Chi acquista un notebook o un tablet rugged per enti pubblici, forze operative o l'industria si imbatte quasi sempre in due termini: lettore smart card e TPM. Entrambi compaiono regolarmente insieme nelle specifiche di sicurezza dei dispositivi rugged, ma svolgono compiti diversi. Questo articolo spiega cosa significhino TPM e smart card, in cosa si differenzia l'autenticazione tramite scheda da quella con password o impronta digitale, perché molti capitolati d'appalto nel settore pubblico e nell'industria richiedono proprio questa combinazione, come interagiscono crittografia del disco e TPM e cosa succede in caso di smarrimento del dispositivo. Una panoramica degli ulteriori meccanismi di sicurezza comuni sui laptop rugged – tra cui la crittografia SSD secondo OPAL 2.0, il blocco Kensington, la conformità NIST-BIOS e lo scanner di impronte digitali – è offerta dall'articolo Protezione ideale del laptop: 5 funzioni e meccanismi di sicurezza a confronto. Il presente articolo si concentra sui due elementi più richiesti negli impieghi sul campo con controllo degli accessi.
Cos'è un chip TPM?
TPM sta per "Trusted Platform Module" e indica un piccolo modulo chip fisico, montato saldamente sulla scheda madre, che funge da meccanismo di sicurezza aggiuntivo rispetto al processore vero e proprio. Il chip svolge più compiti contemporaneamente: è responsabile della crittografia del disco, della protezione contro la manipolazione del firmware tramite rootkit del BIOS, dell'autenticazione biometrica, nonché della trasmissione dello stato del sistema in caso di accesso a servizi cloud. TPM non è quindi una singola procedura di login, bensì una sorta di cassaforte protetta sulla scheda, in cui vengono memorizzate ed elaborate chiavi crittografiche, senza che queste lascino mai il modulo chip in chiaro.
L'attuale versione TPM 2.0 è ormai standard su praticamente tutti i dispositivi rugged della gamma RobustBook. Nella tabella comparativa Laptop, TPM 2.0 è riportato come riga a sé ed è contrassegnato con un segno di spunta per tutti i modelli confrontati, così come nella tabella comparativa Tablet. Anche nei dispositivi Getac, TPM 2.0 fa parte integrante della dotazione di sicurezza, ad esempio nel Getac X500, nel Getac K120 e nel Getac ATEX EX80 concepito per zone Ex. Sul Durabook S14I, la combinazione di lettore smart card e TPM è addirittura elencata esplicitamente come caratteristica di sicurezza congiunta.
Cos'è un lettore smart card e a cosa serve?
Un lettore smart card legge una scheda a chip fisica – ad esempio un badge di servizio, una carta firma o una tessera sanitaria – e trasmette i dati o i certificati in essa memorizzati al sistema operativo o a un'applicazione specifica. A differenza di una semplice protezione tramite password, l'accesso richiede quindi il possesso di un oggetto fisico, non solo la conoscenza di una sequenza di caratteri.
Nella gamma RobustBook, il lettore smart card è disponibile su diversi modelli come modulo di espansione o opzione di fabbrica. Sul Durabook R8 è possibile scegliere un modulo di espansione con lettore smart card – a scelta come semplice lettore di schede, in combinazione con LF/HF-RFID (NFC), con UHF-RFID (NFC) o insieme a connessioni RS-232/RJ-45 e USB3.2. La stessa opzione di espansione è disponibile anche sul Durabook R11 e sul Durabook R11L. Sul Durabook S14I, il lettore smart card è ordinabile come opzione di fabbrica, a scelta anche in versione montata sul retro, e viene indicato esplicitamente insieme al TPM come caratteristica di sicurezza.
Anche diversi modelli Getac indicano il lettore smart card nella propria dotazione di sicurezza: il Getac X500 cita in un'unica voce TPM 2.0, blocco Kensington, lettore smart card e scanner di impronte digitali. Sul Getac B360 G3, un lettore smart card fa parte della dotazione base, sul Getac K120 e sul Getac UX10, il lettore di schede è selezionabile come opzione accanto a un lettore di impronte digitali. Anche il Getac V110 G3 e il Getac X600 indicano TPM 2.0 insieme a un lettore di impronte digitali o un lettore smart card opzionali. Nelle tabelle comparative per laptop e tablet, il lettore smart card è elencato come riga a sé – per una parte dei modelli confrontati di serie, per altri come opzione.
Autenticazione a due fattori con smart card a confronto con password e impronta digitale
Nell'accesso a un dispositivo si distinguono fondamentalmente tre tipi di elementi di verifica: qualcosa che si sa (una password o un PIN), qualcosa che si possiede (una scheda a chip o un token) e qualcosa che si è (una caratteristica biometrica come un'impronta digitale). Una semplice password copre solo il fattore della conoscenza e può essere indovinata, intercettata o ceduta ad altri. Uno scanner di impronte digitali offre sì un elevato comfort, perché non è necessario memorizzare alcun codice, ma presenta, secondo quanto riportato nell'articolo sulle funzioni di sicurezza del laptop, anche debolezze: nella lettura si verificano occasionalmente errori, e le impronte digitali possono in linea di principio essere riprodotte. Uno scanner di impronte digitali da solo non offre quindi una protezione completa nell'uso professionale.
Una smart card indirizza invece il fattore del possesso: senza la scheda fisica, nessuno può accedere all'account, anche se una password fosse nota. Se la scheda viene inoltre combinata con un PIN o una caratteristica biometrica, si ottiene una vera autenticazione a due fattori basata su possesso e conoscenza, oppure su possesso e biometria. Proprio questa combinazione si ritrova in diversi dispositivi della gamma: il Getac K120 combina TPM 2.0, riconoscimento facciale Windows Hello e lettori smart card o di impronte digitali opzionali, mentre il Getac UX10 punta su riconoscimento facciale Windows Hello, TPM 2.0 e uno scanner di impronte digitali o lettore smart card opzionale. Una password da sola resta comunque parte dell'accesso su tutti questi dispositivi – la scheda o la caratteristica biometrica si aggiunge come secondo fattore indipendente, non come sostituto.
Perché enti pubblici, forze operative e industria puntano su smart card e TPM
Nel settore pubblico e per le forze operative, la combinazione di smart card e TPM non è spesso una scelta libera, ma un requisito. La pagina Militare lo riassume in modo conciso: classi di protezione chiare a seconda dell'impiego, funzioni di sicurezza opzionali come smart card o RFID a seconda del modello e configurazioni definite. La pagina Sicurezza pubblica cita inoltre il lettore di schede come caso d'uso concreto nella rilevazione dati: la lettura di tessere sanitarie tramite il lettore di schede opzionale, ad esempio da parte di polizia, vigili del fuoco o servizi di soccorso in intervento.
Il motivo risiede nella natura di questi impieghi: i dispositivi vengono utilizzati in veicolo, sul luogo dell'intervento o da turni che si alternano, spesso sotto pressione di tempo. Una password da sola non consente di controllare in modo affidabile chi si sta effettivamente autenticando – una scheda a chip, invece, è legata a una persona e può essere prelevata senza complicazioni al cambio turno, bloccando immediatamente il dispositivo. Nell'industria vale un principio simile, ad esempio nelle aree a rischio di esplosione: il Getac ATEX EX80 per zone Ex indica TPM 2.0 insieme a un lettore HF-RFID integrato come caratteristiche di sicurezza, in modo che controllo degli accessi e certificazione di zona si uniscano nello stesso dispositivo.
Crittografia del disco in combinazione con TPM
Secondo le stesse indicazioni di sicurezza, TPM è responsabile, tra l'altro, della crittografia del disco. Concretamente ciò significa: la chiave con cui sono criptati i dati sul disco non viene semplicemente memorizzata sul disco stesso o nel sistema operativo, ma conservata nell'area di memoria protetta del chip TPM. Un aggressore che rimuova fisicamente il disco e lo inserisca in un altro dispositivo non ottiene quindi facilmente la chiave – questa è legata al rispettivo modulo TPM e quindi al dispositivo originale.
Per la crittografia vera e propria della SSD, in molti dispositivi rugged viene inoltre utilizzato lo standard OPAL 2.0, in cui il carico di crittografia viene delegato alla SSD stessa invece che alla CPU. Come funziona nel dettaglio OPAL 2.0 e dove si trovano i limiti della crittografia basata su software è descritto in modo approfondito nell'articolo Protezione ideale del laptop. In combinazione con TPM ne risulta una protezione su più livelli: TPM garantisce la gestione delle chiavi e l'integrità del firmware all'avvio del sistema, la crittografia SSD protegge i dati veri e propri sul disco. Il lettore smart card si aggiunge come terzo livello, stabilendo chi ottiene effettivamente l'accesso al sistema decrittato.
Cosa succede in caso di smarrimento del dispositivo?
Se un notebook o un tablet rugged viene smarrito o rubato durante l'impiego sul campo, i meccanismi descritti agiscono insieme. Senza la smart card corretta e il relativo PIN o la caratteristica biometrica associata, nessuno può accedere all'account utente – a differenza di una password, il fattore del possesso non può essere semplicemente indovinato o annotato. I dati memorizzati sul disco restano inoltre protetti dalla crittografia, la cui chiave è legata al chip TPM. Se si tenta di manipolare il firmware per aggirare i meccanismi di protezione, interviene la protezione ancorata nel TPM contro la manipolazione del firmware tramite rootkit del BIOS.
In aggiunta, un blocco Kensington può rendere più difficile il furto incustodito in anticipo – dettagli su questo meccanismo, i suoi vantaggi e i suoi limiti si trovano anch'essi nell'articolo Protezione ideale del laptop. Per le organizzazioni che gestiscono dispositivi con scheda a chip di servizio, lo smarrimento del dispositivo comporta nella pratica soprattutto un onere organizzativo: la scheda smarrita deve essere bloccata e sostituita, mentre il dispositivo stesso, grazie alla crittografia legata al TPM, non consente l'accesso ai dati memorizzati senza la scheda.
Quali modelli offrono lettore smart card e TPM?
TPM 2.0 è presente in modo continuativo nei dispositivi rugged della gamma, come mostrano la tabella comparativa Laptop e la tabella comparativa Tablet. Un lettore smart card come modulo di espansione o opzione di fabbrica è offerto tra l'altro dal Durabook R8, dal Durabook R11, dal Durabook R11L e dal Durabook S14I. In Getac, tra l'altro il Getac X500 e il Getac K120 indicano il lettore smart card nella propria dotazione di sicurezza; per l'impiego in zone Ex è idoneo il Getac ATEX EX80 con TPM 2.0 e lettore RFID. Quale modello sia adatto nel dettaglio dipende, oltre che dal controllo degli accessi, anche dall'ambiente d'impiego, dalla dimensione del display e dalle restanti connessioni – una panoramica completa di tutti i dati tecnici si trova nelle due tabelle comparative.
Come interagiscono TPM e lettore smart card
TPM e lettore smart card risolvono due compiti diversi che interagiscono sul campo: il chip TPM gestisce le chiavi, protegge il firmware ed è coinvolto nella crittografia del disco, mentre il lettore smart card fornisce il fattore di possesso per una vera autenticazione a due fattori – una protezione che né una semplice password né uno scanner di impronte digitali da soli offrono. Proprio per questo, tale combinazione è spesso un requisito piuttosto che una scelta facoltativa presso enti pubblici, forze operative e in parte dell'industria. Per la scelta concreta del modello, la tabella comparativa Laptop e la tabella comparativa Tablet offrono la panoramica completa sulla dotazione TPM e smart card per ciascun modello, mentre l'articolo Protezione ideale del laptop inquadra nel dettaglio gli ulteriori meccanismi di sicurezza come OPAL 2.0, blocco Kensington, NIST-BIOS e scanner di impronte digitali.
Per domande sul controllo degli accessi più adatto al vostro ambito d'impiego, il team RobustBook è a disposizione per assistervi nella scelta del modello adeguato.