Was ist Trusted Platform Module (TPM)?
Um die Sicherheit im industriellen IoT, wie bspw. im Bereich des Edge Computings zu erhöhen, wird vermehrt auf eine Geräteauthentifizierung über das Trusted Platform Modul gesetzt. TPM ist die Abkürzung von Trusted Platform Module und beschreibt einen Chip, der die Sicherheit eines Computers verbessert und verschiedene Windows-Technologien wie BiTLocker (Festplattenverschlüsselung) oder Windows Hello (Anmeldung mit Fingerabdruck, Gesicht oder PIN) unterstützt. Der kleine Chip ist auf dem Mainboard verbaut und soll insbesondere die Manipulation, sowie Cyber-Angriffe bspw. durch Viren und Trojaner des Rechners verhindern. Im Allgemeinen erzeugen TPMs kryptografische Schlüssel, legen diese sicher ab und nutzen sie, um das Betriebssystem sicher zu starten.
Funktionsweisen
Das Trusted Platform Module hat die zentralen Aufgaben, eine vertrauenswürdige Umgebung zu schaffen und einen sicheren Umgang mit Daten zu ermöglichen. Dazu bietet es zum einen die Möglichkeit die Identität und Integrität des Industrie Computers (IPC) zu sichern, um zu überprüfen ob der IPC manipuliert oder unbemerkt ausgetauscht wurde. Zum anderen sollen Daten ver- und entschlüsselt werden, sodass nur berechtigte Personen auf diese Daten zugreifen, verarbeiten und verwenden können.
Die Schlüsselverwahrung und die Identität bearbeitet das TPM direkt selbst. Weitere, komplexere Anforderungen wie beispielsweise die Einhaltung von Datenrichtlinien, werden in Synthese mit dem Betriebssystem abgedeckt.
Vertrauensketten
Wenn das TPM aktiviert ist, erhält es nach Einschalten des Industrie Computers von den einzelnen Komponenten nacheinander Messwerte oder Signaturen, die mit vorher gespeicherten Werten verglichen werden. Wenn diese Werte beide übereinstimmen, kann davon ausgegangen werden, dass die Komponente wie erwartet funktioniert und ihre Integrität unversehrt ist. Anschließend wird die nächste Komponente geprüft, sodass auf diese Weise nach und nach vertrauenswürdige Softwareinstanzen bis auf die Applikationsebene zur Ausführung gebracht werden.
TPM 2.0 und Windows 11
Das Trusted Platform Module in der Version 2.0 gibt es bereits seit dem Jahr 2015. Wobei es in den Vorgänger Windows-Versionen noch optional war, ist ein integriertes TPM 2.0 in der neuesten Version von Windows 11 zwingend erforderlich. Im Zusammenspiel mit Secure Boot soll TPM 2.0 noch besser vor (Cyber-) Angriffen schützen. Um Sicherheitsstandards einzuhalten und die Geräte vor Cyber-Angriffen zu schützen, beinhalten alle Welotec Industrie Computer und Edge Gateways ein integriertes TPM 2.0 Modul.
Authentifizierung von Geräten mit TPM bei Massenrollouts
Eine besondere Herausforderung bei der Implementierung von Massenrollouts ist es, eine große Anzahl von Geräten sicher ins Feld zu bringen. Ein Lösungsansatz ist das Device Provisioning Service (DPS) von Microsoft Azure. Damit lassen sich über TPM 2.0 Massen-Geräte sicher ausrollen. Die genauen Schritte einer Auto-Bereitstellung, finden Sie in unserem Whitepaper ausführlich beschrieben.
