Composant Cryptographique TPM Retours d exp rience

1. Composant Cryptographique TPMRetours d�exp�rience 03/05/2012 1 FRIFRI

2. Plan de l�expos� Revue du TPM et de ses services intrins�ques Positionnement dans une architecture x86 Architecture du composant (modules crypto, m�moire prot�g�e,�) Pile logicielle utilisatrice Services intrins�ques (stockage s�curis�, scellement de donn�es, mesure,�) Services de haut niveaux associ�s au composant Mesure du poste client Attestation distante Gestion des cl�s et des certificats Retours d�exp�rience sur quelques applications utilisatrices Strat�gie de tests Analyse de TrouserS, Trusted Grub, IMA, eCryptfs Conclusion 03/05/2012 2 FRI FRI

3. Positionnement du TPM 03/05/2012 3 Puce crypto esclave connect�e au bus LPC Principaux constructeurs (Infineon, Atmel, Broadcom, Intel, etc.) Soud�e ou non � la carte m�re Possibilit� d�int�gration dans le southbridge des CM Intel r�centes (chipset ICH10) FRI Composant esclave : n�agit pas de son propre chef. Il est pilot� par une application Infineon et Atmel sont tr�s utilis�s dans le monde du logiciel libre BUS LPC < Southbridge < Processeur Prix d�une puce =5$ 150 Millions de PC �quip�s en 2008 250 Millions de PC en 2010(90% du March�) FRI Composant esclave : n�agit pas de son propre chef. Il est pilot� par une application Infineon et Atmel sont tr�s utilis�s dans le monde du logiciel libre BUS LPC < Southbridge < Processeur Prix d�une puce =5$ 150 Millions de PC �quip�s en 2008 250 Millions de PC en 2010(90% du March�)

4. Architecture interne du TPM 03/05/2012 4 Les sp�cifications TCG pr�voient : Le durcissement de la Puce : Protection logicielle face � la force brute Protection mat�rielles contre les attaques intrusives et non intrusives G�n�rateur d�al�a Effacement d�urgence Communications internes chiffr�es 16/24 Registres PCR de 160 bits, pouvant accueillir des mesures SHA-1 Taille des cl�s obligatoire pour le RSA <= 2048 bits FRI M�moire : volatile ou non Dans la non volatile : SRK, EK, AIK M�moire volatile : Cl�s charg�es en m�moire pour �tre utilis�es SRK : Storage Root Key EK : Endorsement Key (2048 bits) AIK : Attestation Identity Key (2048 bits) signature FRI M�moire : volatile ou non Dans la non volatile : SRK, EK, AIK M�moire volatile : Cl�s charg�es en m�moire pour �tre utilis�es SRK : Storage Root Key EK : Endorsement Key (2048 bits) AIK : Attestation Identity Key (2048 bits) signature

5. Services intrins�ques Gestion des cl�s (Cr�ation, utilisation et protection de cl�s crypto) (D�) Chiffrement asym�trique de cl�s de session (D�) Chiffrement conditionn� � l��tat des registres PCR (scellement) Signature RSA de cl�s et des registres PCR V�rification de signature RSA Stockage chain� dans les PCR de condens�s SHA-1 de donn�es G�n�ration d�al�a 03/05/2012 5 FRI Scellement Les op�rations chiffrement sont fait � l�int�rieur du TPM Pas de service de chiffrement sym�trique mis � disposition des applicationsFRI Scellement Les op�rations chiffrement sont fait � l�int�rieur du TPM Pas de service de chiffrement sym�trique mis � disposition des applications

6. Avantages / Inconv�nients Op�rations crypto (RSA/SHA-1/HMAC/�) r�alis�es � l�int�rieur du TPM Stockage s�curis� des cl�s priv�es dans le TPM Protection mat�rielle et logicielles contre les attaques intrusives et non intrusives (selon les sp�cifications) En dehors des sp�cifications fonctionnelles publiques, l�impl�mentation est de type boite noire (quid de la g�n�ration d�al�a�) 03/05/2012 6 FRI FRI

7. Communications avec le TPM 03/05/2012 7 Les applications s�appuient sur la pile TPM Software Stack (TSS) qui prend en charge : La communication avec la puce de type challenge r�ponse La synchronisation des diff�rentes requ�tes La gestion des cl�s L�authentification Pilotes TPM diff�rents suivant le fabricant, disponibles sous Windows / Linux Protections offertes entre la puce et la TSS Authorization Protocol : protection en int�grit� + authentification mutuelle TPM/Utilisateur Transport Sessions (TPM 1.2) : protection en confidentialit� FRI Op�ration de hachage et de chiffrement sym�trique TSS : verts clairs, le pilote ne fait pas partie de la TSS Donn�es AUTH sont des SHA1 TPM mono t�che. TSS permet de synchroniser les diff�rentes requ�tes. FRI Op�ration de hachage et de chiffrement sym�trique TSS : verts clairs, le pilote ne fait pas partie de la TSS Donn�es AUTH sont des SHA1 TPM mono t�che. TSS permet de synchroniser les diff�rentes requ�tes.

8. Service de haut-niveaux Mesure du poste client : vue d�ensemble Objectif : mesurer l�int�grit� d�un poste client depuis la phase de boot et �tablir une chaine de confiance Le processus de mesure est initi� par le CRTM : racine de confiance pour la mesure 03/05/2012 8 GGX Transitivit� des mesures Mesurer l�int�grit� pour �tre v�rifier ult�rieurement Fichier SML : pour r�colter les mesures Probl�me : comment s�assurer que les mesures sont int�gres et non falsifi�es ?GGX Transitivit� des mesures Mesurer l�int�grit� pour �tre v�rifier ult�rieurement Fichier SML : pour r�colter les mesures Probl�me : comment s�assurer que les mesures sont int�gres et non falsifi�es ?

9. Service de haut-niveaux Mesure du poste client Principe de la mesure : Processus d�extension d�un registre PCR : Permet de chainer l�ensemble des mesures Et donc de v�rifier l�int�grit� du fichier SML Le processus se focalise sur la mesure et le stockage s�curis� des mesures : pas d�attestation par un tiers 03/05/2012 9 GGX Qu�est-ce qu�une mesure ? SHA1 PCR : Platform Configuration Register SML : Stored Measurement Log A quoi servent les PCR ? � valider l�int�grit� des mesures stock�es dans le SML Chaque mesure est associ�e � un registre PCR La v�rification se fait un r�alisant le processus d�extension des mesures concern�es par un registre PCR et en comparant le r�sultat avec le registre PCR PCR sont volatiles !!! Initialis�s � chaque d�marrage de la machineGGX Qu�est-ce qu�une mesure ? SHA1 PCR : Platform Configuration Register SML : Stored Measurement Log A quoi servent les PCR ? � valider l�int�grit� des mesures stock�es dans le SML Chaque mesure est associ�e � un registre PCR La v�rification se fait un r�alisant le processus d�extension des mesures concern�es par un registre PCR et en comparant le r�sultat avec le registre PCR PCR sont volatiles !!! Initialis�s � chaque d�marrage de la machine

10. Service de haut-niveaux Mesure du poste client : Objectif d�un attaquant Hypoth�se de l�attaque : le CRTM est de confiance S�curit� du sch�ma ~ S�curit� de SHA-1 (collision en 263 ) 03/05/2012 10 FRI Raisonnement sur un registre donn� Soit un �l�ment logiciel mesur�FRI Raisonnement sur un registre donn� Soit un �l�ment logiciel mesur�

11. Mesure du poste client 03/05/2012 11

12. Service de haut-niveaux Attestation distante (principe) Offre l�opportunit� � un tiers distant de v�rifier l��tat d�une plateforme G�n�ration pour chaque v�rifieur de cl�s filles RSA AIKi d�attestation d�identit� (sign�e par EK) 03/05/2012 12 FRI Principe : envoyer le fichier SML avec les registres PCR sign�s par une AIK Pourquoi une AIK ? Pour �viter d�exposer l�EK. L�int�grit� et la provenance des registres PCR est assur�s par la signature AIK Le v�rifieur peut v�rifier l�int�grit� du fichier SML Le v�rifieur peut ensuite jug� si les �l�ments logiciels mesur�s sont valides ou non � partir de la mesure FRI Principe : envoyer le fichier SML avec les registres PCR sign�s par une AIK Pourquoi une AIK ? Pour �viter d�exposer l�EK. L�int�grit� et la provenance des registres PCR est assur�s par la signature AIK Le v�rifieur peut v�rifier l�int�grit� du fichier SML Le v�rifieur peut ensuite jug� si les �l�ments logiciels mesur�s sont valides ou non � partir de la mesure

13. Service de haut-niveaux Attestation distante. Deux types de protocole : v1.1 : Protocole avec AC priv�e pour la certification des AIKi. Probl�mes : Anonymat. Collusion entre AC priv�es et v�rifieurs Disponibilit�. Gestion du r�seau d�AC v1.2 Protocole DAA (Direct Anonymous Attestation) Principe : Protocole zero-knowledge. Aucune information sur l�identit� du TPM n�est d�voil�e. Pas d�impl�mentation fonctionnelle du protocole pour l�instant 03/05/2012 13 FRI Deux protocoles permettant de r�aliser l�attestation distante FRI Deux protocoles permettant de r�aliser l�attestation distante

14. Trousseau de cl�s 03/05/2012 14 Principaux types de cl�s RSA : Cl� de signature Cl� de chiffrement Cl� de scellement / stockage Certaines cl�s ne sont pas transf�rables d�une plateforme � une autre (EK, AIK, SRK) du fait du principe d�unicit� du TPM Chaque cl� est prot�g�e (scell�e) par une cl� m�re (principe de hi�rarchisation des cl�s) La cl� racine (SRK : Storage Root Key) peut prot�ger une infinit� de cl�s stock�es � l�ext�rieur du TPM (cf. sch�ma) L�utilisation d�une cl� peut �tre conditionn�e : A la connaissance de son mot de passe A la connaissance du mot de passe de la cl� parente A l��tat des registres PCR FRI Les clefs sont utilis�es dans le TPM Les clefs sont stock�es chiffr�s sur le disque dur Clefs migrables Donn�es d�auth -> SHA-1 Au niveau de la TSS plusieurs choix sont possibles : SHA1, clair, UNICODEFRI Les clefs sont utilis�es dans le TPM Les clefs sont stock�es chiffr�s sur le disque dur Clefs migrables Donn�es d�auth -> SHA-1 Au niveau de la TSS plusieurs choix sont possibles : SHA1, clair, UNICODE

15. Retours d�exp�rience Strat�gie de test Trusted Grub Integrity Measurement Architecture (IMA) Trousers eCryptfs 03/05/2012 15 FRI FRI

16. Strat�gie des tests Strat�gie de tests inspir� du sch�ma d��valuation CSPN M�thodologie privil�giant l�expertise technique Evaluation en temps contraint Etapes de l�analyse Description des fonctionnalit�s, de l�environnement d�utilisation et de s�curit� Analyse de la conformit� Analyse de la r�sistance Analyse des vuln�rabilit�s Remarque : La r�alisation d�attaques mat�rielles ne figurait pas dans le p�rim�tre des tests (SPA, DPA, HO-DPA). 03/05/2012 16 FRI FRI

17. Trusted Grub Grub modifi� afin de r�aliser des mesures au d�marrage Trusted Grub mesure : Lui � m�me (stage 1.5 et stage 2. Le stage 1 (MBR) est mesur� par le BIOS) Le fichier de configuration de Grub Le noyau et le syst�me minimal initial (initrd) Possibilit� de d�signer des fichiers � mesurer Remarques importantes : Trusted Grub n�assure qu�un service de mesure Pas de v�rification des mesures effectu�es Erreur de programmation trouv�e dans l�analyse : Processus d�extension non r�alis� 03/05/2012 17 GGX Il existe plusieurs branches de Trusted GrubGGX Il existe plusieurs branches de Trusted Grub

18. IMA Patch du noyau Linux, d�velopp� par IBM Permet � l�OS de mesurer automatiquement � l�ex�cution : Les ex�cutables Les pilotes Les librairies partag�es Offre une interface de mesure pour les applications Transparent pour l�utilisateur IMA peut D�tecter les changements d�int�grit� des binaires D�tecter les violations d�int�grit� 03/05/2012 18 GGX GGX

19. IMA Principe de la violation de l�int�grit� pour IMA 03/05/2012 19 GGX GGX

20. IMA Bilan: IMA se focalise sur la mesure Pas de m�canismes de v�rification des mesures par rapport � une base de r�f�rence Pas de prise de d�cision Il s�agit d�une brique du m�canisme d�attestation de la plateforme, pas d�une solution compl�te N�cessite une application tierce pour interpr�ter les r�sultats d�IMA Quelque bogues � 03/05/2012 20 GGX GGX

21. Trousers TSS libre sous Linux (http://trousers.sourceforge.net) Version actuelle : 3.1 Impl�mente � 85% les sp�cification 1.2 Analyse selon une m�trique de cotation d�API cryptographique: Ind�pendance vis-�-vis des algorithmes Ind�pendance vis-�-vis du module cryptographique Degr� d�expertise cryptographique Contr�le de flux Partage de charge, gestion de l�asynchronisme 03/05/2012 21 FRI FRI

22. Trousers Bilan : D�di�e au pilotage d�un TPM (pas de r�utilisation possible avec un composant tiers) Impl�mentation de la pile bien avanc�e (reste principalement le DAA) S�apparente plus � un prototype qu�� une API finalis�e Pas de protection contre les principales attaques de la litt�rature Application : API Hooking afin de r�cup�rer des informations sensibles : Mot de passe de la clef SRK Clef sym�trique utilis�e 03/05/2012 22 FRI FRI

23. eCryptfs Couche de chiffrement au niveau du syst�me de fichiers Une clef de chiffrement sym�trique par fichier Chaque clef sym�trique est scell�e par le TPM 03/05/2012 23 GGX GGX

24. eCryptfs Chiffrement conditionnel Acc�s au syst�me de fichier conditionn� � l��tat de la machine Authentification avec la puce du TPM non conforme des sp�cifications du TCG Outil d�expert : requiert des connaissances approfondies du fonctionnement du TPM : choix des registres PCR � utiliser pour le scellement. Il s�agit d�un choix crucial ! Quelques bogues � Pas assez mature pour une utilisation dans un environnement de production 03/05/2012 24 GGX GGX

25. Conclusion Technologie prometteuse pour la s�curisation des architectures PC Services cryptographiques mat�riels et logiciels � bas co�ts Attestation distante avec service d�anonymat Technologie souffrant n�anmoins de probl�mes de maturit� Non-conformit� des applications par rapport aux sp�cifications Probl�me de compatibilit� mat�rielle de certains composants Opacit� des sp�cifications (manque un niveau de sp�cification formel) 03/05/2012 25 FRIFRI

26. Questions ? 03/05/2012 26

27. Annexe 03/05/2012 27

28. Synoptique de Trusted Grub 03/05/2012 28

29. Exemple de contenu des PCR 03/05/2012 29

30. IMA � Fichier SML 03/05/2012 30

31. IMA � Processus de mesure 03/05/2012 31

32. Processus de certification 03/05/2012 32 Principe de certification chain�e Ex: VeriSign -> Infineon -> HP -> TPM La concordances des signatures est v�rifi�e lors du m�canisme d�attestation distante, afin de s�assurer que les donn�es sign�es proviennent d�un TPM physique conforme aux sp�cifications du TCG G�n�ration de la cl� EK (Endorsment Key) lors de l�int�gration du TPM sur la carte m�re Cr�ation d�un certificat contenant la signature de l�EK Ce certificat est livr� avec le TPM Les autres certificats (Infineon, VeriSign) sont disponibles sur internet : http://www.infineon.com/cms/en/product/channel.html?channel=ff80808112ab681d0112ab692060011a

33. D�monstration 03/05/2012 33

34. D�monstration 03/05/2012 34

35. V�rification locale du fichier SML Absence de m�canisme de v�rification dans IMA,Trusted Grub Script d�velopp� par Amossys Permet de v�rifier la coh�rence des mesures Ne permet pas de valider l�int�grit� d�une application (n�cessiterait une mesure de r�f�rence) 03/05/2012 35 GGX GGX

36. Mesure du poste client 03/05/2012 36 GGX GGX