چیپست TPM چیست و چرا برای امنیت ضروری است؟
سازندگان رایانههای شخصی اغلب ماژول پلتفرم قابل اعتماد (TPM) را به عنوان یک ویژگی امنیتی برای لپتاپها و دسکتاپهای تجاری خود معرفی میکنند. Trusted Platform Module یک استاندارد صنعتی برای ریزتراشههای رمزنگاری امن است که به عنوان ریشه اعتماد سختافزاری عمل میکند. در این مقاله، به بررسی عمیق این فناوری، کاربردهای آن در سیستمهای شخصی و سرورها، و دلایل اهمیت روزافزون آن در دنیای امنیت سایبری میپردازیم.
TPM امنیتی فراتر از قابلیتهای نرمافزارهای معمولی ارائه میدهد و عملکرد سیستم را نیز بهبود میبخشد. این فناوری از سال 2009 توسط کنسرسیوم صنعتی Trusted Computing Group (TCG) معرفی شده و تاکنون بیش از ۲ میلیارد واحد از آن در رایانههای شخصی، سرورها و دستگاههای مختلف مانند خودپردازها تعبیه شده است. استاندارد TPM در طول زمان بهروز شده و جدیدترین نسخه آن، TPM 2.0، در اکتبر ۲۰۱۴ منتشر گردید.
TPM دقیقاً چیست و چگونه کار میکند؟
Trusted Platform Module یک میکروچیپ تخصصی است که اغلب برای تأمین امنیت مبتنی بر سختافزار روی مادربرد سیستمها تعبیه میشود. این قطعه که به عنوان یک رمزپردازنده امن عمل میکند، به طور مستقل از پردازنده اصلی سیستم کار میکند و عملیات رمزنگاری حساس را در یک محیط ایزوله انجام میدهد.
اگر سیستم شما از اتصال دهنده TPM پشتیبانی کند، میتوانید این چیپست را بعداً نیز به مادربرد اضافه کنید. پیش از خرید، حتماً مدل سیستم خود و سازگاری آن را با TPM بررسی نمایید.
مکانیزم عملکرد TPM شامل چندین مفهوم کلیدی است:
- ریشه اعتماد سختافزاری: TPM به عنوان نقطه شروعی غیرقابل تغییر برای زنجیره اعتماد در سیستم عمل میکند.
- ثبتهای پیکربندی پلتفرم: این ثباتها در داخل TPM، هش رمزنگاری شده تمام مؤلفههای بوت شده سیستم (از BIOS/UEFI تا لودر سیستم عامل) را ذخیره میکنند و زنجیره یکپارچگی را ایجاد مینمایند.
- مقاومت در برابر دستکاری فیزیکی: تراشه TPM مجهز به مکانیزمهایی مانند نشتیاب ولتاژ و دما است که در صورت تشخیص هرگونه دستکاری، دادههای حساس را پاک میکند.
کاربردهای کلیدی TPM: از بیتلاکر تا احراز هویت
برخی از دادههایی که روزانه منتقل میکنیم، به صورت متن ساده و بدون رمزگذاری ارسال میشوند. چیپستهای TPM با ترکیبی از نرمافزار و سختافزار، از کلمات عبور، گواهینامهها و کلیدهای رمزنگاری مهم محافظت میکنند.
اگر چیپست TPM احساس کند یکپارچگی سیستم توسط ویروس یا بدافزار به خطر افتاده است، میتواند سیستم را در حالت قرنطینه راهاندازی کند. برخی از کرومبوکهای گوگل شامل TPM هستند و در حین راهاندازی، BIOS سیستم را برای تغییرات غیرمجاز اسکن میکنند.
چیپستهای TPM یک حافظه امن برای نگهداری کلیدهای رمزنگاری، گواهینامهها و رمزهای عبور ارائه میدهند که روشی بسیار ایمنتر از ذخیره آنها روی هارددیسک است. در زیر به برخی از مهمترین کاربردهای TPM اشاره میشود:
- BitLocker Drive Encryption: TPM با نگهداری امن کلید رمزگشایی، از هارددیسک در برابر دسترسیهای فیزیکی غیرمجاز محافظت میکند. اگر هارددیسک به سیستم دیگری منتقل شود، TPM کلید را آزاد نمیکند و دادهها غیرقابل دسترس خواهند بود.
- Windows Hello و احراز هویت مدرن: ویژگیهایی مانند ورود با اثرانگشت یا تشخیص چهره در ویندوز 11 برای ذخیره امن دادههای بیومتریک به TPM متکی هستند.
- بوت امن (Secure Boot): TPM میتواند امضای بوتلودر و هسته سیستمعامل را تأیید کند و از بارگذاری بدافزارها در مراحل اولیه راهاندازی جلوگیری نماید.
- گواهیدهی از راه دور (Remote Attestation): این ویژگی به سرور مرکزی اجازه میدهد صحت و یکپارچگی نرمافزارها و سیستمعامل کلاینت (یا میزبان مجازیسازی) را تأیید کند.
جالب است بدانید چیپستهای TPM حتی در جعبههای متصل به شبکه، مدیریت حقوق دیجیتال (DRM) را امکانپذیر میکنند. بنابراین شرکتهای رسانهای میتوانند بدون نگرانی از سرقت محتوا، آن را منتشر کنند.
مزایای استفاده از TPM نسبت به رمزگذاری نرمافزاری
در حالی که راهحلهای نرمافزاری نیز میتوانند دادهها را رمزگذاری کنند، رویکرد سختافزاری TPM دارای مزایای امنیتی قابل توجهی است:
- جداسازی امن کلیدها: در رمزگذاری نرمافزاری، کلیدها در حافظه سیستم یا روی دیسک ذخیره میشوند. اما TPM کلیدها را درون تراشه خود نگهداری میکند و آنها را هرگز در معرض سیستمعامل قرار نمیدهد.
- اتصال کلید به سختافزار: کلیدهای تولید شده توسط TPM به سختافزار خاصی گره میخورند. این ویژگی از کپی شدن دادههای رمزگذاری شده و استفاده از آنها در سیستم دیگر جلوگیری میکند.
- تأیید یکپارچگی پلتفرم: TPM قادر است صحت و سلامت کل زنجیره بوت سیستم را پیش از آزادسازی کلیدها تأیید کند که رمزگذاری نرمافزاری قادر به انجام آن نیست.
TPM برای چه افرادی کاربردی است؟
اگرچه افراد عادی نیز میتوانند با نرمافزارهای از پیش نصب شده از برخی ویژگیهای TPM بهرهمند شوند، اما این چیپستها عمدتاً برای شرکتهای بزرگ و سازمانهایی که به دنبال تأمین امنیت دادههای خود و انطباق با استانداردهای امنیتی هستند، حیاتی میباشد.
راهنمای فعالسازی TPM در سرورهای HPE
بسیاری از سرورهای مدرن HPE از TPM پشتیبانی میکنند. به طور معمول قطعه TPM روی سرورها نصب نیست و باید آن را جداگانه تهیه نمود. نسلهای جدید سرورهای HPE، مانند نسل 11 (Gen11)، اغلب دارای TPM 2.0 تعبیه شده روی مادربرد هستند. برای فعالسازی TPM در سرورهای HPE مراحل زیر را دنبال کنید:
- در حین راهاندازی سرور، کلید F9 را فشار دهید تا وارد System Utilities شوید.
- از منوی System Utilities، مسیر System Configuration > BIOS/Platform Configuration (RBSU) > Server Security را طی کنید.
- گزینه Trusted Platform Module Options را انتخاب کنید.
- گزینه Enabled را انتخاب کنید تا TPM و قابلیت Secure Startup فعال شود.
- تنظیمات را ذخیره کرده و سیستم را مجدداً راهاندازی کنید.
- پس از راهاندازی مجدد، میتوانید قابلیتهای TPM را در سیستمعامل مانند BitLocker ویندوز فعال نمایید.
نکته مهم: همیشه قبل از هرگونه بهروزرسانی firmware، تعویض مادربرد یا تغییرات اساسی سختافزاری، قابلیت TPM را در سیستمعامل غیرفعال کنید. عدم رعایت این نکته میتواند منجر به قفل شدن و از دست رفتن کامل دسترسی به دادهها شود. همچنین، پیش از فعالسازی TPM از رعایت قوانین و مقررات محلی مربوط به استفاده از فناوریهای رمزنگاری اطمینان حاصل کنید.
سوالات متداول در مورد چیپست TPM
TPM چیست و چه تفاوتی با نرمافزارهای امنیتی معمولی دارد؟
TPM یا Trusted Platform Module یک میکروچیپ سختافزاری روی مادربرد است که کلیدهای رمزنگاری، رمزهای عبور و اطلاعات بیومتریک را در محیطی ایزوله و مقاوم در برابر دستکاری ذخیره میکند. برخلاف نرمافزارهای امنیتی که کلیدها را روی هارددیسک یا در حافظه اصلی نگهداری میکنند، TPM کلیدها را هرگز در معرض سیستمعامل قرار نمیدهد و امنیت بسیار بالاتری ارائه میکند.
آیا برای استفاده از BitLocker حتماً به TPM نیاز است؟
خیر، اما به شدت توصیه میشود. ویندوز امکان استفاده از BitLocker با رمز عبور یا کلید روی USB را بدون TPM نیز فراهم میکند. با این حال، وجود TPM امنیت را به سطح بالاتری میبرد زیرا کلید رمزگشایی درون تراشه قفل میشود و تنها در صورتی آزاد میگردد که زنجیره بوت سیستم سالم و دستکارینشده باشد. اگر هارددیسک به سیستم دیگری منتقل شود، TPM از آزاد کردن کلید جلوگیری میکند.
چگونه بفهمیم کامپیوتر یا سرور ما TPM دارد و نسخه آن چند است؟
در ویندوز 10 و 11، کلیدهای Windows + R را بزنید، tpm.msc را تایپ کرده و Enter بزنید. اگر TPM موجود باشد، پنجره مدیریت TPM باز میشود و نسخه (مثلاً 2.0) در قسمت Specification Version نمایش داده میشود. در غیر این صورت پیام «سازگار یافت نشد» نشان داده میشود. برای سرورهای HPE میتوانید در حین بوت با زدن F9 وارد System Utilities شده و در مسیر Server Security گزینه TPM را بررسی کنید.
آیا میتوان TPM را بعداً به مادربرد اضافه کرد؟
بله، به شرطی که مادربرد شما دارای کانکتور مخصوص TPM (معمولاً ۱۴ یا ۲۰ پین) باشد و سازنده ماژول متناسب با آن را ارائه داده باشد. پیش از خرید، دفترچه راهنمای مادربرد یا سیستم خود را بررسی کنید. توجه داشته باشید که لپتاپها معمولاً فضای خالی برای افزودن TPM ندارند و بهتر است مدلی که از قبل TPM دارد خریداری کنید.
آیا برای نصب ویندوز 11 وجود TPM اجباری است؟
بله، مایکروسافت وجود TPM نسخه 2.0 را به عنوان یک الزام سختافزاری برای نصب ویندوز 11 تعیین کرده است. اگر سیستم شما TPM 2.0 نداشته باشد یا غیرفعال باشد، نصبکننده ویندوز 11 خطا داده و اجازه ادامه نمیدهد. میتوانید با ورود به BIOS یا UEFI سیستم، در صورت وجود TPM اما غیرفعال بودن، آن را فعال کنید.
هنگام تعویض مادربرد یا بهروزرسانی BIOS چه کاری با TPM باید انجام داد؟
قبل از هرگونه تعویض مادربرد، بهروزرسانی firmware یا تغییرات اساسی سختافزاری، حتماً قابلیت TPM را در سیستمعامل غیرفعال کنید (مثلاً در مدیریت BitLocker، رمزگشایی درایو را به حالت تعلیق درآورید). در غیر این صورت پس از تغییر سختافزار، TPM کلیدها را آزاد نمیکند و ممکن است دسترسی کامل به دادههای رمزگذاری شده را از دست بدهید. پس از اعمال تغییرات، میتوانید دوباره TPM را فعال کنید.
نیاز به بررسی و خرید سرور HPE دارید؟