Subtitles created by Musa Jallow (ITKST56 course assignment at JYU.fi)
Resurssien loppuminen
Hakkerointi TMP:llä
Seuraava puhe on hakkerointi TMP:llä. Älkää kysykö mitä voitte tehdä
TMP:llä. Sen sijaan kysykää mitä TMP voi tehdä sinulle
Ja se toimii tietyllä tavalla johdantona siihen mitä TMP on ja mitä
sillä voi tehdä
Ja vieraileva juontaja on Andreas ja tässä hän on. Antakaa suuret aplodit.
Kiitos
Tervehdys kaikille. Minun nimeni on Andreas. Aion esitellä joitakin asioita
TMP:stä. Tässä on minun GitHub-kahva ja nimi josta voit löytää osan asioiasta
joiden parissa työskentelen
Ja kaikista tärkeimmät lähteet joista puhun on tämä. Näet sen
loppuyhteenvedossa uudestaan
Jotenka, kuka minä olen. Työskentelen TMP:n parissa, jotenka olen
löytänyt jonkun joka on valmis maksamaan minulle työskennelläkseni tämän asian
parissa.
Ja olen jäsenenä luotto tietokoneryhmässä, joka tekee paljon
näiden asioiden määrittelyä
Aloitin työskentelyn TMP:n parissa 13 vuotta sitten, jolloin se oli 1.2.
Yritin saada asiat toimivaan itselleni, mikä ei kuitenkaan onnistunut järjestelmä
ei ollut hyvin ylläpidetty, API oli ikävä
Jotenka 5 vuotta sitten, kun osallistujia rekrytoitiin työskentelmään
TSS 2.0 parissa. Hyppäsin kanin koloon välittömästi
Määrittelyä, kirjoittamista ja mitä muuta TSS toteuttamiseen ja ylläpitoon
tarvittiin.
Github tuli myöhemmin kuvioihin
Tätä lopputulosta aion esitellä teille. Aion käydä läpi esittely lyhyesti
mitä TMP:t ovat
Ja sitten siirrymme kahteen aiheeseen tietojen suojaaminen ja
käynnistyksen suojaaminen. Ja sitten informaatiota siitä miten voit aloittaa
työskentelyn itse
Ja tässä tulee hauska osuus. Jotenka teidän huviksi ja minun
henkilökohtaisen yöllisen adrenaliinin vuoksi ajattelin sisällyttää joitakin
demoja
Se mitä aion nyt tehdä on, että kopion kaiken tämän
Siirryn omistamaani ja luotettavaan virtuaalikoneeseen
Ja tietysti se ei toimi heti
Minun olisi pitänyt avata sudo ensiksi
Aion tehdä live demoja aina välillä
Pyydän, älkää DoS täällä olevaa internettiä tai esitys jää hyvin lyhyeksi
Mitä ovat TMP:t. TMP on turvallisuus-siru joka liitetään emolevyyn
Ja kiitso Microsoftin, kun antoivat TMP:s kaikille halvalla. Koska kiitos
Microsoftin logo-ohjelman jokaisessa kuluttajatietokoneessa on nykyään TMP
Jotenka miksi ei käyttäisi niitä. Ne ovat melko tietoturvallisia. Niissä on
tiety kriteerisertifikaatit joihin voitte luottaa
Tottakai on ollut joitain TMP.failed ja Tanja ja David puhuivat
tästä kaksi, kolmetuntia sitten mikä oli mielenkiintoista
Ja mihin se pystyy? Se pystyy tekemään Cryptoa, varastointia ja tallentamaan boot has -arvoja
Ja se on periaattessa kaikki mihin se pystyy. Jotenka se on täysin
passiivinen laite
Mikä on kaikista tärkein pointti. Ja oikealla näette vanhoja 1.2 versioita.
Nykypäivänä se on paljon pienempi
Ovat TMP:t vaarallisia? Mielestäni olemme kuullet keskusteluja
menneisyydessä, että kongressissa ollaan väitelty molemmista suunnista
TMP:llä oli huono maine kun ne tulivat ensimmäistä kertaa myyntiin
Kuten sanoin ne ovat täysin passiivisia
Ja mitä TMP:t ovat oikeasti niin ne ovat upotettuja älysiruja
Jotenka sinulla on tietynlainen tietoturvaelementti tietokoneessa jota
voit käyttää hyödyksi
Ja sitten on rehellisyys raportointi ja paikkaominaisuudet
Joihin menen vähän tarkemmin myöhemmin
Mutta älä vain ota minun sanaani asiasta vaan ota Richard Stormanin tai
GNU säätiön, koska he määrittelivät että luottamus-alusta-moduuli, joka on
saatavilla tietokoneisiin ei ole vaarallinen ja ei ole syytä sisällyttää
sellaista tietokoneeseen
Sanoisin, että ne ovat saaneet "Storman hyväksyssän"
Ja täten miksi ei vain voisi käyttää niitä
Seuraavaksi siirrytään asian pihviin
Kirjautumistietojen suojaaminen. Kuka täällä käyttää julkista avain
suojausta jollakin tavalla?
Odotan, että kaikki kädet nousevat
Kuka käyttää älykorttia tai "Yubi"-avainta tai TMP:tä suojaamaan
tietoja?
Okei
Ja kuka on optimoinut tämän prosessin ja vain jättänyt alykortin
sinne taikatkaissut osan siitä? Tai käyttäny Yubi-avain nanoa?
Okei. Vain muutama. Teille muutamille tämä on sama suoja minkä
TMP tarjoaa
Ja muille älykortit. Voitte käyttää TMP:tä, koska se on kätevämpi. Lisäksi
teillä on jo se niin miksi ette käyttäisi sitä?
Okei. Mikä on turvallisuus idea kirjautumistietojen suojaamisessa,
joka tulee älykorttien ja TMP:n kanssa saman tyylisesti?
Periaatteessa haluamme jakaa autentikoinnin, todisteen hallussapidosta
ja todisteen tiedosta
Jotenka meillä on kaksi tekijää jotka haluamme saavuuttaa autentikoinnissa
Todiste tiedosta on hyvin suoraviivainen. salasanan tai koodin
laittaminen älykortin avaamiseksi.
Ja todiste hallussapidosta on toinen tekijä. Mitä tämä tärkoitta?
Mitä tarvitset luodaksesi todisteen hallussapidosta tarvitset jotain mikä
ei ole kopioitavissa tai kloonattavissa
Eli se on pääominaisuus mitä älykortti sinulle antaa
Mitä, esimerkiksi pehmeä merkki tai julkinen avain, joka hengailee sinun
kovalevyllä ei anna sinulle
Koska voit vain CPttää sen ja tuoda sen eri koneelle
Ja ajaa sen samaan aikaan monella koneella
Jotenka jos sinulla on jotain mitä ei voi kopioida, voi olla vain yhdellä
henkilöllä ja siten saat lisä turvaa.
Ja tästä tulee erityisen tärkeää kaikissa hakkerointi konferensseissa,
täällä tai BlackHat tai missä ikinä
Koska näissä tapahtumissa olevat ihmiset ovat hyvä tallentamaan
ja selvittämään salasanoja
Jotenka tämä on hyvä argumentti miksi sinulla tulisi olla toinen
ominaisuus
Jotenka todiste hallussapidosta voi olla älykortti tai Yubi-avain nano
voidaan muuttaa todisteeksi hallusapidosta tietokoneella joka
sisältää TMP:n
Jotenka ainoastaan jos jollain on pääsy tähän koneeseen ja tieto koodista.
Nämä kaksi tekijää mahdollistavat autentikoinnin
Tyypillisesti jos olet hakkeroinnin uhri. Tämä on ongelma siinä mitä
todiste hallussapidosta tarkoittaa
Sama kuin jos sinulla on älykortti älykorttilukijassa siinä ajassa kun joku
saa järjestelmäsi haltuun he ovat enemmän tai vähemmän kyvykkäitä
käyttämään sinun kirjautumistietoja
Mutta on kaksi eroa. Ne ovat väliaikaisesti kiinnitettyjä aikaan
joka hakkeroinnissa kestää eli jos siivoat järjestelmän voit jatkaa
työskentelyä normaalisti jälkeenpäin
Toinen asia on, että ei ole mahdollista että hyökkäys, kuten
"kova verenvuoto"
Koska kaikki haavoittuvuudet eivät ole kyvykkäitä saamaan täysiä
oikeuksia. Joskus hyökkäys kuten "kova verenvuoto" voi saada vain tiettyjä
osia haltuunsa
Sinulla ei ole kyseistä ongelmaa jos tietokone ei tiedä avainta ja sitä ei
ole tallennettu RAM:lle tai levylle
Demon aika
Kuinka voit käyttää tätä kirjautumistietojen suojausta?
Yksinkertaisin tapa tehdä se on TPM 2 TSS koneen avulla
TPM ohjelmistoprojektilla
Minun ei pitäisi kertoa siitä täällä
Jotenka asensimme yhden näistä ohjelmistoista aikaisemmin ja se ei
oikeastaan ladannut
Jotta voitte käyttää sitä tarvitsette vain nämä kolme komentoa
ja aion näyttää ne teille nopeasti
Muuten...
En käytä TPM:tä vaan käytän laitteiston TPM:tä
Lähetin sen virtuaalikoneelle
Vaihdetaan virtuaalityöpöydälle
Jotenka mitä teemme ensimmäiseksi?
Ymmärrämme.. nyt se toimii
Luomme avaimen käyttämällä TPM:tä ja seuraava komento luo itse-asetetun
sertifikaatin, ja kuten näette jotka ovat työskennelleet asian parissa niin
ensimmäinen komento on mukautettu komento ohjelmistosta
Toinen on tavallinen OpenSSL luo sertifikaatti komento jossa nimetään
moottori ja avain joka tulee sen mukana
Jotenka aiomme ottaa tämän
Laitetaan se tänne
Olemme Itävallassa nyt
Ketä kiinnostaa
Ja nyt meillä on curl ja curl pystyy yhditämään meidät... toimi nyt. Minun
olisi pitänyt tuoda hiiri
Jotenka curl pystyy käyttämään OpenSSL moottoria ja älä ärsyynny
kautta-kautta epävarmuudesta. Ajan tällä hetkellä EngineX serveriä
isäntäjärjestelmässä
Ja virtuaalikoneenssa käytän curlia autentikoimaan ja käytän
client -autentikointi keskustellakseni EngineX:n kanssa
Ja kuten huomaatte tämä on nettisivu ja ensimmäistä kertaa
ajaessani komennon en meinannut uskoa näkemääni koska se oli niin
nopea ja ajattelin että tein virheen
Jotenka verifioidakseni kaikille teille teen "trace loginnin"
Ja sitten näemme että meillä tapahtuu paljon kommunikointia TPM:n
kanssa
Jotenka käytämme oikeasti TPM:tä tehdäksemme asiakas puolen
autentikointia serverillä
(aploodit)
Kiitos
Seuraava asia. Tämä on.. ensiksi tämä on minun tapani tehdä asioita.
Haluan käyttää TPM:ää kotona ja ehkä tehdä tyypillisiä bash skripti pohjaisia
asioita
ja milloin ikinä teetkään bash skriptiä sinä et halua laittaa salasanaasi
sinne, koska kun pusket skriptit Githubiin muut ihmiset voivat ladata ne
ja käyttää sinun salasanoja
Jotenka tämä on toinen etu näissä
ja toinen asia jota haluan tehdä kotona. Minulla on Internet-
verkkopalvelin, joka on käytännössä käänteinen välityspalvelin EngineX:llä
Se välittää tavarat kotiavustajalle ja muihin paikkoihin
ja haluan pystyä poistamaan tämän jotta pystyn tallentamaan
kirjautumistietoja turvallisesti, jotta seuraavan kerran kun EngineX "heart bleeds" ei se pilaa kaikkea
puolestani
ja EngineX:llä on erittäin helppoa tehdä se
os katsomme tätä sivustoa joka on merkitty tähän. Se on
käytännössä vain oletussivusto
näemme että meidän on lähetettävä sertifikaatti ja
ssh-sertifikaattiavain
voit käyttää tätä avainsanakonetta, joten toivottavasti et koskaan tallenna
avaimesi
ja jos kutsun moottoria siitä tulee ongelman
ja me osoitamme tpm2tss -moottoria
ja koska jonkun ärsyttävän bugin vuoksi EngineX ja ihmiset EngineX
foorumilla ovat puhuneet siitä
en löytänyt hyvää ratkaisua asian korjaamiseksi ja tästä syystä
jouduin määrittelemään moottorin uudestaan täällä
jotenka nyt kun kaikki tämä on kunnossa voimme vain
käynnistää uudelleen
voimme vain käynnistää EngineX:n uudelleen ja tällä kertaa käännämme sen
ympäri. Joten jatkan vain luotetun verkkopalvelimeni isäntäjärjestelmässä
yritä kirjautua siihen
kyllä, koska emme luota sen sertifikaattiin välittömästi yea,
mutta me voimme käyttää TPM:ää autentikoimiseen
jotenka molemmat puolet voivat nyt aloittaa skriptaamisen
Siisitä
Nyt mennään
Okei, joten se on helpoin tapa päästä alkuun kun yrität yhdistää
TPM:n päivittäisiin bash-rutiineihin
seuraavaksi hieman monimutkaisempi tapa tehdä asioita on pkcs11
pkcs11on avoimen ryhmän standardisoitu API, jota Firefox käyttää
esimerkiksi älykorttien kanssa kommunikoimiseen
ja tietysti me myös työskentelemme... kuten nämä yhteisöt ja
teemme jotain sen eteen
meillä on jopa antenneja täällä huoneessa
paljasin heidät
Okei, olemme tällä hetkellä "orc0 face"
Tämä on myös syy siihen miksi on outoa että asennustyökalut eivät
asennu aina kun kutsut niitä asentaaksesi
joten jos yrität ajaa näitä juttuja uudelleen kotoa käsin huomioi näiden
diojen perusteella, että tämä on polku tpmp2-työkalun chekc.git arkistoon
ja ainoa asia, joka todella saa asennuksen on kirjasto jota pkcs11
käytämme myöhemmin
Joka tapauksessa
Otamme nämä muutamat käskyt täällä
ja periaatteessa teemme alustuksen. Ensin laitamme pythonpath-juttuja ja
muuta sellaista
osoitamme tietokannan tallentamiseen kodin alle
alustamme ja lisäämme tokenin joka käytännössä luo uuden älykortin
ja sitten lisäämme avaimen
Okei
katsotaan toimiiko se oikein
Näyttää hyvältä
Joo
ja siinä se meillä on. Loimme juuri älykortin tällä satunnaisella
älykorttitunnuksella, josta sinun ei tarvitse välittää
mitä hienoa tässä on? Olen menossa tähän ongelmaan koska haluan käyttää
sitä todentaakseni ssh:n kautta
koska en tiedä kuinka moni teistä ssh-asiakastodennusta käyttävistä käyttää
allekirjoittavia julkisia avaimia
Eli periaatteessa lähes kaikki
Siistiä
Hakkerikonferenssi
Niin, ja kuka teistä ei suojaa avaintansa salasanalla vaan käyttää
siihen tyhjää salasanaa?
Okei. Teille kaikille tämä saattaa olla mielenkiintoista
joten aiomme kutsua ssh-keygenillä ja mitä se tekee on ainoastaan
Joo
Generoi ssh-avaimen ja te kaikki luultavasti näette tämän
Joten kopioin tämän
ja menee isäntäkoneeseeni
ja nyt menen
lisätty valtuutetut avaimet
ja lisään tämän avaimen
ja palaan virtuaalikoneeseen
Virtuaalinen työpöytä virtuaalisen työpöydän sisällä
Se on kuin "pimp my ride"
Okei, ja sitten voimme kirjautua sisään ssh:lla
ja
tämän pitäisi myös toimia nyt
ja tässä pyydämme PIN-koodia älykorttiin jota alun perin kutsuin
merkiksi
jolle luultavasti löydät paremman nimen
ja nyt olen sisällä
eli se toimii myös
(apploodit)
mutta jotta asiat olisivat vielä siistimpi, mihin muuhun käytämme ssh:tä
no me käytämme sitä tai ainakin minä käytän sitä gitiin
otamme tämän avaimen uudelleen
ja siirrymme Github:iin
ja tämä on minun Github-tili
Nyt menee mielenkiintoiseksi
Lisään tämän ssh-avaimeksi
ja
Kyllä tallennan salasanoja
millään heistä ei ole asiakkaan todennusta...asiakkaan todennustodistus
kanssamme mitä muuta minun pitäisi tehdä
joten asia jota teemme täällä on pohjimmiltaan että periaatteessa luon
tämän siistin shell skriptin joka sisältää ssh-kutsun pkcss11-kirjastolla
ja sitten viemme sen git_ssh -ympäristömuuttujan alle, mikä
tarkoittaa, että ssh:n sijaan
git kutsuu uutta ssh-juttuamme
ja tämä käännetään
kutsumalla pkcss11-palveluntarjoajaa
seuraavaksi kloonataan
ja täällä on uudelleen TPM-invokaatio
Analoginen enemmän TPM kutsu
ja täällä ollaan
ja voimme nyt jopa mennä eteenpäin ja kirjautua ulos haarasta
Luulen, että käytin tätä testeissäni, joten kutsun sitä
Nyt
Ei
Tietysti
Kirjaudutaan ulos uudesta haarasta
git push origin
ja se on puskettu ja voit mennä eteenpäin ja mennä nimiavaruuteeni
Githubissa ja sinun pitäisi nähdä tämän mahtavan TPM-autentikoidun haaran
pusku tuolla
(aplodit)
Okei
kuten sanoin tämä on rc0\. Toivottavasti tulee pari bugia ennen
lopullista julkaisua mutta
äyttää aika käyttökelpoiselta, sanoisin
Okei. Tulen seuraavaan asiaan joka on vielä kovasti työn alla
Tämä on bittilokero Linuxille
ja olen kirjoittanut tämän yli vuosi sitten
ja ryhmässä oli yhdistämispyyntö
ja olemme pohjimmiltaan uudelleen rakentaneet koko asian mutta ajattelin
että olisi hauskaa tuoda tämä työ, jonka tein kauan sitten
Mitä tämä tekee niin perustaa lukot ja krypton
Idea on, että sinulla on äänenvoimakkuusnäppäin, jolla kokonaiset taltiot salataan, ja sitten sinulla on useita avaimia, jotka on tallennettu vetoomuksen lukko-otsikkoon
jossa tämä äänenvoimakkuusavain salataan yleensä avaimella, joka on
syöttämäsi salasanan oikealla puolella
ja tämä sitten näyttää siltä, ​​ mitä näemme täällä keskellä
jossa meillä on tämän tyyppinen avainpaikka nolla
ja niinpä tein tuolloin, että jatkoin näitä
Tämä on json joten jos käytät lukkoa ainakin uusi alimuoto
Sinulla on json ja vetoomuksen otsikot
Se on jotenkin mahtavaa
Helpotti elämääni paljon tuolloin
Meillä on siellä avainpaikka
jotain sellaista ja me otamme äänenvoimakkuusnäppäimen
ja käytämme yhtä TPM:n ei-volutaalista muistitilaa
ja tallennamme äänenvoimakkuusnäppäimen suoraan
sinne ja niin on
ja kyllä vain muuta ei tarvita
ja sitten mitä teemme alustamattomille Luks-otsikoille, tallennamme vain metadataa
sinne ja niin on
Esimerkiksi
Mikä on se "nvindex" numero jonka alle varastoimme tavaraa?
Okei
Demon aika jälleen
ja
joten tämä on haaramme ryhmä josta poistun
ja tulee olemaan
Kokoamalla tämän livenä
Samalla vielä yksi huomautus. Käyttöjärjestelmä jota ajetaan
virtuaalikoneella on vakio Ubuntu-asennus
ja
valitsin juuri tämän salauksen LVM Ubuntun ohjatun asennustoiminnon aikana
ja kuinka koskaan, valitettavasti se käyttää edelleen Luks1:tä tässä
muodossa joten mitä sinun täytyy tehdä asennusmedialle jos haluat tehdä sen
sinun on kutsuttava tämä "cryptsetup conver"
joka muuntaa Luks1-muodon luks2-muotoon
kaiken pitäisi olla nyt valmista
Okei
Kyllä vain. ​​Me kokosimme ja asensimme nyt päivitämme nopeasti
korvaamme cryptolabin joka ei tee sitä kokoajan
ja
seuraava komento jota olemme suorittamassa, ja näette että ainoa ero on komennon "--tpm" lisääminen tähän
Joka. Kyllä
kutsuu käyttämään TPMää
tila sille
ja syötämme olemassa olevan salasanan
syötämme uuden salasanan ja tätä uutta salasanaa käytetään TPMn
todentamiseen
ja
meillä on vain 5 minuuttia, joten hyppään suoraan eteenpäin
Kaiken pitäisi nyt olla kunnossa ja seuraavan uudelleenkäynnistyksen
yhteydessä järjestelmä kysyy minulta
TPM pohjaista salasanaa ja sitten
pääsemme näkemään
joten näemme tässä, että toinen avainpaikka on nyt TPM2-tyyppinen
Okei
Vielä yksi asia jonka haluan esitellä varhaisessa käynnistyksessä
on eheyden tarkistus joka perustuu siihen mitä Matthew Garret puhui "@32c3"
ja tämä on linkki hänen puheeseensa
Kannattaa ehdottomasti käydä katsomassa se
Joten tässä on kyse varhaisen käynnistyksen eheyden varmistamisesta ja
jakamalla salaisuu TPMn ja älypuhelimesi välillä
ja
Kyllä. Tein juuri uudelleentoteutuksen ja aion
esitellä myös sen
Valmistautuessamme siihen on teidän kaikkien aika ottaa älypuhelimet esiin ja
avata ilmainen TOTP-sovellus tai
Google autentikaattori jotta voit varmistaa että kaikki toimii tarkoituksen
mukaisesti
ja tämän olen itse asiassa koonnut valmiiksi
Muuten jos yleisössä on jok, joka on hyvä gtk-gui-suunnittelussa tule
juttelemaan minulle
Tässä näette minun tuotokseni
Okei
Aiomme suojella
Pyörittämällä komennon pcr027 ja tämä varmistaa jokaisen käynnistyksen
yhteydessä että tämä PCR-arvo on
olivat samat kuin nyt kun käännämme tätä järjestelmää joten se tarkoittaa
että jos sinulla on ydinpäivitys tai
tai päivitä sisäinen RDM jälkeenpäin PCR-arvot vaihtelevat joten
sinun täytyy käydä läpi tämä prosessi uudelleen
Joten kaikki ovat skannatneet tämän toivottavasti omassa ilmaisessa TOTPssaan
tai Google autentikaattorilla
sitten voimme jatkaa ja voimme itse asiassa aloittaa järjestelmän
uudelleenkäynnistyksen
ja toivottavasti tämä toimii nyt
koska monimutkaisin osa kaikissa näissä demoissa oli itse asiassa
etäasetus "crap"n ja "implens"sin välillä.
uskokaa tai älkää
Okei ja näytöllä on tämä numer, joka on todella suuri
828688\. Pitikö tämä paikkansa?
Yleisö: Kyllä
Hienoa
(aplodit)
ja toinen asia jonka teen nyt erittäin suojatun salasanan sijaan ja
kirjoitan 1234
Teidän täytyy uskoa minua ja mikä on TPM-salasana
ja se itseasiassa käynnistyy käyttäen TPMää
Mikä on
Tässähän se on
joten se toimii myös Luksien kanssa
Okei
Toivottavasti tämä antoi teille vaikutelman mitä voitte tehdä TPMllä
jo tänään
Jos haluat liittyä kehitykseen mukaan, liittyä hackroom-juttuihin tämä
sivusto sisältää yhteisösivumme
Missä meillä on gitter joten voit tulla puhumaan meille, minulle ja
muille kehittäjille
Voit katsoa niitä kahta otsikkotiedostoa jotka ovat tärkeimmät
tällä hetkellä joten se on aivan uutta
Julkaisimme sen juuri tai yhdistimme sen juuri masteriin
Muistaakseni viikko sitten
Olkaa hyvä ja katsokaa, testatkaa sitä
Katsokaa myös
työkalut. Kaikki työkalut jotka alkavat kirjaimella tpm2_ ovat
periaatteessa"esapi" tai "eses" peilejä ja kaikki työkalujen etuliite tss_ ovat
yksi yhteen "thappy" -sovituksia
ja tässä on vielä yksi pro vinkki kun kehität ja jokin epäonnistuu yhtäkkiä
se liittyy yleensä TPM-resurssien loppumiseen
ja tämä komento siellä alhaalla jäädyttää TPMn sisäisen RAMin uudelleen
jotta voit jatkaa työskentelyä
Okei
Kiitos
"Kysymysten aika"
Kiitos
Se oli Andreas
Ja nyt on kysymysten aika. Meillä on kysymyksiä internetissä ja meillä on
kysymyksiä täällä
Ja
Katsokaa. Teillä kahdella on sama paita
Hieno paita research exhaustion
Okei, voisimme aloittaa numerosta neljä
Henkilö yleisöstä: Okei. Oletetaan että sinulla on salausavaimet TPMssä ja
hallituksesi vaikuttaa jollain tavalla TPMn tarjoajaan
Henkilö yleisöstä: Joten ehkä voisi olla jokin tapa saada salausavain joten
tämä ei ole hyvä lähestymistapa joten olisi mukavampaa antaa sinulle iso lihava
mandaatti saadaksesi avaimet
Henkilö yleisöstä: ja siellä on joitain muita avaimi jotka ovat TPMssä
joten sinulla on oltava molemmat jotta v oit salata tavarasi
Henkilö yleisöstä: joten se pitäisi tehdä näin. Jotta ei voida sanoa että
henkilöä kidutetaan salauksen avaamiseksi
Henkilö yleisöstä: tiedot toisella tietokoneella koska sillä on eri
TPM salaisuuteen
Henkilö yleisöstä: joten sinulla pitäisi olla todellinen kaksiosainen
todennus ilman näitä avaimia TPMssä koska en luottaisi siihen
Okei. Riippuu vainoharhaisuudestasi mutta se on varmasti hyvä idea
Kiitos
Vain kysymyksiä. Ei kommentteja
En pahastu
Kysymyksiä. Tämä on sääntö.
Numero kaksi
Henkilö yleisöstä: Minun on käytettävä Windowsia joka on salattu
"bitlockerilla" ja toisella sijalla
Henkilö yleisöstä: Kuinka todennäköistä on että bitlockerin
tunnistetiedot tuhotaan tahattomasti näiden työkalujen kanssa
työskennellessäni?
Se riippuu paljolti siitä mitä työkaluja käytät ja mihin tarkoitukseen
Tässä käyttämäni työkalut ja kaikki mitä näytin eivät asenna
estäviä avaimia
Luulen että oikeastaan pkcs11 asentaa presistan-avaimia, joten se
kuluttaa osan resursseistasi ja myös crypto-jutuistasi
ja huippujutut vievät jonkin verran "envy" -tilaa, ja jos uskot kuinka
paljon TPM-resursseja Windows haluaa vaatia itselleen saatat törmätä ¨
resurssien loppumiseen.
Mutta ei ole muita avaimia joita nämä työkalut tai demot poistavat
Eli voit mennä huoletta ja käyttää noita
Okei. Kiitos.
Ehkäpä meillä on kysymys internetistä
Henkilö yleisöstä: Joo muut laitteisto tokenit kuten "ubi-avain"
heillä saattaa olla esimerkiksi painike jota sinun täytyy painaa saadaksesi
jonkinlaisen todisteen läsnäolosta jotta ohjelmisto ei voi käyttää sitä
Henkilö yleisöstä: taustalla ilman että tiedät siitä
Henkilö yleisöstä: Kuinka tehdä sama käyttäen TPMää?
Tällä hetkellä ei pysty
Mutta toivon tai olen toivonut että TPM voisi käyttää lediä kymmenen
vuoden päästä
Todennäköisemmin näemme jossain vaiheessa tulevaisuudessa joitain
gpio-käyttöisiä TPM-laitteita ja riippuen siitä mitä voimme tehdä niillä
mahdollisesti pystymme sisällyttämään tämän
tai saman tyylisiä ominaisuuksia tulevaisuudessa
mutta toistaiseksi uskon että on ollut vain tutkimusprototyyppejä joita
olen itse päässyt toteuttamaan TPMlle "cortex-r3" -laitteessa
"gpion" hyödyllisyyden osoittamiseksi suoraan tpm:stä.
Mutta se on ensin kehitettävä
Okei. Kiitos
Numero viisi kiitos
Henkilö yleisöstä: Kyllä. Moi
Henkilö yleisöstä: Voitko toteuttaa tämän universumin jatko-osan syötettynä
edelleen TPMlle? Aiotteko tehdä sen?
Kyllä ja ei. Voit toteuttaa osia fidosta käyttämällä TPMää joka on
salauksen perustoiminto mutta fido sisältää myös mukautettuja tietomuotoja
joita yleensä käsitellään myös fido-tunnuksella
jossa sinulla on laskureita, jotka lisäävät jotain sellaista
jota TPM ei tallenna sisäisesti koska TPM ei tiedä fido-tietorakenteista
ja päinvastoin
Kuitenkin fido2lle mielestäni oli tämäTPM-metastaattinentila
mutta se olisi jonkun toteutettava
Haluatko aloittaa työskentelyn sen parissa tule puhumaan minulle ja olen
varmasti apunasi
Joten tekemistä on paljon ja kyllä
Jos joku teistä etsii tekemistä
Voit vain mennä eteenpäin ja katsoa tätä github.io-yhteisösivua jos siirryt
ohjelmistoon
välilehti yläreunassa ja vierität alas
on luettelo ohjelmista. Aloitamme siis ohjelmista joilla on jo TPM-tuki
ja sitten meillä on
vielä pidempi lista ohjelmista joissa oli TPMn suunnitteilla. On myös
paljon asioita kuten
Weboht ja Cryptoki ja vaikka mitä muita missä toivoisin näkevän TPM tuen
Jopa niinkin yksinkertainen kuin "gpt"
Mikä. Kyllä.
Okei. Numero kaksi kiitos
Henkilö yleisöstä: Kuinka monta erilaista avainta tai älykorttia voit
tallentaa TPMään?
Henkilö yleisöstä: Onko se vain yksi vai voitko tallentaa useampia?
On hienoa, että TPMn perusperiaate on että TPM tallentaa vain hyvin
vähän avaimia
yleensä se on vain yksi tässä tapauksessa
ja sitten kaikki muut avaimet salataan tällä avaimella ja tallennetaan
kiintolevylle
Tällä pkcs11llä joka meillä on täällä sinulla voi olla niin monta
avainta kuin sinulla on vapaata kiintolevytilaa
tai niin monta avainta "sql-lite" -työkalun avulla voit
tallentaa tietokantaan
Kiitos. Numero neljä kiitos.
Henkilö yleisöstä: Hei. kiitos esityksestä. Minulla on ytimen
päivityksiin liittyvä kysymys
Jos päivitän ytimeni voinko mitata mikä kernal on seuraavassa
käynnistyksessä
ja kertoa TPMlleni että tämä uudelleensinetöi tällä hetkellä sinetöidyt
avaimet tuleville ptr-arvoille,joita sen pitäisi odottaa seuraavassa
käynnistyksessä?
Teoriassa ehdottomasti kyllä
Se on täysin yksinkertaista joten tutkija kertoo sinulle että se
ei ole haaste
Insinööri sen sijaan kertoo että tämä on eräänlainen ongelma
ja
ongelma on että sinun on jotenkin tiedettävä viitearvot
etukäteen ja sitten sinun on laskettava uudelleen koko siihen m
ennyt mittausketju
joten tässä on kyse lähestymistavasta
referenssi- ja eheysmittausjakelu että Linux-promot -konferenssissa oli
osio jossa tätä ongelmaa käsiteltiin
Jotenka tämä on siis
Lähinnä infrastruktuuriongelma
pikemminkin kuin itse asiassa TPMn ongelma
tai TPMn-perusohjelmiston
Okei. Kiitos.
Joten meillä on vielä yksi minuutti joten olen erittäin pahoillani emme voi
ottaa enempää kysymyksiä huoneesta
mutta minulla on vielä yksi kysymys internetistä
Henkilö yleisöstä: Jos en luota TPMään ja koneeseeni voinko saada
toisenlaisen luotettavalta palveluntarjoajalta? Ovatko ne y
hteensopivia siinä mielessä?
Kyllä. Tietääkseni heillä on yhteensopiva pin-out ja yhteensopiva
cpi-protokolla ja
se on hieno asia että
ne ovat yhteensopivia
Varmasti
Eteenpäin
Paitsi ehkä intel ttp ftp joka toimii hallintamoottorilla
Niillä tietysti jos myit ne RITllä ei ole niillä ole enään IOta
Okei. Kiitos paljon.
Jos haluat ottaa yhteyttä Andreaan mene verkkosivustolle. Olette nähneet
sen aikaisemmin
ja kiitos
ja ehkä vielä yhdet raikuvat aplodit Andreakselle
(aplodit)
Kiitos
Subtitles created by Musa Jallow (ITKST56 course assignment at JYU.fi)