Hardwarebeveiliging: TPM, Secure Boot en schijfversleuteling

TPM 1.2 ondersteunt alleen RSA-1024 en SHA-1, die nu als zwak worden beschouwd. TPM 2.0 (de huidige standaard, vereist door Windows 11) ondersteunt moderne algoritmen: RSA-2048, ECC P-256, SHA-256, AES-128/256 en algoritmische flexibiliteit (nieuwe algoritmen kunnen worden toegevoegd). TPM 2.0 ondersteunt ook meerdere hiërarchieën (endorsement, storage en platform), waarmee een fijnmazigere controle mogelijk wordt. In omgevingen van ondernemingen moet je ervoor zorgen dat alle apparaten TPM 2.0 gebruiken als basishardware voor de vertrouwensbasis.

Secure Boot is een UEFI-firmwarefunctie die de cryptografische handtekening verifieert van elk softwareonderdeel in de opstartketen voordat het wordt uitgevoerd — UEFI-stuurprogramma's, de bootloader en de kernel van het besturingssysteem. Alleen software die is ondertekend met sleutels in de Secure Boot-database mag worden uitgevoerd. Dit voorkomt dat bootkits (malware die de MBR of bootloader infecteert en wordt geladen voordat de beveiligingssoftware van het besturingssysteem start) en ongeautoriseerde installaties van besturingssystemen op het apparaat actief blijven.

BitLocker is het hulpprogramma van Microsoft voor versleuteling van volledige volumes, geïntegreerd in Windows 10/11 Pro en Enterprise. BitLocker versleutelt de volledige schijf met AES-128 of AES-256 in XTS-modus. Zonder de herstelsleutel (opgeslagen in Active Directory of Azure AD) of de juiste pincode/het juiste wachtwoord bij het opstarten zijn de versleutelde gegevens niet toegankelijk — zelfs niet wanneer de schijf wordt verwijderd en op een ander systeem wordt aangesloten. In combinatie met TPM verzegelt BitLocker de hoofdsleutel van het volume aan specifieke PCR-waarden, waardoor geknoei met het opstartproces wordt gedetecteerd en bij detectie handmatig herstel vereist is.

FileVault 2 is Apple's volledige schijfversleuteling voor macOS, met XTS-AES-128-versleuteling die wordt ondersteund door de Apple T2-chip of de Secure Enclave van Apple Silicon. FileVault versleutelt het volledige opstartvolume en vereist het inlogwachtwoord van de gebruiker om het volume bij het opstarten te ontgrendelen. De versleutelingssleutel is gekoppeld aan het account van de gebruiker — iCloud-herstelsleutels maken ontsleuteling mogelijk als het wachtwoord is vergeten. FileVault is essentieel voor Mac-laptops in omgevingen van ondernemingen, vooral omdat MacBooks vaak zoekraken of worden gestolen op conferenties en luchthavens.

Zelfversleutelende schijven (SED's) voeren versleuteling uit in de hardwarecontroller van de schijf — versleuteling en ontsleuteling vinden plaats op schijfniveau en zijn transparant voor het besturingssysteem. SED's voldoen aan de Opal Storage Specification (TCG Opal). Wanneer de schijf wordt uitgeschakeld, worden de gegevens automatisch vergrendeld en kunnen ze alleen worden ontgrendeld met de juiste Authentication Key (AK). SED's bieden betere prestaties dan softwarematige versleuteling (geen CPU-belasting) en de mogelijkheid tot cryptografisch wissen — door de versleutelingssleutel opnieuw in te stellen worden alle gegevens onmiddellijk onleesbaar, waardoor direct veilig wissen bij het buiten gebruik stellen van schijven mogelijk is.

Een cold-bootaanval maakt gebruik van het feit dat DRAM na stroomverlies nog enkele seconden tot minuten gegevens vasthoudt. Aanvallers spuiten vloeibare stikstof om deze bewaartijd te verlengen en starten vervolgens een live besturingssysteem om de geheugendump uit te lezen en versleutelingssleutels uit RAM te halen. Beschermingsmaatregelen omvatten: TPM + pincode (de sleutel bevindt zich in de TPM en wordt pas na het invoeren van de pincode aan RAM blootgesteld), geheugenversleuteling (Intel TME of AMD SME versleutelt de inhoud van RAM in de geheugencontroller), het vereisen van fysieke invoer van een pincode bij het opstarten, zodat er bij diefstal van een uitgeschakelde laptop geen sleutels in RAM staan, en functies voor vertraagd wissen van geheugen in moderne UEFI, die RAM vóór het opstarten op nul zetten.

Measured Boot gebruikt de TPM om hashes van elk opstartonderdeel in PCR's vast te leggen, waardoor een logboek van het opstartproces ontstaat waarin geknoei zichtbaar is. Bij remote attestation worden deze PCR-metingen naar een externe attestationserver gestuurd, die controleert of het systeem alleen met vertrouwde, ongewijzigde onderdelen is opgestart. Technologieën voor ondernemingen, zoals Microsoft Attestation Service, Microsoft Pluton en Intel TXT, implementeren remote attestation. Zero Trust-platforms gebruiken attestationrapporten als signaal voor de apparaatstatus in beleid voor voorwaardelijke toegang — niet-vertrouwde apparaatstatussen leiden tot extra authenticatie-uitdagingen.

Versleuteling van eindpunten moet ook gelden voor verwisselbare media — USB-stations, externe harde schijven en SD-kaarten die de beheerde omgeving verlaten. BitLocker To Go (Windows) versleutelt verwisselbare schijven met een wachtwoord of smartcard. macOS Schijfhulpprogramma kan versleutelde schijfkopieën maken. DLP-beleid van een onderneming kan op besturingssysteemniveau worden afgedwongen om versleuteling te vereisen voor elk USB-opslagapparaat dat op bedrijfseindpunten wordt aangesloten — niet-versleutelde USB-stations mogen geen gegevens ontvangen. Dit voorkomt gegevensverlies wanneer een USB-station zoekraakt of wordt gestolen.

De beveiliging van volledige schijfversleuteling hangt volledig af van correct sleutelbeheer. Herstelsleutels moeten veilig en los van het versleutelde apparaat worden opgeslagen — een organisatie die alle exemplaren van de herstelsleutels kwijtraakt, heeft feitelijk permanent de toegang tot haar versleutelde gegevens verloren. Aanbevolen werkwijzen: BitLocker-herstelsleutels automatisch via Groepsbeleid opslaan in Active Directory / Azure AD, FileVault-herstelsleutels back-uppen naar MDM (Jamf/Intune), Hardware Security Modules (HSM's) gebruiken voor sleutelbeheer op ondernemingsschaal en herstelprocedures elk kwartaal testen.

In deze les heb je geleerd dat TPM een hardwarematige vertrouwensbasis biedt die versleutelingssleutels aan specifieke opstarttoestanden verzegelt, dat Secure Boot de cryptografische handtekening van elk opstartonderdeel verifieert om bootkits te blokkeren en dat BitLocker met TPM+pincode hardwarematige sleutelbescherming combineert met authenticatie vóór het opstarten om zich zowel tegen offline diefstal van schijven als tegen evil-maid-aanvallen te verdedigen. Hierna behandelen we bedrijfscontinuïteitsplanning en herstel na noodgevallen — zodat activiteiten grote verstoringen kunnen doorstaan.