BitLocker-diskkryptering kræver normalt en TPM på Windows. Microsofts EFS encryption kan aldrig bruge en TPM. Den nye “Enhedskryptering” -funktion på Windows 10 og 8.1 kræver også et moderne TPM, hvorfor det kun er aktiveret på ny hardware. Men hvad er en TPM?
TPM står for "Trusted Platform Module". Det er en chip på din computers bundkort, der hjælper med at muliggøre manipulationsresistent fulddisk-kryptering uden at kræve ekstremt lange adgangssætninger.
Hvad er det, nøjagtigt?
RELATEREDE: Sådan opsættes BitLocker-kryptering på Windows
TPM er en chip, der er en del af computerens bundkort - hvis du har købt en hyldecomputer, loddes den på bundkortet. Hvis du har bygget din egen computer, kan du køb en som et tilføjelsesmodul hvis dit bundkort understøtter det. TPM genererer krypteringsnøgler og holder en del af nøglen for sig selv. Så hvis du bruger BitLocker-kryptering eller enhedskryptering på en computer med TPM, er en del af nøglen gemt i selve TPM snarere end bare på disken. Dette betyder, at en hacker ikke bare kan fjerne drevet fra computeren og forsøge at få adgang til dets filer andre steder.
Denne chip giver hardwarebaseret godkendelse og manipulation af registrering, så en angriber kan ikke forsøge at fjerne chippen og placere den på et andet bundkort eller manipulere med bundkortet selv for at forsøge at omgå krypteringen - i det mindste i teorien.
Kryptering, kryptering, kryptering
For de fleste vil kryptering være den mest relevante brugssag her. Moderne versioner af Windows bruger TPM gennemsigtigt. Log ind med en Microsoft-konto på en moderne pc, der sendes med "enhedskryptering" aktiveret, og den bruger kryptering. Aktivér BitLocker-diskkryptering, og Windows bruger en TPM til at gemme krypteringsnøglen.
Du får normalt bare adgang til et krypteret drev ved at skrive din Windows-adgangskode, men den er beskyttet med en længere krypteringsnøgle end den. Denne krypteringsnøgle er delvist gemt i TPM, så du har faktisk brug for din Windows-adgangskode og den samme computer, som drevet er fra for at få adgang. Derfor er "gendannelsesnøglen" til BitLocker ret længere - du har brug for den længere gendannelsesnøgle for at få adgang til dine data, hvis du flytter drevet til en anden computer.
Dette er en af grundene til, at den ældre Windows EFS-krypteringsteknologi ikke er så god. Det har ingen måde at gemme krypteringsnøgler i en TPM. Det betyder, at det er nødt til at gemme sine krypteringsnøgler på harddisken og gør det meget mindre sikkert. BitLocker kan fungere på drev uden TPM'er, men Microsoft gik ud af sin måde at skjule denne mulighed for at understrege, hvor vigtigt en TPM er for sikkerheden.
Hvorfor TrueCrypt undgik TPM'er
RELATEREDE: 3 alternativer til den nu nedlagte TrueCrypt til dine krypteringsbehov
Selvfølgelig er en TPM ikke den eneste anvendelige mulighed for diskkryptering. TrueCrypt's ofte stillede spørgsmål - nu fjernet - plejede at understrege, hvorfor TrueCrypt ikke brugte og aldrig ville bruge en TPM. Det smækkede TPM-baserede løsninger som en falsk følelse af sikkerhed. Selvfølgelig siger TrueCrypt's websted nu, at TrueCrypt i sig selv er sårbart og anbefaler, at du bruger BitLocker - som bruger TPM'er - i stedet. Så det er lidt af et forvirrende rod i TrueCrypt-land .
Dette argument er dog stadig tilgængeligt på VeraCrypt's websted. VeraCrypt er en aktiv fork af TrueCrypt. VeraCrypt's ofte stillede spørgsmål insisterer på, at BitLocker og andre værktøjer, der er afhængige af TPM, bruger det til at forhindre angreb, der kræver, at en hacker har administratoradgang eller har fysisk adgang til en computer. "Det eneste, som TPM næsten er garanteret, er en falsk følelse af sikkerhed," siger FAQ. Det siger, at en TPM i bedste fald er "overflødig".
Der er lidt sandhed i dette. Ingen sikkerhed er fuldstændig absolut. En TPM er uden tvivl mere en bekvemmelighed. Hvis du lagrer krypteringsnøglerne i hardware, kan en computer automatisk dekryptere drevet eller dekryptere det med en simpel adgangskode. Det er mere sikkert end blot at gemme den nøgle på disken, da en angriber ikke bare kan fjerne disken og indsætte den i en anden computer. Det er bundet til den specifikke hardware.
I sidste ende er en TPM ikke noget, du skal tænke meget på. Din computer har enten en TPM, eller den har den ikke - og det vil moderne computere generelt gøre. Krypteringsværktøjer som Microsofts BitLocker og "enhedskryptering" bruger automatisk en TPM til transparent kryptering af dine filer. Det er bedre end slet ikke at bruge nogen kryptering, og det er bedre end blot at gemme krypteringsnøglerne på disken, som Microsofts EFS (Encrypting File System) gør.
For så vidt angår TPM vs. ikke-TPM-baserede løsninger eller BitLocker vs. TrueCrypt og lignende løsninger - ja, det er et kompliceret emne, som vi ikke rigtig er kvalificerede til at behandle her.
Billedkredit: Paolo Attivissimo på Flickr
