agwebrunner.com

A criptografia de disco BitLocker normalmente requer um TPM no Windows. A criptografia EFS da Microsoft nunca pode usar um TPM. O novo recurso de “criptografia de dispositivo” no Windows 10 e 8.1 também requer um TPM moderno, e é por isso que ele só é habilitado no novo hardware. Mas o que é um TPM?

TPM significa “Módulo de plataforma confiável”. É um chip na placa-mãe do seu computador que ajuda a habilitar a criptografia de disco completo resistente a violações, sem a necessidade de frases-senha extremamente longas.

O que é isso exatamente?

RELACIONADO:Como configurar a criptografia BitLocker no Windows

O TPM é um chip que faz parte da placa-mãe do seu computador - se você comprou um PC de prateleira, ele é soldado na placa-mãe. Se você construiu seu próprio computador, você pode comprar um como um módulo adicional se sua placa-mãe suportar. O TPM gera chaves de criptografia, mantendo parte da chave para si mesmo. Portanto, se você estiver usando criptografia BitLocker ou criptografia de dispositivo em um computador com o TPM, parte da chave é armazenada no próprio TPM, e não apenas no disco. Isso significa que um invasor não pode simplesmente remover a unidade do computador e tentar acessar seus arquivos em outro lugar.

Este chip fornece autenticação baseada em hardware e detecção de violação, para que um invasor não possa tentar remover o chip e colocá-lo em outra placa-mãe, ou violar a própria placa-mãe para tentar contornar a criptografia - pelo menos em teoria.

Encriptação, encriptação, encriptação

Para a maioria das pessoas, o caso de uso mais relevante aqui será a criptografia. As versões modernas do Windows usam o TPM de forma transparente. Basta entrar com uma conta da Microsoft em um PC moderno que vem com a "criptografia de dispositivo" habilitada e usará criptografia Habilite a criptografia de disco BitLocker e o Windows usará um TPM para armazenar a chave de criptografia.

Normalmente, você obtém acesso a uma unidade criptografada digitando sua senha de login do Windows, mas ela é protegida por uma chave de criptografia mais longa do que essa. Essa chave de criptografia é parcialmente armazenada no TPM, então você realmente precisa da sua senha de login do Windows e do mesmo computador de onde a unidade está para obter acesso. É por isso que a “chave de recuperação” do BitLocker é um pouco mais longa - você precisa dessa chave de recuperação mais longa para acessar seus dados se mover a unidade para outro computador.

Este é um dos motivos pelos quais a tecnologia de criptografia EFS do Windows mais antiga não é tão boa. Não há como armazenar chaves de criptografia em um TPM. Isso significa que ele precisa armazenar suas chaves de criptografia no disco rígido, o que o torna muito menos seguro. O BitLocker pode funcionar em unidades sem TPMs, mas a Microsoft fez o possível para ocultar essa opção para enfatizar a importância de um TPM para a segurança.

Por que TrueCrypt evitou TPMs

RELACIONADO:3 alternativas para o TrueCrypt extinto para suas necessidades de criptografia

Claro, um TPM não é a única opção viável para criptografia de disco. FAQ do TrueCrypt - agora retirado - costumava enfatizar porque o TrueCrypt não usava e nunca usaria um TPM. Ele criticou as soluções baseadas em TPM por fornecerem uma falsa sensação de segurança. Claro, o site da TrueCrypt agora afirma que o TrueCrypt em si é vulnerável e recomenda que você use o BitLocker - que usa TPMs - em vez disso. Portanto, é um pouco confuso na terra do TrueCrypt.

Este argumento ainda está disponível no site da VeraCrypt, no entanto. VeraCrypt é um fork ativo do TrueCrypt. O FAQ do VeraCrypt insiste que o BitLocker e outros utilitários que dependem do TPM o utilizem para prevenir ataques que exijam que um invasor tenha acesso de administrador ou acesso físico a um computador. “A única coisa que o TPM tem quase certeza de fornecer é uma falsa sensação de segurança”, diz o FAQ. Diz que um TPM é, na melhor das hipóteses, “redundante”.

Há um pouco de verdade nisso. Nenhuma segurança é totalmente absoluta. Um TPM é indiscutivelmente mais um recurso de conveniência. Armazenar as chaves de criptografia no hardware permite que um computador descriptografe a unidade automaticamente ou descriptografe com uma senha simples. É mais seguro do que simplesmente armazenar essa chave no disco, pois um invasor não pode simplesmente remover o disco e inseri-lo em outro computador. Está vinculado a esse hardware específico.

Em última análise, um TPM não é algo em que você tem que pensar muito. Seu computador tem um TPM ou não - e os computadores modernos geralmente têm. Ferramentas de criptografia como BitLocker da Microsoft e “criptografia de dispositivo” usam automaticamente um TPM para criptografar seus arquivos de forma transparente. Isso é melhor do que não usar nenhuma criptografia e é melhor do que simplesmente armazenar as chaves de criptografia no disco, como faz o EFS (Sistema de Arquivos com Criptografia) da Microsoft.

Quanto às soluções TPM vs. não baseadas em TPM, ou BitLocker vs. TrueCrypt e soluções semelhantes - bem, esse é um tópico complicado que não estamos realmente qualificados para abordar aqui.

Crédito da imagem: Paolo Attivissimo no Flickr