Tecnología de ejecución confiable

Las mediciones pueden ser de código, estructuras de datos, configuración, información o cualquier elemento que pueda cargarse en la memoria. TCG exige que el código no se ejecute hasta que se haya medido. Para garantizar una secuencia específica de mediciones, las mediciones hash en una secuencia no se escriben en diferentes PCR, sino que un PCR se "extiende" con una medición. Esto significa que el TPM toma el valor actual del PCR y la medición que se va a extender, los combina mediante hash y reemplaza el contenido del PCR con ese resultado hash. El efecto es que la única forma de llegar a una medición específica en un PCR es extender exactamente las mismas mediciones en el mismo orden. Por lo tanto, si algún módulo que se está midiendo ha sido modificado, la medición del PCR resultante será diferente y, por lo tanto, es fácil detectar si algún código, configuración, dato, etc. que se haya medido ha sido alterado o corrompido. El mecanismo de extensión de PCR es crucial para establecer una Cadena de Confianza en las capas de software (véase más abajo).

Esta tecnología admite tanto una cadena de confianza estática como una dinámica. La cadena de confianza estática se inicia al encender la plataforma (o reiniciarla), lo que restablece todos los PCR a su valor predeterminado. En las plataformas de servidor, la primera medición la realiza el hardware (es decir, el procesador) para medir un módulo firmado digitalmente (denominado Módulo de Código Autenticado o ACM) proporcionado por el fabricante del chipset . El procesador valida la firma y la integridad del módulo firmado antes de ejecutarlo. A continuación, el ACM mide el primer módulo de código BIOS, que puede realizar mediciones adicionales.

Las mediciones de los módulos de código ACM y BIOS se extienden a PCR0, que contiene la medición estática de la raíz de confianza del núcleo (CRTM), así como la medición de la base de computación confiable (TCB) de la BIOS. La BIOS mide componentes adicionales en los PCR de la siguiente manera:

• PCR0 – CRTM , código BIOS y extensiones de la plataforma host ^{[ a ]}
• PCR1 – Configuración de la plataforma host
• PCR2 – Código ROM de opción
• PCR3 – Configuración y datos de la ROM de opción
• PCR4 – Código IPL (Cargador de Programa Inicial) (normalmente el Registro de Arranque Maestro – MBR)
• PCR5 – Configuración y datos del código IPL (para uso del código IPL)
• PCR6 – Transición de estado y eventos de estela
• PCR7 – Control del fabricante de la plataforma host

La cadena de confianza dinámica comienza cuando el sistema operativo invoca una instrucción de seguridad especial, que restablece los PCR dinámicos (PCR17-22) a su valor predeterminado e inicia el lanzamiento medido. La primera medición dinámica la realiza el hardware (es decir, el procesador) para medir otro módulo firmado digitalmente (conocido como SINIT ACM), también proporcionado por el fabricante del chipset, cuya firma e integridad son verificadas por el procesador. Esto se conoce como Medición Dinámica de la Raíz de Confianza (DRTM).

A continuación, el SINIT ACM mide el primer módulo de código del sistema operativo (denominado entorno de lanzamiento medido – MLE). Antes de permitir la ejecución del MLE, el SINIT ACM verifica que la plataforma cumpla con los requisitos de la Política de Control de Lanzamiento (LCP) establecida por el propietario de la plataforma. La LCP consta de tres partes:

1. Verificar que la versión de SINIT sea igual o posterior al valor especificado.
2. Verificar que la configuración de la plataforma (PCONF) sea válida comparando los PCR0–7 con valores conocidos y correctos (el propietario de la plataforma decide qué PCR incluir).
3. Verificar que el estimador de máxima verosimilitud (MLE) sea válido, comparando su medición con una lista de mediciones conocidas y fiables.

La integridad del LCP y sus listas de mediciones válidas conocidas están protegidas mediante el almacenamiento de una medición hash de la política en el TPM en una ubicación protegida no volátil que solo puede ser modificada por el propietario de la plataforma.

Una vez que se satisface el LCP, el ACM SINIT permite que el MLE se ejecute como un sistema operativo de confianza al habilitar el acceso a registros de seguridad especiales y el acceso de nivel de localidad 2 del TPM. El MLE ahora puede realizar mediciones adicionales en los PCR dinámicos. Los PCR dinámicos contienen mediciones de:

• PCR17 – Política de DRTM y control de lanzamientos
• PCR18 – Código de inicio del sistema operativo de confianza (MLE)
• PCR19 – Sistema operativo de confianza (por ejemplo, configuración del sistema operativo)
• PCR20 – Sistema operativo de confianza (por ejemplo, núcleo del sistema operativo y otro código)
• PCR21 – según lo define el Sistema Operativo Confiable
• PCR22 – según lo define el Sistema Operativo Confiable

La tecnología también proporciona una forma más segura para que el sistema operativo inicialice la plataforma. A diferencia de la inicialización normal del procesador [que implicaba que el procesador de arranque (BSP) enviara una interrupción entre procesadores de inicio (SIPI) a cada procesador de aplicación, iniciando así cada procesador en "modo real" y luego pasando al "modo virtual" y finalmente al "modo protegido"], el sistema operativo evita esa vulnerabilidad realizando un lanzamiento seguro (también conocido como lanzamiento medido) que coloca a los procesadores de aplicación en un estado de suspensión especial desde el cual se inician directamente en modo protegido con paginación activada, y no se les permite salir de este estado. ^{[ 3 ]}