Quien adquiere un portátil o tablet robusto para administraciones, cuerpos de emergencia o la industria, se encuentra casi siempre con dos términos: lector de tarjetas inteligentes y TPM. Ambos aparecen con regularidad juntos en los datos de seguridad de los equipos robustos, pero cumplen funciones distintas. Este artículo explica para qué sirven TPM y tarjeta inteligente, en qué se diferencia el inicio de sesión mediante tarjeta de una contraseña o una huella dactilar, por qué muchos concursos públicos y de la industria exigen precisamente esta combinación, cómo interactúan el cifrado del disco y el TPM, y qué ocurre si se pierde el equipo. Una vista general de los demás mecanismos de seguridad habituales en portátiles robustos —entre ellos el cifrado SSD según OPAL 2.0, el candado Kensington, la conformidad de BIOS con NIST y el lector de huella dactilar— la ofrece el artículo Protección ideal del portátil: 5 funciones y mecanismos de seguridad comparados. Este artículo se centra en los dos componentes que más se exigen en los trabajos de campo con control de accesos.
¿Qué es un chip TPM?
TPM significa "Trusted Platform Module" y designa un pequeño módulo de chip físico, montado de forma fija en la placa base, que funciona como mecanismo de seguridad adicional junto al propio procesador. El chip asume varias tareas a la vez: es responsable del cifrado del disco, de la protección frente a manipulación del firmware mediante rootkits de BIOS, de la autenticación biométrica y de la transmisión del estado del sistema al acceder a servicios en la nube. Así, el TPM no es un único método de inicio de sesión, sino una especie de caja fuerte asegurada en la placa, donde se almacenan y procesan claves criptográficas sin que estas salgan nunca del módulo de chip en texto plano.
La versión actual TPM 2.0 es ya un estándar en prácticamente todos los equipos robustos de la gama RobustBook. En la tabla comparativa de portátiles, TPM 2.0 figura como fila propia y aparece marcado en todos los modelos comparados, así como en la tabla comparativa de tablets. También en los equipos Getac, TPM 2.0 forma parte fija del equipamiento de seguridad, por ejemplo en el Getac X500, en el Getac K120 y en el Getac ATEX EX80, diseñado para zonas Ex. En el Durabook S14I, la combinación de lector de tarjetas inteligentes y TPM figura incluso de forma explícita como característica de seguridad conjunta.
¿Qué es un lector de tarjetas inteligentes y para qué se usa?
Un lector de tarjetas inteligentes lee una tarjeta chip física —por ejemplo, una credencial de servicio, una tarjeta de firma o una tarjeta sanitaria— y transfiere los datos o certificados almacenados en ella al sistema operativo o a una aplicación específica. A diferencia de una simple protección por contraseña, el inicio de sesión requiere así la posesión de un objeto físico, no solo el conocimiento de una secuencia de caracteres.
En la gama RobustBook, el lector de tarjetas inteligentes está disponible en varios modelos como módulo de expansión u opción de fábrica. En el Durabook R8 se puede elegir un módulo de expansión con lector de tarjetas inteligentes, ya sea como lector de tarjetas puro, en combinación con RFID LF/HF (NFC), con RFID UHF (NFC), o junto con conexiones RS-232/RJ-45 y USB3.2. La misma opción de expansión está disponible también en el Durabook R11 y en el Durabook R11L. En el Durabook S14I, el lector de tarjetas inteligentes se puede pedir como opción de fábrica, también en una variante montada en la parte trasera, y ahí se menciona explícitamente junto con TPM como característica de seguridad.
También varios modelos Getac incluyen el lector de tarjetas inteligentes en su equipamiento de seguridad: el Getac X500 menciona TPM 2.0, candado Kensington, lector de tarjetas inteligentes y lector de huella dactilar en un mismo apartado. En el Getac B360 G3, un lector de tarjetas inteligentes forma parte del equipamiento base; en el Getac K120 y en el Getac UX10, el lector de tarjetas se puede elegir como opción junto a un lector de huella dactilar. También el Getac V110 G3 y el Getac X600 incluyen TPM 2.0 junto con un lector de huella dactilar o un lector de tarjetas inteligentes opcionales. En las tablas comparativas de portátiles y tablets, el lector de tarjetas inteligentes figura como fila propia: en parte de los modelos comparados de serie, en otros como opción.
Inicio de sesión de dos factores con tarjeta inteligente frente a contraseña y huella dactilar
Al iniciar sesión en un equipo, se pueden distinguir fundamentalmente tres tipos de comprobantes: algo que alguien sabe (una contraseña o un PIN), algo que alguien posee (una tarjeta chip o un token) y algo que alguien es (un rasgo biométrico como una huella dactilar). Una simple contraseña solo cubre el factor de conocimiento y se puede adivinar, interceptar o compartir. Un lector de huella dactilar ofrece, sí, mucha comodidad, porque no hay que recordar ningún código, pero también tiene puntos débiles, según la propia valoración recogida en el artículo sobre las funciones de seguridad del portátil: en la lectura se producen ocasionalmente errores, y las huellas dactilares se pueden reproducir en principio. Así, un lector de huella dactilar por sí solo no ofrece una protección integral en el uso profesional.
Una tarjeta inteligente, en cambio, aborda el factor de posesión: sin la tarjeta física, nadie accede a la cuenta, aunque se conociera una contraseña. Si la tarjeta se combina además con un PIN o con un rasgo biométrico, se obtiene un verdadero inicio de sesión de dos factores compuesto por posesión y conocimiento, o por posesión y biometría. Precisamente esta combinación se encuentra en varios equipos de la gama: el Getac K120 combina TPM 2.0, reconocimiento facial Windows Hello y lectores opcionales de tarjeta inteligente o huella dactilar; el Getac UX10 apuesta por el reconocimiento facial Windows Hello, TPM 2.0 y un lector opcional de huella dactilar o de tarjeta inteligente. En todos estos equipos, una contraseña por sí sola sigue siendo parte del inicio de sesión: la tarjeta o el rasgo biométrico se añade como segundo factor independiente, no como sustituto.
Por qué administraciones, cuerpos de emergencia e industria apuestan por tarjeta inteligente y TPM
En el ámbito público y entre los cuerpos de emergencia, la combinación de tarjeta inteligente y TPM no suele ser una elección libre, sino un requisito. La página Tablets y portátiles militares lo resume brevemente: clases de protección claras según el uso, funciones de seguridad opcionales como tarjeta inteligente o RFID según el modelo, y configuraciones definidas. En la página Seguridad pública se menciona además el lector de tarjetas como caso de uso concreto en la captura de datos: la lectura de tarjetas sanitarias mediante el lector opcional, por ejemplo en policía, bomberos o servicios de rescate durante una intervención.
El motivo está en la naturaleza de estos trabajos: los equipos se usan en el vehículo, en el lugar de la intervención o en turnos que cambian, a menudo bajo presión de tiempo. Una contraseña por sí sola no permite controlar de forma fiable quién se está identificando en cada momento; una tarjeta chip, en cambio, está vinculada a una persona y se puede retirar sin complicaciones en el cambio de turno, con lo que el equipo queda bloqueado de inmediato. En la industria ocurre algo similar, por ejemplo en zonas con riesgo de explosión: el Getac ATEX EX80 para zonas Ex incluye TPM 2.0 junto con un lector RFID HF integrado como funciones de seguridad, de modo que el control de accesos y la certificación de zona se combinan en el mismo equipo.
El cifrado del disco en interacción con el TPM
Según los propios datos de seguridad, el TPM es responsable, entre otras cosas, del cifrado del disco. En concreto, esto significa que la clave con la que se cifran los datos del disco no se almacena simplemente en el propio disco o en el sistema operativo, sino en el área de memoria protegida del chip TPM. Un atacante que extraiga físicamente el disco duro y lo instale en otro equipo no obtiene así fácilmente la clave, ya que esta está vinculada al módulo TPM correspondiente y, por tanto, al equipo original.
Para el cifrado propiamente dicho de la SSD, muchos equipos robustos usan además el estándar OPAL 2.0, con el que la carga de cifrado se traslada a la propia SSD en lugar de a la CPU. Cómo funciona OPAL 2.0 en detalle y dónde están los límites del cifrado basado en software se describe en detalle en el artículo Protección ideal del portátil. En interacción con el TPM se obtiene así una protección de varios niveles: el TPM asegura la gestión de claves y la integridad del firmware al arrancar el sistema, y el cifrado de la SSD protege los datos propiamente dichos en el disco. El lector de tarjetas inteligentes se añade como tercer nivel, al determinar quién obtiene siquiera acceso al sistema descifrado.
¿Qué ocurre si se pierde el equipo?
Si un portátil o tablet robusto se pierde en el trabajo de campo o es robado, los mecanismos descritos actúan de forma conjunta. Sin la tarjeta inteligente correspondiente y el PIN o el rasgo biométrico asociado, nadie accede a la cuenta de usuario; el factor de posesión, a diferencia de una contraseña, no se puede adivinar ni copiar fácilmente. Los datos almacenados en el disco quedan además protegidos por el cifrado, cuya clave está vinculada al chip TPM. Si se intenta manipular el firmware para eludir los mecanismos de protección, entra en juego la protección anclada en el TPM frente a la manipulación del firmware mediante rootkits de BIOS.
De forma complementaria, un candado Kensington puede dificultar de antemano el robo sin vigilancia; los detalles de este mecanismo, sus ventajas y sus límites también se encuentran en el artículo Protección ideal del portátil. Para las organizaciones que operan equipos con tarjeta chip de servicio, la pérdida de un equipo supone en la práctica sobre todo esfuerzo organizativo: hay que bloquear y sustituir la tarjeta perdida, mientras que el equipo en sí, gracias al cifrado vinculado al TPM, no permite el acceso a los datos almacenados sin la tarjeta.
¿Qué modelos ofrecen lector de tarjetas inteligentes y TPM?
TPM 2.0 está presente de forma sistemática en los equipos robustos de la gama, como muestran la tabla comparativa de portátiles y la tabla comparativa de tablets. Un lector de tarjetas inteligentes como módulo de expansión u opción de fábrica lo ofrecen, entre otros, el Durabook R8, el Durabook R11, el Durabook R11L y el Durabook S14I. En Getac, entre otros, el Getac X500 y el Getac K120 incluyen lector de tarjetas inteligentes en su equipamiento de seguridad; para el uso en zonas Ex, el Getac ATEX EX80 con TPM 2.0 y lector RFID es una opción válida. Qué modelo encaja en detalle depende, además del control de accesos, del entorno de uso, el tamaño de pantalla y las demás conexiones; una vista general completa de todos los datos técnicos se encuentra en ambas tablas comparativas.
Cómo interactúan TPM y lector de tarjetas inteligentes
TPM y lector de tarjetas inteligentes resuelven dos tareas distintas que actúan conjuntamente en el trabajo de campo: el chip TPM gestiona claves, asegura el firmware y participa en el cifrado del disco, mientras que el lector de tarjetas inteligentes aporta el factor de posesión para un verdadero inicio de sesión de dos factores, una protección que ni una simple contraseña ni un lector de huella dactilar por sí solos ofrecen. Precisamente por eso, esta combinación suele ser un requisito, y no una opción, en administraciones, cuerpos de emergencia y parte de la industria. Para la elección concreta del modelo, la tabla comparativa de portátiles y la tabla comparativa de tablets ofrecen la vista general completa del equipamiento TPM y de tarjeta inteligente por modelo, mientras que el artículo Protección ideal del portátil detalla los demás mecanismos de seguridad, como OPAL 2.0, el candado Kensington, el NIST-BIOS y el lector de huella dactilar.
Ante dudas sobre el control de accesos adecuado para su ámbito de uso, el equipo de RobustBook le ayuda con gusto a elegir el modelo idóneo.