Password BIOS e memoria delle impostazioni a prova di manomissione con Trusted Platform Module?

Il concetto TCG Trusted Computing riunisce il BIOS in due parti. Si presuppone che il BIOS iniziale sia sicuro e inizializzerà il TPM. Questo cosiddetto CRTM misurerà quindi i restanti componenti del BIOS e registrerà i loro valori nel TPM. Dalle specifiche risulta che i dati CMOS fanno parte di tale misurazione e vengono memorizzati su PCR1. Ma dal momento che una password BIOS modificata o altre impostazioni invalideranno cose come Bitlocker, non penso che questo registro sia effettivamente utilizzato. Oppure le implementazioni non misurano effettivamente questo spazio di configurazione. Meglio provarlo e vedere cosa succede. Se viene misurato, puoi usare un sistema come Bitlocker (o un linux initrd plus shellscript) per proteggere i tuoi dati del sistema operativo da un BIOS manipolato.

Si noti tuttavia che le specifiche TCG escludono esplicitamente gli attacchi hardware. Inoltre, il TPM dipende sempre dal BIOS per programmare e proteggere correttamente SMM e TXT, quindi è sempre necessario verificare le misurazioni del BIOS.

Si noti inoltre che la completa crittografia del disco e la protezione delle password contro gli attacchi a forza bruta sono gli unici casi di utilizzo pratico di un TPM oggi. Tutto il resto è generalmente poco pratico a causa dell'enorme spazio di configurazione del sistema operativo (misure valide infinite) o meno sicuro di quello che si potrebbe pensare (SVM / TXT / VT, anche se presentano ancora un avanzamento rispetto allo stato di arte).

--- questo è un commento, non una risposta ---

link

BIOS Code The TCPA specifies the measurement of integrity of BIOS code at system startup. In order to accomplish such integrity measurement and reporting, the system BIOS has to be enhanced with integrity measurement functions.

Depending on the existing BIOS architecture, such enhancements can be a complex task.

Platform vendors may wish to provide various pre-boot security functions using the TPM. The necessary code to provide such functions is either implemented directly within the system BIOS or provided as an option ROM.

Whether or not any pre-boot functionality is provided on the platform, minimum changes have to be made to the BIOS code to ensure that the TPM is defined as a motherboard device within the ACPI descriptor tables. This enables the Operating System to identify the device, allocate resources to it, and load necessary device drivers.

...

TPM implementation on Notebook PCs

Mechanical Requirements

The TPM has to be permanently attached to the motherboard by soldering it down. This reinforces the fact that the TPM provides a 1:1 binding between itself and the platform that it is attached to. Due to this requirement it is a good idea to factor in the real estate required for the TPM at an early stage in the motherboard design and layout process. The TCPA also recommends the provision of a tamper detection mechanism that can provide tamper evidence. An example of a tamper detection mechanism is the use of tamper tape

Controlleresti ogni giorno la scheda madre del tuo computer per rilevare eventuali danni al nastro a prova di manomissione?