Definition Was ist TPM (Trusted Platform Module)?

Bei einem Trusted Platform Module handelt es sich um ein Sicherheitsmodul, das in elektronischen Geräten und insbesondere in Computern zum Einsatz kommt. Es generiert, speichert und kontrolliert kryptographische Schlüssel und stellt die Integrität der Hardwareplattform sicher. Für das Betriebssystem Windows 11 ist ein TPM der Version 2.0 Systemvoraussetzung.

Anbieter zum Thema

Dell GmbH

ICP Deutschland GmbH

Paessler AG

TPM ist das Akronym für Trusted Platform Module. Das Akronym steht sowohl für die TPM-Spezifikation der Trusted Computing Group (TCG) als auch für das physische Modul mit den in der Spezifikation definierten Sicherheitsfunktionen.

Das Sicherheitsmodul ist häufig in Form eines Mikrochips realisiert. Es ist in elektronischen Geräten einsetzbar und wird vornehmlich für Computer verwendet. Dort findet es sich beispielsweise als zusätzlicher Baustein auf dem Mainboard oder integriert in der Firmware. Das Trusted Platform Module ist nicht an einzelne User, sondern an die jeweilige Hardware gebunden. Es funktioniert unabhängig von anderen Hardwarekomponenten wie dem Prozessor oder dem Arbeitsspeicher.

Mit dem Trusted Platform Module lässt sich die Integrität der Hardwareplattform sicherstellen. Das Modul ist manipulationssicher und in der Lage, kryptographische Schlüssel zu erzeugen, bereitzustellen, zu speichern und ihren Einsatz zu kontrollieren. Das Trusted Platform Module verhindert, dass ein System unbefugt manipuliert wird. Zertifikate mit den zugehörigen Schlüsseln belegen, dass wichtige Systemdateien wie der Bootloader im Originalzustand vorliegen. Auch für die sichere Festplattenverschlüsselung ist das Sicherheitsmodul nutzbar. Moderne Mainboards sind in der Regel für die Aufnahme eines Trusted Platform Modules vorbereitet.

Die TPM-Spezifikation 1.2 wurde 2009 in der Norm ISO/IEC 11889 festgeschrieben und 2011 finalisiert. Im Jahr 2014 erschien die Version 2.0. Sie ist ebenfalls in der Norm ISO/IEC 11889 spezifiziert. Zur Version 1.2 besteht keine Abwärtskompatibilität. Das Betriebssystem Windows 11 setzt ein Sicherheitsmodul der Version 2.0 voraus. Windows nutzt die Sicherheitsfunktionen des Moduls für Funktionen wie den sicheren Bootvorgang, die Anmeldung mit Windows Hello oder die Laufwerksverschlüsselung mit BitLocker. Aktuelle Versionen des Linux-Kernels unterstützen das Trusted Platform Module ebenfalls.

Typische Funktionen und Aufgaben eines TPMs

TPMs stellen zahlreiche Sicherheitsfunktionen zur Verfügung und sind für unterschiedliche Aufgaben einsetzbar. Die Module sind mit einem sicheren Zufallszahlengenerator ausgestattet und können kryptographische Schlüssel erzeugen, speichern, verwalten und kontrollieren. Schlüssel lassen sich auch sicher auf externen Speicher auslagern.

Durch Versiegelung können Daten an ein TPM gebunden werden. Über den geheimen, fest im Modul gespeicherten Endorsement Key (EK) lässt sich die Integrität der Hardwareplattform sicherstellen. Weitere Funktionen eines Trusted Platform Modules sind das Sammeln von Daten über den Sicherheitszustand eines Rechners, die Unterstützung des Betriebssystems bei kryptographischen Funktionen wie die Laufwerksverschlüsselung, das sichere Booten eines Rechners, der Schutz eines Rechners vor Manipulation, die Unterstützung der Rechteverwaltung digitaler Medien (DRM, Digital Rights Management), der Schutz von Softwarelizenzen und die Bescheinigung bestimmter Fähigkeiten und Zustände eines Systems (Remote Attestation).

Die unterschiedlichen Realisierungsmöglichkeiten von TPMs

Das in der ISO/IEC-Norm spezifizierte Trusted Platform Module ist auf verschiedene Arten realisierbar. Bei einem diskreten Trusted Platform Module handelt es sich um einen dedizierten Chip, der beispielsweise auf dem Motherboard eines Rechners eingesteckt ist. TPMs können aber auch in anderen Hardwarefunktionseinheiten wie in der zentralen Prozessoreinheit oder in der Firmware integriert sein. Softwarebasierte TPMs sind ohne zusätzliche physische Hardware in Form von reinen Softwarefunktionen implementiert. Virtuelle TPMs werden in virtualisierten Systemumgebungen von Hypervisoren bereitgestellt.

Verschiedene Schlüsseltypen eines TPMs

In einem Trusted Platform Module kommen verschiedene Schlüsseltypen zum Einsatz. Zu diesen Schlüsseltypen gehören:

• Endorsement Key (EK)

• Storage Root Key (SRK)

• Attestation Identity Keys (AIK)

Endorsement Keys und Storage Root Keys (SRK) sind dem TPM jeweils fest zugeordnet. Sie verlassen den privaten Teil eines TPMs nie. Attestation Identity Keys agieren als eine Art Pseudonym für den Endorsement Key und werden für Beglaubigungsprozesse eingesetzt. Ein TPM-Eigentümer kann die Attestation Identity Keys in beliebiger Anzahl erzeugen.

(ID:48091813)