¿Almacenamiento de configuración y contraseña de BIOS a prueba de manipulaciones con Trusted Platform Module?

El concepto TCG Trusted Computing divide el BIOS en dos partes. Se supone que el BIOS inicial es seguro e inicializará el TPM. Este llamado CRTM medirá los componentes restantes del BIOS y registrará sus valores en el TPM. De la especificación parece que los datos de CMOS son parte de esa medición y se almacenan en PCR1. Pero como una contraseña de BIOS cambiada u otra configuración invalidaría cosas como Bitlocker, no creo que este registro se use realmente. O las implementaciones en realidad no miden este espacio de configuración. Mejor probarlo y ver qué pasa. Si se mide, puede usar un sistema como Bitlocker (o linux initrd plus shellscript) para proteger los datos de su sistema operativo contra un BIOS manipulado.

Sin embargo, tenga en cuenta que la especificación TCG excluye explícitamente los ataques de hardware. Además, el TPM siempre depende de la BIOS para programar y proteger correctamente SMM y TXT, por lo que siempre debe verificar las mediciones de BIOS.

Tenga en cuenta también que el cifrado completo del disco y la protección de contraseñas contra ataques de fuerza bruta son los únicos casos prácticos de uso de un TPM en la actualidad. Por lo general, todo lo demás es poco práctico debido al enorme espacio de configuración del sistema operativo (infinitas mediciones válidas ...) o no es tan seguro como podría pensarse (SVM / TXT / VT, aunque aún presentan un avance sobre el estado del sistema). art).

--- esto es un comentario, no una respuesta ---

enlace

  

Código BIOS   El TCPA especifica la medición de la integridad del código BIOS al inicio del sistema. Para lograr dicha medición de integridad y reportes, el BIOS del sistema debe ser mejorado con funciones de medición de integridad.

     

Dependiendo de la arquitectura del BIOS existente, dichas mejoras pueden ser una tarea compleja.

     

Es posible que los proveedores de plataformas deseen proporcionar varias funciones de seguridad previas al arranque mediante el TPM. El código necesario para proporcionar dichas funciones se implementa directamente dentro del BIOS del sistema o se proporciona como una ROM opcional.

     

Ya sea que se proporcione o no alguna funcionalidad previa al arranque en la plataforma, se deben hacer cambios mínimos en el código del BIOS para garantizar que el TPM se defina como un dispositivo de placa base dentro de las tablas de descriptores ACPI. Esto permite al sistema operativo identificar el dispositivo, asignarle recursos y cargar los controladores de dispositivo necesarios.

...

  

Implementación de TPM en equipos portátiles

     

Requisitos mecánicos

     

El TPM debe estar conectado permanentemente a la placa base soldándolo hacia abajo. Esto refuerza el hecho de que el TPM proporciona un enlace 1: 1 entre sí y la plataforma a la que está conectado. Debido a este requisito, es una buena idea tener en cuenta los bienes inmuebles necesarios para el TPM en una etapa temprana del proceso de diseño y diseño de la placa base. La TCPA también recomienda la provisión de un mecanismo de detección de manipulación que pueda proporcionar evidencia de manipulación. Un ejemplo de un mecanismo de detección de manipulación indebida es el uso de cinta de manipulación indebida

¿Revisarías la placa base de tu computadora portátil en busca de signos de daños en la cinta a prueba de manipulaciones todos los días?