TPM: ¿clave de firma o clave de identidad de certificación?

Question

TPM: ¿clave de firma o clave de identidad de certificación?

#1 de Justin King-Lacroix (6 votos)

6

Estoy tratando con el TPM ahora mismo y no entiendo por qué es necesaria una clave de firma adicional. En lugar de eso, ¿uno podría usar una de las claves de identidad de certificación (AIK) para firmar también? Usar diferentes claves será una buena práctica, pero me gustaría obtener una vista más detallada sobre ese tema.

Descubrí que una de las ventajas es que la clave de firma puede ser migrable. Por lo tanto, cambiar la plataforma / tpm no necesariamente terminará en la revocación de los certificados creados.

¿Existen otras razones para una clave de firma separada?

tpm trusted-computing remote-attestation

pregunta onb 07.03.2015 - 13:44

fuente

1 respuesta

Lea otras preguntas en las etiquetas tpm trusted-computing remote-attestation

¿Cuándo debo firmar una clave PGP con una firma no revocable? ¿Cómo puedo determinar el controlador de dominio cuando no está en DNS?

score 6 · Accepted Answer

Los AIK solo pueden realizar dos operaciones basadas en firmas:

TPM_Quote , que genera una declaración firmada del estado de los PCR utilizando un AIK; esta es la operación utilizada en certificación remota .
TPM_CertifyKey , que genera una declaración firmada de que otra clave ( no el AIK) se encuentra en la jerarquía de almacenamiento del TPM y no se puede migrar. (Obviamente, la clave así certificada debe tener estas propiedades).

En particular, los AIK no se pueden usar en TPM_Sign , lo que significa que es imposible firmar datos arbitrarios. De lo contrario, sería posible generar una cotización falsa y se rompería la certificación remota.

(A la inversa, TPM_Quote debe usar un AIK; no puede usar una clave de firma).

TL; DR: si necesita una clave para firmar datos arbitrarios, use una clave de firma. Si está realizando una certificación remota, utilice un AIK.