Hay dos pautas a tener en cuenta para extender los PCR:
- Cada vez que se realiza una medición de plataforma, un hash de esa medición debería extender un PCR.
- La localidad y la raíz central de la confianza para la medición (CRTM) utilizadas, junto con las reglas de la plataforma, determinan qué PCR debe extenderse.
El rol del TPM como la raíz central de la confianza para la presentación de informes (CRTR) se reduce a poder firmar una cotización sobre un conjunto específico de PCR. La firma TPM solo puede cubrir las mediciones que se extienden a los PCR. Además, cualquier característica que bloquee el uso de claves para los valores de PCR solo puede verse afectada por las mediciones que amplían los PCR.
La PCR que se extienda puede ser algo complicada y puede que solo requiera tomar una decisión por su cuenta. El TCG tiene pautas para clientes de PC basadas en BIOS o EFI. Esas pautas especifican que los PCR 0-7 se usarán para las mediciones tomadas por el propio BIOS / EFI (o al menos en función del CRTM estático) antes de que se haya iniciado un sistema operativo. Los siguientes 8 PCR están básicamente reservados para el "sistema operativo seguro" que se ejecuta en el CRTM estático extendido. Dentro de ese grupo, la decisión sobre qué PCR se utilizan depende del sistema operativo. Windows y Linux utilizan un conjunto diferente de PCR para las mediciones. Dentro de Linux, GRUB y IMA pueden usar diferentes PCR.
Eche un vistazo a los PCR utilizados en su plataforma y vea cuáles se quedan sin usar, y hay una buena posibilidad de que pueda usar uno para sus propios fines. Las especificaciones de TPM sí reservan algunos PCR para uso o pruebas especiales. Es posible que desee evitar estos para uso de producción, pero puede usarlos para desarrollo. (Un PCR que puede ser reiniciado por el usuario sin requerir un reinicio no es excelente para la seguridad, pero es una característica realmente útil cuando se desarrolla su caso de uso).
Usted tiene razón en que se debe registrar cualquier cosa que extienda un PCR, aunque hay situaciones en las que esto posiblemente no sea necesario. Si simplemente está bloqueando algo a un valor de PCR dado, es posible que no le importe cómo se logró ese valor, solo que era . Al realizar la certificación remota, la evaluación de la firma que cubre las mediciones requiere poder replicar los valores de los PCR de las mediciones, lo que a su vez requiere tener un registro de mediciones que mantenga el orden.