¿Qué es el TPM y por qué es importante?

Trusted Platform Module (TPM)

¿Qué es el TPM y por qué es importante?

Un módulo de plataforma de confianza (TPM) es un chip especializado de un ordenador portátil o de sobremesa diseñado para proteger el hardware con claves criptográficas integradas. Un TPM ayuda a probar la identidad de un usuario y autentica su dispositivo. Un TPM también ayuda a proporcionar seguridad contra amenazas como ataques de firmware y ransomware.

Un TPM se utiliza para la gestión de derechos digitales (DRM) con el fin de proteger los sistemas basados en Windows y hacer cumplir las licencias de software. También puede almacenar contraseñas, certificados o claves de cifrado. Los chips TPM pueden utilizarse con cualquier sistema operativo importante y funcionan mejor junto con otras tecnologías de seguridad, como cortafuegos, software antivirus, tarjetas inteligentes y verificación biométrica.

Un chip TPM se ubica en la placa base de un ordenador como un procesador dedicado. Las claves criptográficas almacenan claves de cifrado Rivest-Shamir-Adleman (RSA) específicas del sistema host para la autenticación por hardware.

Cada chip TPM contiene un par de claves RSA denominado Endorsement Key (EK). El par se mantiene dentro del chip y el software no puede acceder a él. La clave raíz de almacenamiento se crea cuando un usuario o administrador toma posesión del sistema. El TPM genera este par de claves basándose en la EK y en una contraseña especificada por el propietario.

Una segunda clave, denominada Attestation Identity Key (AIK), protege el dispositivo frente a modificaciones no autorizadas del firmware y el software mediante un hash de las secciones críticas del firmware y el software antes de que se ejecuten. Cuando el sistema intenta conectarse a la red, los hash se envían a un servidor que comprueba si coinciden con los valores esperados. Si alguno de los componentes hash ha sido modificado, la coincidencia falla y el sistema no puede acceder a la red.

El término TPM se utiliza a veces para referirse al conjunto de especificaciones aplicables a los chips TPM. La organización sin ánimo de lucro Trusted Computing Group (TCG) publica y mantiene las especificaciones TPM.

Usos y ventajas del TPM

El TPM proporciona los siguientes beneficios:

• Generar, almacenar y limitar el uso de claves criptográficas.
• Garantizar la integridad de la plataforma mediante el uso de métricas que pueden detectar cambios en configuraciones anteriores.
• Proporcionar autenticación de dispositivos de plataforma con la clave RSA del TPM.
• Mitigar los ataques de firmware, ransomware, diccionario y phishing.
• Proteger los derechos de los medios digitales mediante tecnología DRM.
• Garantizar la protección de las licencias de software.

¿Cómo utiliza Windows el TPM y por qué es necesario?

Windows 7, 8, 10 y 11 son compatibles con los módulos de plataforma segura (TPM). Microsoft combina las características de seguridad que se encuentran en Windows con los beneficios de los TPM para ofrecer más ventajas prácticas de seguridad. Por ejemplo, Windows utiliza TPM para proporcionar las siguientes características de seguridad:

• Windows Hello es una función de control de acceso e identidad biométrica compatible con escáneres de huellas dactilares, escáneres de iris y tecnología de reconocimiento facial que utilizan TPM. Utiliza tanto un EK como un AIK.
• La protección contra ataques de diccionario (Dictionary attack) ayuda a proteger contra un ataque de fuerza bruta que irrumpe en una red informática protegida por contraseña introduciendo sistemáticamente cada palabra de un diccionario como contraseña.
• BitLocker Drive Encryption cifra los volúmenes lógicos. Se diferencia del Sistema de cifrado de archivos de Microsoft en que BitLocker puede cifrar una unidad entera, mientras que EFS sólo cifra archivos y carpetas individuales. Si se pierde o roban el ordenador o el disco duro, al apagarlo, los datos del volumen se mantienen privados. BitLocker puede seguir siendo susceptible a ataques de arranque en frío, por lo que también se suele utilizar la autenticación de dos factores.
• Las tarjetas inteligentes virtuales (Virtual smart cards) se basan en TPM y son similares a las tarjetas inteligentes físicas. Se utilizan para la autenticación en recursos externos.
• El arranque medido (Measured Boot) ayuda a detectar malware durante las secuencias de arranque y garantiza que las mediciones del TPM reflejen el estado de inicio de Windows y los ajustes de configuración de Windows.
• Health attestation crea certificados AIK para los TPM y analiza los datos de arranque medidos para evaluar el estado del dispositivo.
• La protección de credenciales (Protection guard) utiliza la seguridad basada en la virtualización para aislar las credenciales. El TPM se utiliza aquí para proteger las claves.

El TPM 2.0 explicado

TPM 2.0 fue creado por TCG para mejorar los módulos de plataforma de confianza con nuevas funciones. Por ejemplo, la nueva función de intercambiabilidad de algoritmos permite a los TPM utilizar algoritmos diferentes en caso de que uno no funcione contra amenazas específicas. Antes de esto, el TPM 1.2 estaba limitado al uso del algoritmo Secure Hash Algorithm 1. También se han mejorado las firmas de verificación básicas con el soporte añadido de números de identificación personal y datos biométricos y del Sistema de Posicionamiento Global. La mejora de la gestión de claves permite ahora manejarlas para un uso limitado y condicional.

Las funciones nuevas y actualizadas de TPM 2.0 ofrecen más flexibilidad, lo que permite utilizar el chip en dispositivos con más limitaciones de recursos. TPM 2.0 puede ejecutarse en PC nuevos con cualquier versión de Windows 10 para escritorio y en dispositivos Windows 11 compatibles con TPM.

Diferentes tipos de implementaciones de TPM

Los siguientes TPM (Trusted Platform Modules) se diferencian por la forma en que están implementados:

• Los TPM discretos son chips específicos y dedicados. Este es potencialmente el tipo más seguro de TPM, ya que normalmente tienen menos probabilidades de tener errores y también deben implementar la resistencia a la manipulación.
• Los TPM físicos están integrados en la unidad central de procesamiento (CPU) principal e incluyen mecanismos de seguridad que los hacen resistentes a las manipulaciones.
• Los TPM basados en firmware se ejecutan en un entorno de ejecución de confianza de la CPU. Estos TPM son casi tan seguros como los chips TPM físicos.
• Los TPM basados en software no proporcionan seguridad adicional y corren el riesgo de tener fallos o ser atacados externamente.
• Los TPM virtuales los proporciona un hipervisor, que recupera de forma independiente los códigos de seguridad de una máquina virtual.

La seguridad de los 5 tipos de TPM

Historia del TPM

Los TPM fueron desarrollados por el TCG y se han ido actualizando a lo largo del tiempo. Una actualización notable fue la versión 1.2, que se estandarizó como Organización Internacional de Normalización/Comisión Electrotécnica Internacional 11889 en 2009. El TCG sigue trabajando en la norma, integrando nuevas adiciones y funciones. Su actualización más reciente, la versión 2.0, se publicó en 2019. Esta versión añade nuevas características para aumentar la seguridad de TPM.