Donanım Güvenliği: TPM, Güvenli Önyükleme ve Sürücü Şifreleme

Bir saldırgan bir cihaza fiziksel erişim sağladığında, mantıksal güvenlik kontrolleri ciddi ölçüde zayıflar. Soğuk başlatma saldırıları, RAM'i dondurur ve kalıntı verilerden şifreleme anahtarlarını çıkarır. Evil-maid saldırıları, bir cihaz geçici olarak gözetimsiz durumdayken Boot yükleyicinin veya OS'nin değiştirilmesini içerir. DMA saldırıları, belleği doğrudan okumak için fiziksel bağlantı noktalarını (Thunderbolt, FireWire) kullanır. TPM, Secure Boot ve tam disk şifrelemesi gibi donanım güvenliği özellikleri, fiziksel katmandaki bu saldırılara karşı birlikte savunma sağlar.

Güvenilir Platform Modülü (TPM), donanım tabanlı kriptografik işlevler sağlayan ve ana karta gömülü özel bir güvenlik çipidir. TPM'nin özellikleri şunları içerir: çipten çıkarılamayan kriptografik anahtarları oluşturma ve saklama, Boot sürecini ölçme (Platform Configuration Registers her Boot bileşeninin özet değerlerini saklar), verileri belirli System durumlarına mühürleme (verilerin şifresi yalnızca System güvenilir bir durumdayken çözülebilir) ve uzaktan doğrulama (uzak bir sunucuya System üzerinde oynama yapılmadığını kanıtlama).

TPM 1.2, artık zayıf kabul edilen yalnızca RSA-1024 ve SHA-1'i destekler. TPM 2.0 (Windows 11 tarafından gerekli kılınan güncel standart), RSA-2048, ECC P-256, SHA-256, AES-128/256 gibi modern algoritmaları ve algoritma esnekliğini (yeni algoritmalar eklenebilir) destekler. TPM 2.0 ayrıca daha ayrıntılı denetim sağlayan birden çok hiyerarşiyi (onay, depolama, platform) destekler. Kurumsal ortamlarda tüm cihazların temel donanım güven kökü olarak TPM 2.0 kullandığından emin olunmalıdır.

Secure Boot, Boot zincirindeki her yazılım parçasının — UEFI sürücüleri, Boot yükleyicisi ve OS çekirdeği — çalıştırılmadan önce kriptografik imzasını doğrulayan bir UEFI firmware özelliğidir. Yalnızca firmware içindeki Secure Boot veritabanında bulunan anahtarlarla imzalanmış yazılımların çalışmasına izin verilir. Bu özellik, OS güvenlik yazılımından önce yüklenen ve MBR'ye veya Boot yükleyicisine bulaşan kötü amaçlı yazılımlar olan Bootkit'lerin ve yetkisiz OS kurulumlarının cihazda kalıcı olmasını önler.

BitLocker, Windows 10/11 Pro ve Enterprise sürümlerine entegre edilmiş, Microsoft'un birim genelinde şifreleme aracıdır. BitLocker, tüm sürücüyü XTS modunda AES-128 veya AES-256 kullanarak şifreler. Kurtarma key'i (Active Directory veya Azure AD'de saklanır) ya da Boot sırasında doğru PIN/parola olmadan şifrelenmiş verilere erişilemez — sürücü çıkarılıp başka bir System'e bağlansa bile. TPM ile birlikte kullanıldığında BitLocker, birim ana anahtarını belirli PCR değerlerine mühürler; Boot üzerinde oynama yapıldığını algılar ve algılanması durumunda manuel kurtarma gerektirir.

FileVault 2, Apple'ın macOS için sunduğu ve Apple T2 çipi veya Apple Silicon'ın Secure Enclave'i tarafından desteklenen XTS-AES-128 şifrelemesini kullanan tam disk şifrelemesidir. FileVault, başlangıç biriminin tamamını şifreler ve Boot sırasında kilidini açmak için kullanıcının oturum açma parolasını gerektirir. Şifreleme anahtarı kullanıcının hesabına bağlıdır — iCloud kurtarma anahtarları, parola unutulduğunda şifre çözmeyi sağlar. FileVault, özellikle MacBooks konferanslarda ve havaalanlarında sıkça kaybedildiği veya çalındığı için kurumsal ortamlardaki Mac dizüstü bilgisayarlar açısından vazgeçilmezdir.

Kendini şifreleyen sürücüler (SED'ler), şifrelemeyi sürücünün donanım denetleyicisi içinde gerçekleştirir — şifreleme ve şifre çözme sürücü düzeyinde, OS için görünmez şekilde gerçekleşir. SED'ler Opal Storage Specification (TCG Opal) standardına uygundur. Sürücünün gücü kesildiğinde veriler otomatik olarak kilitlenir ve yalnızca doğru Authentication Key (AK) ile açılabilir. SED'ler, yazılım şifrelemesine göre performans avantajları (CPU yükü oluşturmaz) ve kripto-silme özelliği sunar — şifreleme key'inin sıfırlanması tüm verileri anında okunamaz hâle getirerek sürücülerin kullanım dışı bırakılması sırasında anında güvenli silme olanağı sağlar.

Soğuk başlatma saldırısı, DRAM'in güç kaybından sonra saniyeler veya dakikalar boyunca verileri korumasından yararlanır. Saldırganlar, verilerin bellekte tutulma süresini uzatmak için sıvı nitrojen püskürtür; ardından canlı bir OS başlatarak bellek dökümünü okur ve RAM'den şifreleme anahtarlarını çıkarır. Savunmalar şunları içerir: TPM + PIN (key TPM'dedir ve PIN girilene kadar RAM'de açığa çıkmaz), bellek şifrelemesi (Intel TME veya AMD SME, RAM içeriğini bellek denetleyicisinde şifreler), Boot sırasında fiziksel PIN girilmesini zorunlu kılmak; böylece kapalı durumdaki bir dizüstü bilgisayar çalındığında RAM'de hiçbir key bulunmaz ve Boot öncesinde RAM'i sıfırlayan modern UEFI'deki gecikmeli bellek temizleme özellikleri.

Measured Boot, her Boot bileşeninin özet değerlerini PCR'lere kaydetmek için TPM'yi kullanır ve Boot sürecinin kurcalamayı belli eden bir günlüğünü oluşturur. Uzaktan doğrulama, bu PCR ölçümlerini uzaktaki bir doğrulama sunucusuna gönderir; sunucu, System'in yalnızca güvenilir ve değiştirilmemiş bileşenlerle başlatıldığını doğrular. Microsoft Attestation Service, Microsoft Pluton ve Intel TXT gibi kurumsal teknolojiler uzaktan doğrulamayı uygular. Zero Trust platformları, Koşullu Erişim ilkelerinde doğrulama raporlarını cihaz sağlığının göstergesi olarak kullanır — güvenilmeyen cihaz durumları ek kimlik doğrulama istemlerini tetikler.

Uç nokta şifrelemesi, kontrollü ortamdan çıkan çıkarılabilir ortamları — USB sürücüleri, harici sabit diskleri ve SD kartları — da kapsamalıdır. BitLocker To Go (Windows), çıkarılabilir sürücüleri parola veya akıllı kart kullanarak şifreler. macOS Disk Utility, şifrelenmiş disk görüntüleri oluşturabilir. Kurumsal DLP ilkeleri, kurumsal uç noktalara bağlanan tüm USB depolama cihazlarında OS düzeyinde şifrelemeyi zorunlu kılacak şekilde uygulanabilir — şifrelenmemiş USB sürücülerinin veri alması engellenir. Bu, bir USB sürücüsü kaybolduğunda veya çalındığında veri kaybını önler.

Tam disk şifrelemesinin güvenliği tamamen uygun key yönetimine bağlıdır. Kurtarma anahtarları güvenli biçimde ve şifrelenmiş cihazdan ayrı saklanmalıdır — kurtarma anahtarlarının tüm kopyalarını kaybeden bir kuruluş, şifrelenmiş verilerine erişimi fiilen kalıcı olarak kaybetmiş olur. En iyi uygulamalar şunlardır: BitLocker kurtarma anahtarlarını Grup İlkesi aracılığıyla otomatik olarak Active Directory / Azure AD'de saklamak, FileVault kurtarma anahtarlarını MDM (Jamf/Intune)'e yedeklemek, kurumsal ölçekte key yönetimi için Donanım Güvenlik Modülleri (HSM'ler) kullanmak ve kurtarma prosedürlerini üç ayda bir test etmek.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: TPM, şifreleme anahtarlarını belirli Boot durumlarına mühürleyen bir donanım güven kökü sağlar, Secure Boot her Boot bileşeninin kriptografik imzasını doğrulayarak Bootkit'leri engeller ve TPM+PIN ile BitLocker, donanım tabanlı key korumasını Boot öncesi kimlik doğrulamayla birleştirerek hem çevrimdışı sürücü hırsızlığına hem de Evil-maid saldırılarına karşı savunma sağlar. Sırada, operasyonların büyük çaplı kesintilerden sonra da sürmesini güvence altına alan İş Sürekliliği Planlaması ve Felaket Kurtarma konusunu inceleyeceğiz.