erscheint im Bios ein zuvor unsichtbarer Menüpunkt: Trusted Computing. Hier kann das TPM-Modul aktiviert werden. In Notebooks oder OEM-Computern sind allerdings häufig TPM-Module installiert. Diese müssen dann aus Datenschutzgründen im Bios aktiviert werden. Ausnahme bilden Apple-Computer, Tablets und Smartphones bei denen TPM standardmäßig aktiviert ist (und sich auch nicht deaktivieren lässt).

[title]TPM unter Windows 7[/title] Um TPM unter Windows 7 nutzen zu können, muss das TPM Modul im Bios aktiviert sein und in Windows initialisiert werden. Das geht über die Windows-eigene TPM Verwaltung. Um in die Windows TPM Verwaltung zu gelangen, genügt es die Windows-Taste + R (Ausführen) zu drücken und dort [code]tpm.msc[/code] einzugeben. [bild 12] [bild 4]

Oben rechts befindet sich die Option [b]TPM initialisieren[/b].

[bild 5]

Nach einem Neustart des Computers wird man aufgefordert ein Passwort für das TPM festzulegen. Dies kann ein manuelles oder auch ein automatisch generiertes Passwort sein.

[bild 6]

Möchte man ein manuelles Passwort erstellen, so muss dieses aus mindestens 8 Zeichen bestehen.

[bild 7]

Die Inititalisierung dauert zwischen 30 und 60 Sekunden. Danach kann das TPM von jeder Software benutzt werden, z.B. von BitLocker.

[bild 8]

Ob TPM wirklich korrekt initialisiert wurde kann man auch im Windows Gerätemanager überprüfen.

[bild 10] [title]Fazit[/title] Ein TPM-Modul kann die Sicherheit eines Systems deutlich erhöhen, da es Immun gegen eine Key-Manipulation ist bzw. gefälschte Schlüssel erkennen kann. Ein (bitterer) Beigeschmack ist allerdings die Möglichkeit das System genau zu identifizieren. Das mag einige stören und einige nicht. Solange man das TPM-Modul manuell deaktivieren kann ist dies meiner Meinung nach nicht wirklich ein Problem.

Die ideale Einsatzumgebung für TPM sind nach wie vor Embedded-Systeme, hier kann ein TPM garantieren, dass das System genau das macht wofür es vorgesehen ist. Ob für Privatpersonen TPM sinnvoll sein kann, muss jeder selbst entscheiden – wer häufig mit Software wie BitLocker arbeitet um seine Festplatten zu verschlüsseln, sollte einmal über den Einsatz von TPM nachdenken.

Strom verbraucht ein TPM-Modul durch den integrierten Controller natürlich auch, wenn auch relativ wenig. 0,4W betrug der Mehrverbrauch bei meinem ASRock TPM-Modul.