Me gustaría usar un TPM para proporcionar evidencia de manipulación indebida a mi estación de trabajo, utilizando SRTM (Raíz de confianza estática para la medición). Actualmente, planeo que el TPM selle un valor único que solo yo conozco, similar a Qubes Implementación 'Anti-Evil Maid . El TPM verifica el BIOS, ROMs opcionales , la configuración del sistema y el cargador de arranque. Un cargador de arranque confiable (como TrustedGRUB2 ) verificará el kernel y usará tboot (que utiliza el módulo de hardware ACM) para arrancar el kernel. En este punto, el sistema se considera seguro (por ejemplo, el kernel utiliza IMA para verificar la zona de usuario o la el disco se encripta utilizando un modo de encriptación no maleable).
Este es mi entendimiento (donde puedo confundir los roles del CRTM con el ACM):
-
El CRTM, en firmware sano, no se puede modificar ya que la CPU lo verifica.
-
El CRTM es responsable de verificar la BIOS (o al menos proporcionarla al TPM).
-
Si se modifica el BIOS, esto será evidente ya que el CRTM todavía se lo dará al TPM.
-
Esto es similar a BootGuard , excepto que proporciona manipulación indebida evidencia , no manipulación, resistencia .
Mi modelo de amenaza:
-
Mi adversario es capaz de modificar cualquier almacenamiento de escritura en el sistema.
-
No pueden modificar el hardware en sí (por ejemplo, agregar JTAG o un MITM en el bus LPC).
-
No conocen el secreto que ha sellado el TPM y no pueden falsificarlo.
-
No son capaces de explotar el sistema en ejecución después de que se haya verificado.
-
Quieren supervisar mi entrada al sistema después de haber verificado el secreto sellado.
Esto significa que necesito asegurarme de que se puedan detectar las modificaciones al BIOS (¿el ACM / CRTM proporcionará esa garantía?), y que se detectarán otras modificaciones al firmware, como las ROM de opción. Mi comprensión de ACM y CRTM es bastante limitada. Sin embargo, entiendo los conceptos básicos de cómo funciona el TPM (en lo que respecta a los registros de PCR y sus limitaciones).
Los errores con respecto a mi propia OPSEC, las puertas traseras de hardware, los ataques después de que se completó el arranque medido o la modificación / reemplazo de los componentes físicos del hardware están fuera de alcance.
¿Es esta solución suficiente para detectar la modificación del firmware?