Maskinvaresikkerhet: TPM, Secure Boot og diskkryptering

TPM 1.2 støtter bare RSA-1024 og SHA-1, som nå regnes som svake. TPM 2.0 (gjeldende standard, påkrevd av Windows 11) støtter moderne algoritmer: RSA-2048, ECC P-256, SHA-256, AES-128/256 samt algoritmefleksibilitet (nye algoritmer kan legges til). TPM 2.0 støtter også flere hierarkier (endorsement, storage og platform) som muliggjør mer detaljert kontroll. Virksomheter bør sørge for at alle enheter bruker TPM 2.0 som grunnleggende maskinvaresikkerhetsforankring.

Secure Boot er en UEFI-fastvarefunksjon som verifiserer den kryptografiske signaturen til hver programvaredel i oppstartskjeden før den kjøres — UEFI-drivere, oppstartslaster og operativsystemkjerne. Bare programvare som er signert med nøkler i fastvarens Secure Boot-database, får kjøre. Dette hindrer bootkits (skadevare som infiserer MBR eller oppstartslasteren og lastes inn før operativsystemets sikkerhetsprogramvare) og hindrer uautoriserte operativsysteminstallasjoner i å forbli på enheten.

BitLocker er Microsofts verktøy for kryptering av hele volumer, integrert i Windows 10/11 Pro og Enterprise. BitLocker krypterer hele disken med AES-128 eller AES-256 i XTS-modus. Uten gjenopprettingsnøkkelen (lagret i Active Directory eller Azure AD) eller riktig PIN-kode/passord ved oppstart er de krypterte dataene utilgjengelige — selv om disken fjernes og kobles til et annet system. Når BitLocker brukes sammen med TPM, forsegler det volumets hovednøkkel til bestemte PCR-verdier, oppdager manipulering av oppstartsprosessen og krever manuell gjenoppretting hvis dette oppdages.

FileVault 2 er Apples full diskkryptering for macOS og bruker XTS-AES-128-kryptering støttet av Apple T2-brikken eller Secure Enclave i Apple Silicon. FileVault krypterer hele oppstartsvolumet og krever brukerens innloggingspassord for å låse det opp ved oppstart. Krypteringsnøkkelen er knyttet til brukerens konto — gjenopprettingsnøkler i iCloud gjør dekryptering mulig hvis passordet blir glemt. FileVault er avgjørende for Mac-bærbare i virksomheter, særlig fordi MacBook-enheter ofte mistes eller blir stjålet på konferanser og flyplasser.

Selvkrypterende disker (SED-er) utfører kryptering i diskens maskinvarekontroller — kryptering og dekryptering skjer på disknivå og er transparent for operativsystemet. SED-er følger Opal Storage Specification (TCG Opal). Når disken slås av, låses dataene automatisk og kan bare låses opp med riktig Authentication Key (AK). SED-er gir ytelsesfordeler sammenlignet med programvarekryptering (ingen CPU-belastning) og funksjonalitet for kryptografisk sletting — tilbakestilling av krypteringsnøkkelen gjør alle data uleselige umiddelbart og muliggjør øyeblikkelig sikker sletting når disker tas ut av drift.

Et cold-boot-angrep utnytter at DRAM beholder data i sekunder til minutter etter strømtap. Angripere sprayer flytende nitrogen for å forlenge lagringstiden, starter deretter et live-operativsystem for å lese minnedumpen og hente ut krypteringsnøkler fra RAM. Beskyttelsestiltak omfatter: TPM + PIN (nøkkelen ligger i TPM og eksponeres ikke i RAM før PIN-koden er angitt), minnekryptering (Intel TME eller AMD SME krypterer RAM-innholdet i minnekontrolleren), krav om fysisk PIN-inntasting ved oppstart slik at en stjålet, avslått bærbar ikke har nøkler i RAM, samt funksjoner for forsinket tømming av minnet i moderne UEFI, som nullstiller RAM før oppstart.

Measured Boot bruker TPM til å registrere hasher av hver oppstartskomponent i PCR-er og oppretter en manipuleringssikker logg over oppstartsprosessen. Fjernattestering sender disse PCR-målingene til en ekstern attesteringsserver, som verifiserer at systemet startet med bare klarerte og uendrede komponenter. Virksomhetsteknologier som Microsoft Attestation Service, Microsoft Pluton og Intel TXT implementerer fjernattestering. Zero Trust-plattformer bruker attesteringsrapporter som et signal om enhetens tilstand i Conditional Access-policyer — enheter i ikke-klarerte tilstander utløser ytterligere autentiseringsutfordringer.

Endepunktkryptering må også omfatte flyttbare medier — USB-stasjoner, eksterne harddisker og SD-kort som tas ut av det kontrollerte miljøet. BitLocker To Go (Windows) krypterer flyttbare disker med passord eller smartkort. macOS Disk Utility kan opprette krypterte diskavbildninger. DLP-policyer i virksomheten kan håndheves på operativsystemnivå for å kreve kryptering på alle USB-lagringsenheter som kobles til bedriftens endepunkter — ukrypterte USB-stasjoner blokkeres fra å motta data. Dette hindrer datatap når en USB-stasjon mistes eller blir stjålet.

Sikkerheten ved full diskkryptering avhenger helt av riktig nøkkelhåndtering. Gjenopprettingsnøkler må lagres sikkert og separat fra den krypterte enheten — en organisasjon som mister alle kopier av gjenopprettingsnøklene, har i praksis mistet tilgangen til de krypterte dataene permanent. Anbefalt praksis er å lagre BitLocker-gjenopprettingsnøkler automatisk i Active Directory / Azure AD via Group Policy, sikkerhetskopiere FileVault-gjenopprettingsnøkler til MDM (Jamf/Intune), bruke Hardware Security Modules (HSM-er) til håndtering av virksomhetens nøkler i stor skala og teste gjenopprettingsprosedyrer kvartalsvis.

I denne leksjonen har De lært at TPM gir en maskinvarebasert sikkerhetsforankring som forsegler krypteringsnøkler til bestemte oppstartstilstander, at Secure Boot verifiserer den kryptografiske signaturen til hver oppstartskomponent for å blokkere bootkits, og at BitLocker med TPM+PIN kombinerer maskinvarebasert nøkkelbeskyttelse med autentisering før oppstart for å beskytte mot både tyveri av disker utenfor drift og evil-maid-angrep. Neste tema er planlegging av virksomhetskontinuitet og katastrofegjenoppretting — for å sikre at driften overlever større avbrudd.