Κενά ασφαλείας στο TPM 2.0 ενδέχεται να θέτουν σε κίνδυνο εκατομμύρια συσκευές και υπολογιστές

[Paragontas-x]

Κατά τ' άλλα το πρόσθεσε σαν υποχρέωση στο να εγκαταστήσεις τα νέα windows για μεγαλύτερη ασφάλεια.

Ναι το βλέπουμε.🤣

Επεξ/σία 8 Μαρτίου 2023 από Paragontas-x

[elpenor]

Αναφορά σε κείμενο

Ένας εισβολέας που έχει πρόσβαση στο command interface του TPM

Πώς θα αποκτήσει πρόσβαση;

Επεξ/σία 8 Μαρτίου 2023 από elpenor

[CODEC]

Τα boards με tmp2 παίρνουν αναβάθμιση μέσο firmware ή bios ? (Απ τη στιγμή που αναφέρεται πάλι για την έκδοση TMP 2). Ή μιλάμε για εντελώς άλλο chipset ?

[asmilon]

1 ώρα πριν, elpenor είπε

Πώς θα αποκτήσει πρόσβαση;

Λεπτομερειες, ας απαξιωσουμε το ΤΡΜ και ας το μονο που γνωριζουμε για αυτο ειναι οτι το απαιτουν τα 11.

[Επισκέπτης]

Προετοιμασία για να αποκλείσουμε μηχανήματα ενός έτους, για τα επερχόμενα Windowz 12... 🤣

[gakost]

13 λεπτά πριν, asmilon είπε

Λεπτομερειες, ας απαξιωσουμε το ΤΡΜ και ας το μονο που γνωριζουμε για αυτο ειναι οτι το απαιτουν τα 11.

Το πιο σοβαρό σχόλιο, δυστυχώς ένας άνθρωπος σε μια κοινότητα που δεν ενδιαφέρεται να γράψει μια γραμμή στα σοβαρά. 

Επεξ/σία 8 Μαρτίου 2023 από gakost

[StavrosD]

1 ώρα πριν, CODEC είπε

Τα boards με tmp2 παίρνουν αναβάθμιση μέσο firmware ή bios ? (Απ τη στιγμή που αναφέρεται πάλι για την έκδοση TMP 2). Ή μιλάμε για εντελώς άλλο chipset ?

Σε κάποιες μητρικές το TPM είναι ενσωματωμένο αλλά υπάρχουν και αρκετές περιπτώσεις που δέχονται επιπλέον  TPM module.

Το είχα ψάξει επειδή έχω την MSI X299 Raider. Έχει ενσωματωμένο το PPT (Intel Trusted Platform. ) αλλά είχα πάρει και το επιπλέον  TPM  2 module (στο BIOS το λέει dTPM, Discrete TPM).

H AMD αντίστοιχα έχει το fTPM.

Το θέμα δεν είναι μόνο το ΑΝ μια μητρική έχει TPM header (το αναφέρει στο manual αν έχει) αλλά και το ΑΝ θα φτιάξουν νέα module για τις παλαιότερες μητρικές.

Αντίστοιχα για τα ενσωματωμένα PPT ή fTPM, θα μπορεί να διορθωθεί το πρόβλημα με firmware update; Αν ναι, ασχοληθούν οι εταιρείες με την ενημέρωση για παλιότερες μητρικές;

Επεξ/σία 8 Μαρτίου 2023 από StavrosD

[CODEC]

22 λεπτά πριν, StavrosD είπε

Σε κάποιες μητρικές το TPM είναι ενσωματωμένο αλλά υπάρχουν και αρκετές περιπτώσεις που δέχονται επιπλέον  TPM module.

Το είχα ψάξει επειδή έχω την MSI X299 Raider. Έχει ενσωματωμένο το PPT (Intel Trusted Platform. ) αλλά είχα πάρει και το επιπλέον  TPM  2 module (στο BIOS το λέει dTPM, Discrete TPM).

H AMD αντίστοιχα έχει το fTPM.

Το θέμα δεν είναι μόνο το ΑΝ μια μητρική έχει TPM header (το αναφέρει στο manual αν έχει) αλλά και το ΑΝ θα φτιάξουν νέα module για τις παλαιότερες μητρικές.

Αντίστοιχα για τα ενσωματωμένα PPT ή fTPM, θα μπορεί να διορθωθεί το πρόβλημα με firmware update; Αν ναι, ασχοληθούν οι εταιρείες με την ενημέρωση για παλιότερες μητρικές;

Περιγράφεις τη μετάβαση από TPM 1.1 σε TPM 2 που οκ ή θα έβαζες ( αν το υποστήριζε το board extra module ) ή θα άλλαζες board. Εδώ όμως το άρθρο περιγράφει για την ίδια έκδοση του TPM 2... και το ερώτημα είναι .... αφορά αλλαγή module ή αναβάθμιση firmware για το υφιστάμενο module TPM 2?

Επεξ/σία 8 Μαρτίου 2023 από CODEC

[JonnyBoy]

 Θα προσπαθήσω να εξάγω συμπεράσματα από το ίδιο το άρθρο. Ευπρόσδεκτη οποιαδήποτε διόρθωση. Αν κατάλαβα καλά:

α) Απαιτείται φυσική πρόσβαση από τον χάκερ στον υπολογιστή με την ευπάθεια.

β) Η ευπάθεια μπορεί να επηρεάσει αυτούς που είχαν ήδη κάποιο κακόβουλο λογισμικό εγκατεστημένο στον υπολογιστή τους απομακρυσμένα. Άρα μιλάμε για χρήστες Windows 10 που αναβάθμισαν σε 11 και όχι αυτούς που μόλις αγόρασαν κάποιον καινούργιο υπολογιστή με καθαρή εγκατάσταση Windows 11. Εκτός και αν μετέπειτα,εν αγνοία τους εγκατέστησαν κακόβουλο λογισμικό που εκμεταλλεύεται αυτή την ευπάθεια ασφαλώς.

γ) Υπάρχουν updates που θωρακίζουν από αυτές τις ευπάθειες μη μολυσμένους υπολογιστές. Αυτό που δεν διευκρινίζεται είναι αν είναι software updates ή απαιτείται νέο chip. Λογικά ισχύει το πρώτο.

Επεξ/σία 8 Μαρτίου 2023 από JonnyBoy

[StavrosD]

Λογικά το TPM module είναι αποσπώμενο για 2 λόγους:

1. Αν τυχόν χαλάσει η μητρική, να μπορέσεις να το βγάλεις και να το βάλεις στην νέα μητρική ώστε να μην χάσεις δεδομένα. Τα windows χρησιμοποιούν το TPM για disc encryption, encrypted folders, κλπ (https://learn.microsoft.com/en-us/windows/security/information-protection/tpm/how-windows-uses-the-tpm). 

2. Για αντικατάσταση αν βρεθεί hardware bug.

Στο site της HP βρήκα μια λίστα με TPM chip και τα Update. Λογικά από το πρώτο ψηφίο του version προκύπτει το TPM chip που έχουμε.

• SLB 9670 (TPM 2.0), Versions: 7.40, 7.41, 7.60, 7.61
• SLB 9670 (TPM 1.2), Versions: 6.40, 6.41, 6.42
• SLB 9665 (TPM 2.0), Versions: 5.00, 5.40, 5.50, 5.51, 5.60, 5.61
• SLB 9660 (TPM 1.2), Versions: 4.40, 4.42
• SLB 9656 (TPM 1.2), Versions: 4.30, 4.31, 4.32, 4.33

https://support.hp.com/us-en/document/c05792935

 

Το δικό μου module έχει το τελευταίο update από αυτή την σελίδα αλλά είναι παλιό το site, του 2017. Το πρώτο ψηφίο είναι το 5 οπότε είναι το SLB9665.

Αν βρει κάποιος πιο καινούργιο firmware ας παραθέσει link.

Επεξ/σία 9 Μαρτίου 2023 από StavrosD

[stelanos]

Η ανακοίνωση έγινε γνωστή πλέον στους παντός είδους χάκερς και μόλις μολυνθούν κάποια εκατομμύρια υπολογιστών τότε οι εταιρείες θα ανακοινώσουν το νέο update αν υπάρξει και δεν μας χώσουν στο τρυπακι να αγοράσουμε κάτι νέο.

Επεξ/σία 9 Μαρτίου 2023 από stelanos

[teodoreh]

Το πρώτο που θα έγραφα, είναι πως η NSA έχει πλοκάμια παντού και πως ότι βλέπουμε  ως bug, μπορεί απλά να είναι feature. Μπορεί να ακούγεται ως συνωμοσιολαγνεία, αλλά ζούμε σε έναν κόσμο που ο Snowden παρέδιδε έγγραφα που καταδείκνυαν πως λ.χ. η Apple παρέδιδε τα πάντα στην NSA την ίδια στιγμή που το FBI δεν μπορούσε να ξεκλειδώσει το iPhone του San Bernardino. Ή αν θέλετε να το πάρουμε αλλιώς, η NSA και η GCHQ είχαν πρόσβαση στις κατά τα άλλα ασφαλείς SIM κάρτες, όπως αυτές έβγαιναν από το εργοστάσιο και εσύ ζούσες τον μύθο της ασφάλειας των επικοινωνιών.

Στο θέμα μας, ειλικρινά δεν κατανοώ γιατί η Microsoft έχει τόση εμμονή με το TPM. Κατ΄αρχάς, χάρις αυτό, έχει βγάλει εκτός λίστας συμβατότητας των Windows 11, πολύ hardware - από 1st gen Ryzen έως  7ης γενιάς Intel Core επεξεργαστές.  Ίσως είναι ένας έμμεσος τρόπος να πουληθεί νέο hardware ή να ωθηθούν όλοι να χρησιμοποιούν  bitlocker έναντι άλλων 3rd party encryption software. Ίσως υπάρχει έναν υπόγειος πόλεμος cybersecurity που δεν τον βλέπουμε; Κάτι είναι, ή για την ακρίβεια κάτι ΠΡΕΠΕΙ να είναι, καθώς δείχνει εξαιρετικά  περίεργο requirement για κάτι που αφορά ένα feature ασφάλειας που κανείς δεν χρειάζονταν για τον σπιτικό του, υπολογιστή.

Ακόμη χειρότερα, έχω δύο φορές να συμβαίνει το απαράδεκτο στα Windows11: Firmware (UEFI) update να μην προειδοποιεί το χρήστη σωστά ή να μην τον προειδοποιεί καθόλου, με αποτέλεσμα, ο χρήστης αν δεν συνδέεται με outlook account, να χάνει τελείως πρόσβαση στο bitlocker partition του μετά το update (υπ΄όψιν πως σε πολλά λ.χ. Dell laptop, το UEFI update κατεβαίνει αυτόματα με το Windows update) και η μόνη ανάλαφρη προειδοποίηση που δίνει είναι "απενεργοποιείστε το bitlocker και μετά κάντε update".

Δεν ξέρω αν το κενό που έχει εντοπιστεί διορθώνεται με patches και πόσο αυτά τα patches είναι ασφαλή από αδιάκριτα κυβερνητικά μάτια. Κατ΄εμέ, αν θέλεις να κρύψεις κάτι, καλύτερα χρησιμοποίησε TrueCrypt ή VeraCrypt με το κλειδί να βρίσκεται κάπου στη RAM (όπου ο επίδοξος εισβολέας θα πρέπει να βρει τον υπολογιστή ανοιχτό και να χρησιμοποιήσει εξειδικευμένες επιθέσεις που θα παρακάμπτουν την ασφάλεια της μνήμης (Spectre vonurabilities κτλ).

[StavrosD]

Προς όσους σκοπεύουν να αγοράσουν TPM module:

Το manual της μητρικής σας έχει περιγραφή του TPM module connector.

Ενδεικτικά στην δικιά μου:

Από όλες τις πληροφορίες που βλέπετε, το σημαντικό είναι το πλήθος των PIN. Το συγκεκριμένο pin header έχει 14 pin. Στην αγορά κυκλοφορούν TPM module με 12, 14 και 20pin. Σιγουρευτείτε ότι θα παραγγείλετε συμβατό module. Αν πάρετε διαφορετικό μέγεθος ίσως να μην λειτουργήσει ακόμα και με πατέντες.

[eyw]

4 hours ago, teodoreh said:

... Κατ΄εμέ, αν θέλεις να κρύψεις κάτι, καλύτερα χρησιμοποίησε TrueCrypt ή VeraCrypt με το κλειδί να βρίσκεται κάπου στη RAM (όπου ο επίδοξος εισβολέας θα πρέπει να βρει τον υπολογιστή ανοιχτό και να χρησιμοποιήσει εξειδικευμένες επιθέσεις που θα παρακάμπτουν την ασφάλεια της μνήμης (Spectre vonurabilities κτλ).

το truecrypt είναι ασφαλές? τι ακριβώς συνέβει?
Εγώ έχω Veracrypt, λειτουργεί άψογα, αν έχει συμβεί κάτι θα το διαβάσουμε εδώ.
Τι είναι "... κλειδί κάπου στη RAM ..."?

[teodoreh]

1 ώρα πριν, eyw είπε

το truecrypt είναι ασφαλές? τι ακριβώς συνέβει?
Εγώ έχω Veracrypt, λειτουργεί άψογα, αν έχει συμβεί κάτι θα το διαβάσουμε εδώ.
Τι είναι "... κλειδί κάπου στη RAM ..."?

Το TrueCrypt απλά σταμάτησε να γίνεται development και το Veracrypt είναι η συνέχεια του κώδικα του.

Το αν είναι ασφαλές ή όχι είναι μια πολύ πολύπλοκη ερώτηση. Για το 99,99% των επιθέσεων είναι ασφαλές. Από την άλλη, θεωρητικά, αν η κυβέρνηση των ΗΠΑ ή της Β. Κορέας σε βάλει στο μάτι, θα μπορούσε εκμεταλλευόμενη τα κενά ασφάλειας των επεξεργαστών (με sidettacks ή όπως τις χαρακτηρίζουν τέλος πάντων) να εντοπίσει το encryption key κάπου στη RAM, εκεί που το TPM θεωρητικά παρέχει καλύτερη προστασία. Αλλά δεν υπάρχει ούτε μία στα δέκα εκατομμύρια κάποιος ιδιώτης να ασχοληθεί μαζί σου και να ξοδέψει άπειρα resources για να κάνει κάτι αντίστοιχο.