Funkce verze TPM 1.2 vs. 2.0

Verze TPM 1.2 ve srovnání s protokolemTPM 2.0 – kryptografická podpora

Následující tabulka šifrovacích algoritmů poskytuje souhrn. Komplexnější seznam algoritmů TPM najdete v registru algoritmů TCG. Seznam povinných algoritmů pro modul TPM 2.0 v osobním počítači je definován v nejnovějším profilu TPM klientské platformy počítače.

Tabulka 1: TPM 1.2 vs. 2.0

Verze TPM 1.2 v porovnání s tpm 2.0 – rozdíly v chování

Modul TPM 1.2 podporuje jedno oprávnění „vlastník“, s klíčem RSA 2048b Endorsement Key (EK) pro přihlášení/atestaci a jedním klíčem RSA 2048b Storage Root Key (SRK) pro šifrování. To znamená, že vlastník nebo právnická osoba („vlastník“) má kontrolu nad funkcemi modulu TPM pro přihlášení/atestaci i šifrování. Obecně klíč SRK slouží jako nadřazený klíč veškerých klíčů vytvořených v nástroji TPM 1.2. Verze TPM 1.2 byla specifikována jako přihlašovací zařízení (další informace o významu možnosti "opt-in" u čipu TPM naleznete v článku skupina Trusted Computing Group Případ zapnutí modulů TRUSTED Platform Modules).

Modul TPM 2.0 má stejné funkce, které představuje modul EK k přihlášení/atestace a klíče SRK k šifrování jako v nástroji 1.2, ovládání je však ve verzi 2.0 rozděleno do dvou různých hierarchií, Endorsement Hierarchy (EH) a Storage Hierarchy (SH). Kromě hierarchií EH a SH obsahuje nástroj TPM 2.0 také funkce Platform Hierarchy (PH), která slouží k údržbě, a Null Hierarchy. Každá hierarchie využívá při autorizaci jedinečného vlastníka. Díky tomu nástroj TPM 2.0 podporuje čtyři autorizace, které by byly analogické jednomu "vlastníkovi" modulu TPM 1.2.

V nástroji TPM 2.0 je nová funkce Platform Hierarchy určená pro výrobce platforem. Hierarchie Storage and Endorsement a Null budou využívány aplikacemi operačního systému a přítomnými v operačním systému. Nástroj TPM 2.0 byl navržen tak, aby bylo vyhledávání a správa méně komplikované než v nástroji 1.2. Čip TPM 2.0 je vybaven možností podpory algoritmů RSA a ECC pro klíče Endorsement Keys a SDK.

Verze TPM 1.2 vs. 2.0 – podporované aplikace a funkce:

Tabulka 2: Verze TPM 1.2 vs. 2.0 – podporované aplikace a funkce

Jak se modul Discrete TPM 2.0 liší od firmwarového modulu TPM (fTPM)?

Modul TPM na bázi firmwaru (fTPM) je modul TPM, který funguje pomocí zdrojů a kontextu multifunkčního výpočetního zařízení (např. čipu SoC, procesoru nebo podobného výpočetního prostředí).

Dedikovaný čip TPM se implementuje jako samostatný čip s vlastní funkcí a obsahuje všechny potřebné výpočetní zdroje, které jsou součástí samostatného fyzického čipu. Samostatný modul TPM má plnou kontrolu nad vyhrazenými interními zdroji (například nestálou pamětí, permanentní pamětí a kryptografickou logikou) a jde o jedinou funkci, která k těmto zdrojům přistupuje a používá je.

Čip TPM na bázi firmwaru nemá vlastní vyhrazené úložiště. Při poskytování přístupu k úložišti v rámci platformy spoléhá na služby operačního systému a platformy. Jedním z důsledků toho, že nemá vyhrazené úložiště, je přítomnost certifikátu Endorsement Key (EK). Samostatná zařízení TPM může výrobce TPM dodat výrobci platformy s certifikátem EK nainstalovaným v úložišti TPM pro klíč TPM Endorsement Key. To není u firmwarového modulu TPM možné. Výrobci firmwaru TPM zpřídávají certifikáty koncovým uživatelům prostřednictvím procesů specifických pro výrobce. Aby majitelé platformy získali certifikát EK, musí se obrátit na dodavatele čipové sady/procesoru pro danou platformu.

Také je vyžadován samostatný čip TPM s certifikací TCG, který splňuje požadavky na soulad a zabezpečení, včetně upevnění čipu a jeho vnitřních zdrojů podobně jako čipové karty. Soulad s TCG ověřuje, zda čip TPM správně implementuje specifikace TCG. Zpřísňování vyžadované certifikací TCG umožňuje diskrétnímu čipu TPM s certifikací chránit se před složitějšími fyzickými útoky.

Matice podpory operačního systému:

Podpora dodavatele operačního systému

Tabulka 3: Podpora dodavatele operačního systému

• 64bitový systém Windows 7 s aktualizací SP nakonfigurovanou v režimu spouštění UEFI + CSM může podporovat modul TPM 2.0, podporovaný na některých platformách.
• Systém Windows 8 byl spuštěn s podporou čipu TPM 2.0, ale podporuje pouze funkci SHA-1.
• Vyžaduje systém Linux s verzí upstream jádra 4.4 nebo novější. Dodavatelé distribuce Linuxu se mohou rozhodnout zpětně podporovat starší jádra.
• Systém Red Hat® Enterprise Linux® 7.3 a novější mají základní podporu jádra. Systém RHEL 7.4 má technický náhled nástrojů uživatelského prostoru.
• Podporováno v systémech Ubuntu 16.04 a novějších.

Podpora operačního systému komerční platformy Dell

Tabulka 4: Podpora operačního systému komerční platformy Dell

• Společnost Dell podporuje nástroj TPM 2.0 se systémem Windows 8 a 8.1 na omezeném počtu tabletů a oddělitelných osobních počítačů, které podporují úsporný režim Microsoft Connected Standby.
• Podpora čipu TPM 2.0 je k dispozici na všech komerčních platformách na spring 2016 a výchozí tovární režim TPM v systému Windows 10 je TPM 2.0.
• Modul TPM 1.2 není společností Dell se systémem Linux oficiálně podporován s výjimkou vybraných platforem IoT.
• Vyžaduje systém Red Hat® Enterprise Linux® 7.3 nebo novější. Může být potřeba, aby uživatel ručně změnil režim TPM z verze 1.2 na 2.0.
• Společnost Dell spolupracuje se společností Canonical na podpoře modulu TPM 2.0 na klientských počítačích dodávaných s čipem TPM 2.0. To vyžaduje, aby byl spolu s počítačem dodán systém Ubuntu 16.04.

Doporučené články

Zde je několik doporučených článků týkajících se tohoto tématu, které by vás mohly zajímat.

• Počítače Dell, které lze upgradovat z verze TPM 1.2 na verzi 2.0
• Proces upgradu nebo downgradu modulu Trusted Platform Module (TPM) pro operační systém Windows 10
• Často kladené dotazy ohledně čipu TPM (Trusted Platform Module) pro systém Windows 11