用于Windows的TPM 2.0加密芯片

TPM的細節

TPM芯片包含CPU、RAM和閃存，幾乎是一個完整的電腦。下面，我們將為大家介紹該芯片的構造和TPM芯片如何確保Windows啟動的安全。

芯片架構分解

TPM芯片有一個CPU和一個易失性存儲器（RAM）和非易失性存儲器（閃存）。閃存中保存種子等，種子是用于輸入到加密算法中的大隨機數，它們在運算單元進行處理，嚴格區分為對稱、不對稱和散列，生成器產生大量的隨機數，這是安全加密方法的基礎。執行單元則負責測試密鑰及芯片的初始化。

TPM檢測下啟動

Windows

在Windows啟動的過程中，TPM芯片將檢測存儲器中存儲的校驗值和各個組件的校驗值是否相符，只有在兩者相匹配的情況下，UEFI才會繼續執行啟動進程。當電腦開機時，首先檢查的是UEFI固件和Windows的引導程序，如果兩者皆完好無損，則加載Windows內核模塊，并檢查預先啟動反惡意程序軟件的簽名，如果簽名正確，TMP的檢測步驟則結束，預先啟動反惡意程序軟件將接管檢測任務，檢查所有來自第三方的驅動程序是否包含病毒，檢測通過后Windows服務將開始啟動。

Windows管理控制臺TPM管理單元中顯示TPM芯片的狀態和版本。

TPM芯片生成可以用于Windows BitLocker硬盤加密功能的密鑰。

已經有很長一段時間沒人關注TPM了，這個稱為可信平臺模塊（Trusted Platform Modules）的小芯片多年來已經被安裝到許多電腦、游戲機、智能手機、平板電腦和機頂盒上，目前，大約有10億臺設備配備了TPM芯片，其中大約有6億臺設備是桌面電腦，它們大部分被用于工作場所。自2001年以來，“陰謀論者”認為TPM芯片會被用作監管工具，將削弱用戶的權利。從理論上講，TPM芯片確實可以被用于限制非法復制電影和音樂，然而在過去的12年間，該芯片暫時沒有被用于實現類似的功能，它們更多的是被用于確保Windows的啟動安全以及實現BitLocker硬盤加密功能。必須承認，使用TPM可以在防范惡意軟件和數據被盜上起到一定的作用，雖然其加密的主密鑰有可能掌握在美國國家安全局的手上。

近日，即將推出的TPM 2.0版本規范再次引起了不小的轟動，因為在新的規范中TPM芯片將在出廠時被激活，而目前的TPM芯片則是在用戶需要時才自己激活的。此外，更令人擔心的是用戶可能無法拒絕使用TPM芯片，因為新規范中沒有強制規定必須有一個“開關”。而且，用戶有可能很難買到沒有安裝TPM 2.0芯片的設備，因為微軟已經修改了Windows的認證標準，從2015年起TPM 2.0將會是Windows認證標準的強制性要求，不安裝TPM芯片的硬件廠商將無法獲得Windows的認證標簽。

TPM芯片提高了Windows的安全性

Windows的安全沒有保障，黑客與惡意程序在入侵系統之后，可以徹底地摧毀系統的安全措施。要確保系統的安全，最佳的方式是利用主板上的硬件芯片，例如TPM，因為黑客完全沒有機會接觸到它。TPM實際上有點類似于電腦上的一臺小電腦，它有自己的CPU、內存、存儲器和輸入輸出接口。TPM的核心功能之一就是為操作系統提供安全保障服務，例如TPM可以用于存儲加密硬盤驅動器的加密密鑰。此外，它也可以用于驗證外部設備和平臺的完整性，確定設備是否被硬件黑客篡改。

在實際應用中，TPM可以結合UEFI的安全啟動功能，確保操作系統能夠在絕對安全的情況下啟動。利用TPM芯片驗證各組件完整性的功能，通過微軟所謂的“Measured Boot”機制，檢測并加載系統內核，然后在加載任何第三方軟件供應商的程序之前，檢驗并加載經過微軟簽名驗證的預先啟動的反惡意程序軟件（Early Launch Anti Malware，簡稱ELAM），如果檢驗ELAM的簽名失敗，那么UEFI將停止啟動的進程，如果ELAM的簽名成功通過驗證，那么它將負責驗證其他的驅動程序。通過這種機制，早期肆虐Windows操作系統的Rootkit惡意程序將不能再作惡。

目前TPM 1.2規范使用的技術已經過時，內置的硬件加密安全算法是RSA-2048和SHA-1，后者已經被認為是不安全的。而TPM 2.0將不再使用這些落后的算法，除了可以靈活地使用SHA-2、HMAC、ECC和AES等各種對稱和非對稱加密方法之外，TPM 2.0還可以通過更新支持其他新的加密算法。因此，TPM芯片也可以在中國和俄羅斯這些需要使用其他特定算法的地區使用。此外，TPM 2.0版本對于密鑰的處理方式也與此前不同，除了兩個固定的加密密鑰用于各種基礎服務之外，TPM 2.0還可以通過被稱為種子的大量隨機數值，通過數學函數生成新的密鑰，因而TPM 2.0還能夠生成供一次性使用的密鑰。

TPM 2.0的爭議

TPM 2.0標準的主要爭議是，在新的規范中TPM芯片將在出廠時被激活，不再是用戶需要時才自己激活。TPM的支持者認為，安全機制應該自動打開為好，例如操作系統的防火墻和防病毒軟件也應該默認自動啟動。而另一個受到廣泛關注的問題是，TPM芯片是否應該有一個開關，也就是用戶是否能夠禁用TPM。按照目前已知的信息，是否能夠通過BIOS或者UEFI控制TPM芯片，主要取決于硬件制造商。當前的TPM 2.0技術規范僅僅只是一個聲明，而提供激活開關是明確被允許的。芯片廠商英飛凌認為激活開關的問題仍然存在變數，但是否將在UEFI提供TPM芯片的激活選項，決定權掌握在電腦制造商手上。對于制造商來說，只要有足夠大的市場需求，毫無疑問將有大量用戶可以自己決定激活或停止使用TPM芯片的電腦出現。