-
Hintergrund
-
In einer ungesicherten Computerumgebung kann eine Computeranwendung auf jegliche verfügbare Rechenressourcen zugreifen, wobei keine oder wenig Rücksicht darauf genommen wird, ob diese Ressourcen sicher sind. Es gibt jedoch viele Gründe, warum es wünschenswert ist, den Zugriff auf Rechenressourcen zu steuern.
-
Die Trusted Computing Group (TCG; vertrauenswürdige Rechengruppe) wurde gebildet und hat eine Industriestandardspezifikation eingeführt, um die Sicherheit von Rechenumgebungen zu verbessern. Es ist das Ziel, eine verbesserte, auf Hardware und Betriebssystem (OS; operating system) basierende, vertrauenswürdige Rechenplattform (TCP; trusted computing platform) für Kunden zu liefern, um ihre Anwendungen zu betreiben. Im Hinblick auf Hardwarebetrachtungen wurde ein Trusted Platform Module (TPM; vertrauenswürdiges Plattformmodul) eingeführt, das eine Mikrosteuerung umfasst, die Sicherheitsinformationen speichert. Das TPM ist die Wurzel des Vertrauens, um eine gesicherte Umgebung zu erzeugen, die es dem OS und Anwendungen ermöglicht, gegen Softwareangriffe zu kämpfen. Die TCG fordert, dass die TPM-Identifikation eindeutig ist und physisch an eine spezifische Plattform gebunden ist, derart, dass sie nicht einfach entfernt oder auf eine andere Plattform übertragen werden kann. Ferner muss das TPM nach der Inspektion einen Nachweis einer physischen Fälschung zeigen.
-
Das Herstellen von Plattformen mit dem TPM erhöht die Herstellungskosten. Zusätzlich dazu ermöglichen einige Länder nicht (z. B. Russland und China), dass Produkte mit Sicherheitsvorrichtungen versandt werden, wie z. B. TPM. Dementsprechend müssen separate Plattformen ohne das TPM hergestellt und verfolgt werden (z. B. unter Verwendung eindeutiger SKU-Nummern), um auf diesen Märkten verkauft zu werden, wodurch die Kosten weiter erhöht werden.
-
Aus der US 2007/ 0 080 821 A1 ist eine Befestigungsvorrichtung, die einen Manipulationsnachweis ermöglicht, offenbart. Eine Befestigungsschraube hält in einem befestigten Zustand eine Scheibe derart in einer Hülse, dass Federfolger der Scheibe in einem Hohlraum gehalten werden. Wird die Schraube herausgedreht, so bewegt sich die Scheibe ebenfalls, so dass die Federfolger in Kontakt mit Kontaktflächen gelangen, so dass das Herausdrehen erfasst werden kann.
-
Aus der
GB 2 419 168 A ist eine Befestigungsvorrichtung bekannt, bei der ein Schaft ein Kopfende an einer Seite aufweist. Eine Hülse ist verschiebbar auf dem Schaft angeordnet und mittels einer Feder vorgespannt. Ein Stamm kann in eine mit einem Gewinde versehene Bohrung in den Schaft geschraubt werden, um dadurch Finger der Hülse zu spreizen.
-
Figurenliste
-
- 1 ist eine Darstellung auf hoher Ebene von einer exemplarischen, vertrauenswürdigen Rechenplattform (TCP; trusted computing platform).
- 2 ist eine perspektivische Ansicht eines exemplarischen Verbinders mit Fälschungsnachweis, der in einer TCP implementiert sein kann.
- 2a ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 2, gezeigt befestigt an eine Systemplatine in der TCP.
- 2b ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 2, nachdem er von der Systemplatine entfernt wurde.
- 3 ist eine perspektivische Ansicht eines anderen, exemplarischen Verbinders mit Fälschungsnachweis, der in einer TCP implementiert sein kann.
- 3a ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 3, der an einer Systemplatine in der TCP befestigt gezeigt ist.
- 3b ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 3, nachdem er aus der Systemplatine entfernt wurde.
-
Detaillierte Beschreibung
-
Kurz gesagt sind Ausführungsbeispiele eines Verbinders mit Fälschungsnachweis offenbart. Die Entwürfe ermöglichen, dass das TPM separat als eine optionale Komponente hergestellt wird, wodurch die Kosten der Herstellung separater Systemplatinen für unterschiedliche Märkte reduziert werden, während weiterhin die physische Verbindungsanforderung der TCG erfüllt wird (d. h. es besteht ein sichtbarer Nachweis einer Fälschung, wenn das TPM entfernt ist). Nach der Entfernung kann ein fehlgeformtes TPM wahrscheinlich nicht in einem anderen System wieder verwendet werden (oder ist schwierig wieder zu verwenden), wodurch die Integrität der vertrauenswürdigen Softwareumgebung (TSE; trusted software environment) beibehalten wird, wenn das TPM bereits beeinträchtigt wurde. Der Entfernungsprozess beeinflusst jedoch nicht die Systemplatine, wodurch es einem autorisierten Administrator erlaubt ist, das TPM-Modul auf der Systemplatine nach Bedarf zu ersetzen.
-
Obwohl die hierin beschriebenen Systeme und Verfahren dabei helfen, Sicherheitsmaßnahmen zum Betreiben einer vertrauenswürdigen Software und Zugreifen auf vertrauenswürdige Ressourcen zu ermöglichen, wird darauf hingewiesen, dass die Anwendung des Verbinders mit Fälschungsnachweis nicht auf Computersicherheit beschränkt ist. Wiederum weitere Anwendungen des Verbinders mit Fälschungsnachweis sind ohne weiteres für Durchschnittsfachleute auf dem Gebiet offensichtlich, nachdem sie mit den Lehren hierin vertraut geworden sind.
-
I ist eine Darstellung auf hoher Ebene einer exemplarischen, vertrauenswürdigen Rechenplattform (TCP) 100. Die exemplarische TCP 100 kann einen oder mehrere Prozessoren oder Verarbeitungseinheiten 110 und einen Systemspeicher 120 umfassen, so wie z. B. einen Nur-Lese-Speicher (ROM; read-only memory) und einen Direktzugriffsspeicher (RAM; random access memory) auf der Systemplatine 105. Es kann auch ein anderer Speicher vorgesehen sein (z. B. lokal und/oder entfernt, fest und/oder entfernbar, magnetisches und/oder optisches Medium). Der Speicher stellt eine Speicherung von computerlesbaren Anweisungen, Datenstrukturen, Programmmodulen und anderen Daten für die Rechenplattform 100 bereit.
-
Es wird darauf hingewiesen, dass die Rechenplattform 100 als eine alleinstehende Vorrichtung arbeiten kann und/oder in einer vernetzten Rechenumgebung unter Verwendung von logischen Verbindungen mit einer oder mehreren entfernten Ressourcen (nicht gezeigt) arbeiten kann. Die logischen Verbindungen können ein lokales Netz (LAN; local area network) und/oder ein weites Netz (WAN; wide area network) umfassen. Exemplarische, entfernte Ressourcen umfassen, sind aber nicht beschränkt auf, einen Personalcomputer, einen Server, einen Router, einen Netzwerk-PC und eine Partner-Vorrichtung oder einen anderen Netzwerkknoten. Entfernte Ressourcen können viele oder alle Elemente umfassen, die für die Rechenplattform 100 beschrieben sind, wie z. B. Verarbeitungsfähigkeit und Speicher.
-
Die Rechenplattform 100 kann auch eine oder mehrere Ressourcen 130a - c umfassen. Wie hierin verwendet umfasst der Ausdruck „Ressource“ jeglichen einer großen Vielzahl von unterschiedlichen Typen von Vorrichtungen (z. B. PCIe-Vorrichtungen) und/oder Funktionen (z. B. bereitgestellt durch die Vorrichtung). Bei einem exemplarischen Ausführungsbeispiel können die Ressourcen 130a - c kommunikativ mit der Rechenplattform 100 über eine oder mehrere Peripheriekomponenten-Verbindungs- (PCI-; peripheral component interconnect) Verknüpfungen 140a - b gekoppelt sein, wodurch die PCI-Express- (PCIe) Spezifikation implementiert ist. Bei einem solchen Ausführungsbeispiel können die Ressourcen 130a - c direkt mit dem Wurzelkomplex 150 über eine oder mehrere PCIe-Karten 145a - c verbunden sein.
-
Eine Hostbrücke und ein Speichersteuerungshub, der auch im Allgemeinen als Wurzelkomplex 150 bezeichnet wird, koppelt die verschiedenen Systemkomponenten mit der Verarbeitungseinheit 110. Der Wurzelkomplex 150 ist ein Teilsystem, dass Ressourcen 130a - c erfasst und initialisiert und die Verknüpfungen 140a - c so verwaltet, dass der Prozessor 110 in den Ressourcen 130a - c lesen/schreiben kann und/oder die Ressourcen 130a - c anderweitig steuern kann.
-
Die Rechenplattform 100 kann in einer geschützten oder vertrauenswürdigen Betriebsumgebung arbeiten. Eine vertrauenswürdige Betriebsumgebung ist eine geschützte oder gesicherte Umgebung zum Betreiben einer vertrauenswürdigen Software und Zugreifen auf vertrauenswürdige Vorrichtungen bzw. Bauelemente. Eine vertrauenswürdige Software ist eine Software, die einen zuverlässig eingerichteten Identitätsbegriff aufweist, z. B. anzeigt, dass die Software aus einer vertrauenswürdigen Quelle stammt. Eine vertrauenswürdige Vorrichtung ist eine Vorrichtung, die über einen Trusted Configuration Access Mechanism (TCAM; vertrauenswürdiger Konfigurationszugriffsmechanismus) 160 zugreifbar ist. Es wird darauf hingewiesen, dass einzelne oder mehrere TCAMs für jede Rechenplattform 100 vorhanden sein können (oder für jede Partition auf einer Rechenplattform).
-
Der TCAM 160 ist strukturiert nach dem Enhanced Configuration Access Mechanism (ECAM; verbesserter Konfigurationszugriffsmechanismus), der für den Standardkonfigurationsraum vorgesehen ist, definiert durch die PCIe-Spezifikation (z. B. den ECAM 340 in 3). So wie der ECAM umfasst auch der TCAM 160 speicherabgebildete Regionen, 1 Megabyte (MB) pro Buszahl, Basisadressen und Buszahlenbereiche berichtet durch Firmware. Im Gegensatz zu dem ECAM jedoch ist der TCAM 160 nur durch die vertrauenswürdige Software verwendbar, optional nur wenn freigegeben durch Hardware, wie z.B. ein vertrauenswürdiges Plattformmodul (TPM; trusted platform module) 165. Das TPM 165 liefert eine geschützte Speicherung, geschützte Funktionen, Authentifizierung der Rechenplattform 100, Messung der Plattformintegrität und Bestätigung der Plattformintegrität. Das TPM 165 kann implementiert sein, um ein Hardwaresignal zu aktivieren, das einen TCAM 160 nur zur Verwendung ermöglicht, falls/wenn die Plattformintegrität bestätigt wurde. Die PCIe-Spezifikation definiert den TCAM, der dann einen Zugriff auf die vertrauenswürdigen Konfigurationsregister über einen speicherabgebildeten Adressraum ermöglicht, z. B. in dem Speicher 120.
-
Das TPM 165 kann physisch an die Systemplatine 105 durch einen Verbinder mit Fälschungsnachweis angebracht sein. Der Verbinder mit Fälschungsnachweis liefert einen sichtbaren Nachweis einer Verfälschung, wenn das TPM 165 aus der Systemplatine 105 entfernt wird (z. B. gemäß der physischen Verbindungsanforderung der TCG). Diese und andere Merkmale sind besser verständlich durch die Beschreibung von exemplarischen Ausführungsbeispielen des Verbinders mit Fälschungsnachweis, die nachfolgend Bezug nehmend auf 2 - 3 gegeben werden.
-
2 ist eine perspektivische Ansicht eines exemplarischen Verbinders mit Fälschungsnachweis, der in einer TCP implementiert sein kann. Bei diesem Ausführungsbeispiel ist der Verbinder mit Fälschungsnachweis als eine mechanische Verbindungsniete 200 implementiert. Die mechanische Verbindungsniete 200 (oder einfach „Niete 200“) kann einen Stift 210 mit einem Kopfabschnitt 212 und einem Körperabschnitt 214 umfassen. Die Niete 200 kann ferner ein äußeres Gehäusebauglied 220 mit einem Kammerabschnitt 222 und einem erweiterbaren Abschnitt 224 umfassen.
-
Wenn die Niete 200 in einer sicheren Rechenumgebung verwendet wird, kann ein elektrischer Verbinder 230 benachbart zu dem Stift 210 auf einer ersten Komponente befestigt sein (z. B. dem TPM 240), und ein zweiter, elektrischer Verbinder 235 kann benachbart zu dem Gehäusebauglied 220 auf einer zweiten Komponente befestigt sein (z. B. Systemplatine 250). Bei einem exemplarischen Ausführungsbeispiel können der erste, elektrische Verbinder 230 und der zweite, elektrische Verbinder 235 handelsüblich erhältliche elektrische 20-Stift- (oder jegliche Stiftanzahl) -Gegensteckerbinder sein. In jedem Fall können die elektrischen Verbinder 230 und 235 zusammengedrückt werden, um eine elektrische Verbindung zwischen dem TPM 240 und der Systemplatine 250 zu bilden, z. B. zum Übertragen von Sicherheitsinformationen von dem TPM 240 zu der Systemplatine 250.
-
Bevor fortgefahren wird, wird darauf hingewiesen, dass, obwohl sie als separate Teile gezeigt sind, der Stift 210 und das Gehäusebauglied 220 als ein einzelnes Teil hergestellt sein können, das die Funktionalität von sowohl dem Stift 210 als auch dem Gehäusebauglied 220 haben kann. Zum Beispiel kann die Niete 200 so hergestellt sein, dass sie versendet werden kann, wobei der Stift 210 locker mit dem Gehäusebauglied 220 verbunden ist, so dass es weniger wahrscheinlich ist, dass die Teile fehlplatziert werden oder anderweitig verloren gehen. Zusätzlich dazu können die elektrischen Verbinder 230 und 235 auch in der Niete 200 integriert sein und müssen nicht separat bereitgestellt sein.
-
2a ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 2, der befestigt an einer Systemplatine in der TCP gezeigt ist. In Verwendung kann der Körperabschnitt 214 des Stifts 210 durch eine Öffnung geschoben werden, die in dem TPM 240 gebildet ist, bis der Kopfabschnitt 212 an die Oberfläche des TPM 240 anstößt. Der Kopfabschnitt 212 des Stifts 210 dient dazu, den Stift zu stoppen, vollständig durch das TPM 240 zu gleiten.
-
Das Gehäusebauglied 220 kann in eine Öffnung 252 gepasst sein, das in der Systemplatine 250 gebildet ist. Zum Beispiel ermöglichen Schlitze 226 in dem erweiterbaren Abschnitt 224 des Gehäusebauglieds 220, dass das Gehäusebauglied 220 in seiner Größe reduziert wird (z. B. auf einen kleineren Durchmesser), wenn es gequetscht wird, um durch die Öffnung 252 zu passen. Eine Federwirkung bringt den erweiterbaren Abschnitt 224 auf natürliche Weise in einen geweiteten Zustand innerhalb der Öffnung 252 zurück, um das Gehäusebauglied 220 zumindest teilweise in der Systemplatine 250 zu halten.
-
Wenn der Körperabschnitt 214 des Stifts 210 in den erweiterbaren Abschnitt 224 des Gehäusebauglieds 220 gleitet, zwingt das Vorhandensein des Stifts 210 den erweiterbaren Abschnitt 224 des Gehäusebauglieds 210 dazu, dass er sich innerhalb der Öffnung 252 weiter weitet. Optional kann der Stift 210 an dem Ende breiter sein (oder kann „Rippen“ oder andere Vorrichtungen umfassen), um das Offenzwingen des erweiterbaren Abschnitts 224 zu verbessern. Diese Verbreiterungsaktion sichert das TPM 240 physisch und unumkehrbar an der Systemplatine 250.
-
2b ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 2, nachdem er von der Systemplatine entfernt wurde. Sobald sie verbunden sind, kann die elektrische Verbindung zwischen den elektrischen Verbindern 230 und 235 nicht mehr getrennt werden, ohne das TPM 240 von der Systemplatine 250 zu entfernen. Damit jedoch das TPM 240 von der Systemplatine 250 entfernt wird, muss der erweiterbare Abschnitt des äußeren Gehäusebauglieds auseinandergebrochen werden, um den Stift aus dem Gehäusebauglied freizugeben, wodurch ein sichtbarer Nachweis einer Fälschung gegeben wird, wenn das TPM 240 aus der Systemplatine 250 entfernt wurde.
-
3 ist eine perspektivische Ansicht eines anderen, exemplarischen Verbinders mit Fälschungsnachweis, der in einer TCP implementiert sein kann. Bei diesem Ausführungsbeispiel ist der Verbinder mit Fälschungsnachweis als ein Verbinder vom „Stecktyp“ 300 implementiert. Der Stecktypverbinder (oder einfach „Stecker 300“) kann eine Steckerblockstruktur 310 für eine erste Komponente (z. B. TPM 320) und eine Buchsenblockstruktur 330 für eine zweite Komponente (z. B. Systemplatine 340) umfassen.
-
Die Steckerblockstruktur 310 umfasst zumindest einen faltbaren Stift (und eine Mehrzahl von faltbaren Stiften 315a - c ist in 3 gezeigt), und die Buchsenblockstruktur 330 umfasst einen Leistenabschnitt 332. Bei einem exemplarischen Ausführungsbeispiel sind der oder die faltbaren Stifte 315a - c im Wesentlichen hakenförmig oder J-förmig, so dass die faltbaren Stifte den Leistenabschnitt 332 kontaktieren, wenn die Steckerblockstruktur 310 in die Buchsenblockstruktur 330 eingepasst ist, um das TPM 310 physisch an die Systemplatine 340 zu sichern.
-
3a ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 3, der befestigt an eine Systemplatine in der TCP gezeigt ist. Wenn der Stecker 300 in einer sicheren Rechenumgebung verwendet wird, dienen die faltbaren Stifte 315a - c als ein elektrischer Verbinder, der mit den Stiften 335 in der Buchsenblockstruktur 330 zusammenpasst. Alternativ können separate, elektrische Verbindungen vorgesehen sein (z. B. integriert in oder benachbart zu der Stecker- und Buchsenblockstruktur). Wenn die Stecker- und Buchsenblockstruktur 310 und 330 miteinander verbunden sind, ist eine elektrische Verbindung zwischen dem TPM 320 und der Systemplatine 340 gebildet, z. B. zum Übertragen von Sicherheitsinformationen von dem TPM 320 zu der Systemplatine 340.
-
3b ist eine perspektivische Ansicht des exemplarischen Verbinders mit Fälschungsnachweis in 3. Sobald sie verbunden ist, kann die elektrische Verbindung nicht getrennt werden, ohne das TPM 320 aus der Systemplatine 340 zu entfernen. Damit jedoch das TPM 320 aus der Systemplatine 340 entfernt werden kann, werden die faltbaren Stifte 315a - c durch den Leistenabschnitt 332 gezogen und entfalten sich, während die Steckerblockstruktur 310 von der Buchsenblockstruktur 330 weggezogen wird. Dies liefert einen sichtbaren Fälschungsnachweis, wenn das TPM 320 aus der Systemplatine 340 entfernt wurde.
-
Es wird darauf hingewiesen, dass in Bezug auf jegliches der Ausführungsbeispiele des oben beschriebenen Verbinders mit Fälschungsnachweis die TPM-Installation (d. h. der anfängliche Verbindungsprozess) durch den Systemintegrator während der Herstellung durch den Originalentwurfshersteller (ODM; original design manufacturer) oder vor Ort beim Kunden ausgeführt werden kann. Die Verwendung von Werkzeugen ist für den anfänglichen Verbindungsprozess nicht notwendig, was den Verbinder mit Fälschungsnachweis leicht zu verwenden macht.
-
Nach der Entfernung kann ein fehlgeformtes TPM wahrscheinlich nicht in einem anderen System wieder verwendet werden (oder ist schwierig wieder zu verwenden), wodurch die Integrität der vertrauenswürdigen Softwareumgebung (TSE; trusted software environment) beibehalten wird, wenn das TPM bereits beeinträchtigt wurde. Der Entfernungsprozess beeinflusst jedoch nicht die Systemplatine, wodurch einem autorisierten Administrator erlaubt wird, das TPM-Modul auf der Systemplatine nach Bedarf auszutauschen, z. B. zur Wartung oder zum Austausch.
-
Es wird darauf hingewiesen, dass die exemplarischen Ausführungsbeispiele, die in den Figuren gezeigt sind und oben erörtert wurden, zu Zwecken der Darstellung bereitgestellt sind. Zusätzlich zu den spezifischen Ausführungsbeispielen, die hierin explizit ausgeführt sind, sind für Fachleute auf dem Gebiet andere Aspekte und Ausführungsbeispiele offensichtlich, die in der hierin offenbarten Beschreibung berücksichtigt werden. Es ist beabsichtigt, dass die Beschreibung und die dargestellten Ausführungsbeispiele nur als Beispiele betrachtet werden.