Wie een robuuste notebook of tablet aanschaft voor overheden, hulpdiensten of de industrie, stuit bijna altijd op twee termen: smartcardlezer en TPM. Beide komen in de beveiligingsspecificaties van robuuste apparaten regelmatig samen voor, maar vervullen verschillende taken. Dit artikel legt uit waar TPM en smartcard voor staan, hoe aanmelden via kaart verschilt van wachtwoord of vingerafdruk, waarom veel aanbestedingen in de publieke sector en de industrie precies deze combinatie eisen, hoe schijfversleuteling en TPM samenwerken en wat er gebeurt bij verlies van het apparaat. Een overzicht van de overige gangbare beveiligingsmechanismen bij robuuste laptops – waaronder SSD-versleuteling volgens OPAL 2.0, het Kensington-slot, NIST-BIOS-conformiteit en vingerafdrukscanners – biedt het artikel Ideale laptopbeveiliging: 5 beveiligingsfuncties en beschermingsmechanismen vergeleken. Dit artikel richt zich op de twee bouwstenen die bij veldgebruik met toegangscontrole het vaakst worden geëist.
Wat is een TPM-chip?
TPM staat voor "Trusted Platform Module" en duidt een kleine fysieke chipmodule aan, die vast op het moederbord is ingebouwd en als extra beveiligingsmechanisme naast de eigenlijke processor fungeert. De chip verzorgt meerdere taken tegelijk: hij is verantwoordelijk voor de schijfversleuteling, de bescherming tegen firmwaremanipulatie door BIOS-rootkits, de biometrische authenticatie en de overdracht van de systeemstatus bij toegang tot clouddiensten. Daarmee is TPM geen enkelvoudige inlogmethode, maar een soort beveiligde kluis op de printplaat, waarin cryptografische sleutels worden opgeslagen en verwerkt, zonder dat ze de chipmodule ooit in leesbare vorm verlaten.
De actuele versie TPM 2.0 is inmiddels bij vrijwel alle robuuste apparaten in het RobustBook-assortiment standaard. In de vergelijkingstabel Laptops is TPM 2.0 als aparte regel vermeld en bij alle vergeleken modellen van een vinkje voorzien, evenzo in de vergelijkingstabel Tablets. Ook bij de Getac-apparaten is TPM 2.0 vast onderdeel van de beveiligingsuitrusting, bijvoorbeeld bij de Getac X500, bij de Getac K120 en bij de voor Ex-zones ontworpen Getac ATEX EX80. Bij de Durabook S14I is de combinatie van smartcardlezer en TPM zelfs uitdrukkelijk als gezamenlijk beveiligingskenmerk vermeld.
Wat is een smartcardlezer en waarvoor wordt hij gebruikt?
Een smartcardlezer leest een fysieke chipkaart uit – bijvoorbeeld een dienstpasje, een handtekeningkaart of een gezondheidskaart – en geeft de daarop opgeslagen gegevens of certificaten door aan het besturingssysteem of een vaktoepassing. Anders dan een pure wachtwoordbeveiliging vereist de aanmelding daarmee het bezit van een fysiek voorwerp, niet alleen de kennis van een tekenreeks.
In het RobustBook-assortiment is de smartcardlezer bij meerdere modellen beschikbaar als uitbreidingsmodule of fabrieksoptie. Bij de Durabook R8 kan een uitbreidingsmodule met smartcardlezer worden gekozen – naar keuze als pure kaartlezer, in combinatie met LF/HF-RFID (NFC), met UHF-RFID (NFC) of samen met RS-232/RJ-45- en USB3.2-aansluitingen. Dezelfde uitbreidingsoptie is ook beschikbaar bij de Durabook R11 en bij de Durabook R11L. Bij de Durabook S14I is de smartcardlezer als fabrieksoptie bestelbaar, naar keuze ook als aan de achterzijde ingebouwde variant, en wordt daar uitdrukkelijk samen met TPM als beveiligingskenmerk genoemd.
Ook meerdere Getac-modellen voeren de smartcardlezer in hun beveiligingsuitrusting: de Getac X500 noemt TPM 2.0, Kensington-slot, smartcardlezer en vingerafdrukscanner in één adem. Bij de Getac B360 G3 is een smartcardlezer onderdeel van de basisuitrusting, bij de Getac K120 en bij de Getac UX10 is de kaartlezer als optie naast een vingerafdruklezer te kiezen. Ook de Getac V110 G3 en de Getac X600 voeren TPM 2.0 samen met een optionele vingerafdruklezer of smartcardlezer. In de vergelijkingstabellen voor laptops en tablets is de smartcardlezer als aparte regel opgenomen – bij een deel van de vergeleken modellen standaard, bij andere als optie.
Tweefactorauthenticatie met smartcard vergeleken met wachtwoord en vingerafdruk
Bij het aanmelden op een apparaat kunnen in beginsel drie soorten bewijzen worden onderscheiden: iets wat iemand weet (een wachtwoord of een pincode), iets wat iemand bezit (een chipkaart of een token), en iets wat iemand is (een biometrisch kenmerk zoals een vingerafdruk). Een puur wachtwoord dekt alleen de kennisfactor af en kan worden geraden, onderschept of doorgegeven. Een vingerafdrukscanner biedt weliswaar hoog comfort, omdat geen code hoeft te worden onthouden, maar heeft volgens de eigen plaatsing in het artikel over de laptopbeveiligingsfuncties ook zwakke punten: bij het uitlezen komen af en toe fouten voor, en vingerafdrukken zijn in beginsel na te bootsen. Daarmee biedt een vingerafdrukscanner alleen geen omvattende bescherming bij professioneel gebruik.
Een smartcard adresseert daarentegen de bezitfactor: zonder de fysieke kaart komt niemand bij het account, zelfs als een wachtwoord bekend zou zijn. Wordt de kaart aanvullend met een pincode of een biometrisch kenmerk gecombineerd, dan ontstaat een echte tweefactorauthenticatie van bezit en kennis respectievelijk bezit en biometrie. Precies deze combinatie is terug te vinden in meerdere apparaten van het assortiment: de Getac K120 combineert TPM 2.0, Windows-Hello-gezichtsherkenning en optionele smartcard- of vingerafdruklezers, de Getac UX10 zet in op Windows-Hello-gezichtsherkenning, TPM 2.0 en een optionele vingerafdrukscanner of smartcardlezer. Een wachtwoord alleen blijft bij al deze apparaten onderdeel van de aanmelding – de kaart of het biometrische kenmerk komt als tweede, onafhankelijke factor erbij, niet als vervanging.
Waarom overheden, hulpdiensten en industrie op smartcard en TPM inzetten
In de publieke sector en bij hulpdiensten is de combinatie van smartcard en TPM vaak geen vrije keuze, maar voorschrift. Op de pagina Defensietablets en defensielaptops wordt dat beknopt samengevat: duidelijke beschermingsklassen afhankelijk van inzet, optionele securityfuncties zoals smartcard of RFID afhankelijk van model en gedefinieerde configuraties. Op de pagina Openbare veiligheid wordt de kaartlezer bovendien als concreet toepassingsgeval bij gegevensregistratie genoemd: het inlezen van gezondheidskaarten via de optionele kaartlezer, bijvoorbeeld bij politie, brandweer of hulpdiensten tijdens inzet.
De reden hiervoor ligt in de aard van deze inzetten: apparaten worden in het voertuig, op de inzetlocatie of door wisselende ploegen gebruikt, vaak onder tijdsdruk. Een wachtwoord alleen laat niet betrouwbaar controleren wie zich juist aanmeldt – een chipkaart daarentegen is aan een persoon gebonden en kan bij ploegenwisseling eenvoudig worden verwijderd, waardoor het apparaat direct vergrendeld is. In de industrie geldt iets vergelijkbaars, bijvoorbeeld in explosiegevaarlijke gebieden: de Getac ATEX EX80 voor Ex-zones voert TPM 2.0 samen met een geïntegreerde hf-RFID-lezer als beveiligingsfuncties, zodat toegangscontrole en zonecertificering in hetzelfde apparaat samenkomen.
Schijfversleuteling in samenspel met TPM
TPM is volgens de eigen beveiligingsopgaven onder meer verantwoordelijk voor de schijfversleuteling. Concreet betekent dat: de sleutel waarmee de gegevens op de schijf versleuteld zijn, wordt niet zomaar op de harde schijf zelf of in het besturingssysteem opgeslagen, maar in het beveiligde geheugengebied van de TPM-chip bewaard. Een aanvaller die de schijf fysiek verwijdert en in een ander apparaat plaatst, komt daarmee niet zonder meer bij de sleutel – die is gebonden aan de betreffende TPM-module en daarmee aan het oorspronkelijke apparaat.
Voor de eigenlijke versleuteling van de SSD wordt bij veel robuuste apparaten aanvullend de standaard OPAL 2.0 gebruikt, waarbij de versleutelingslast naar de SSD zelf wordt uitbesteed in plaats van naar de CPU. Hoe OPAL 2.0 in detail werkt en waar de grenzen van de softwaregebaseerde versleuteling liggen, is uitgebreid beschreven in het artikel Ideale laptopbeveiliging. In samenspel met TPM ontstaat daaruit een meerlagige bescherming: TPM beveiligt het sleutelbeheer en de integriteit van de firmware bij de systeemstart, de SSD-versleuteling beveiligt de eigenlijke gegevens op de schijf. De smartcardlezer komt als derde laag erbij, doordat hij bepaalt wie überhaupt toegang krijgt tot het ontsleutelde systeem.
Wat gebeurt er bij verlies van het apparaat?
Raakt een robuuste notebook of tablet in het veld kwijt of wordt hij gestolen, dan grijpen de beschreven mechanismen in elkaar. Zonder de bijbehorende smartcard en de bijbehorende pincode of het biometrische kenmerk komt niemand bij het gebruikersaccount – de bezitfactor laat zich anders dan een wachtwoord niet eenvoudig raden of afkijken. De op de schijf opgeslagen gegevens blijven bovendien beschermd door de versleuteling, waarvan de sleutel in de TPM-chip gebonden is. Wordt geprobeerd de firmware te manipuleren om de beschermingsmechanismen te omzeilen, dan grijpt de in het TPM verankerde bescherming tegen firmwaremanipulatie door BIOS-rootkits in.
Aanvullend kan een Kensington-slot onbeheerde diefstal vooraf bemoeilijken – details over dit mechanisme, de voordelen en grenzen ervan staan eveneens in het artikel Ideale laptopbeveiliging. Voor organisaties die apparaten met dienstchipkaart gebruiken, betekent verlies van het apparaat in de praktijk vooral organisatorische inspanning: de verloren kaart moet worden geblokkeerd en vervangen, terwijl het apparaat zelf dankzij TPM-gebonden versleuteling zonder de kaart geen toegang tot de opgeslagen gegevens toestaat.
Welke modellen bieden smartcardlezer en TPM?
TPM 2.0 is bij de robuuste apparaten in het assortiment consequent aanwezig, zoals de vergelijkingstabel Laptops en de vergelijkingstabel Tablets tonen. Een smartcardlezer als uitbreidingsmodule of fabrieksoptie bieden onder meer de Durabook R8, de Durabook R11, de Durabook R11L en de Durabook S14I. Bij Getac voeren onder meer de Getac X500 en de Getac K120 smartcardlezers in hun beveiligingsuitrusting, voor gebruik in Ex-zones komt de Getac ATEX EX80 met TPM 2.0 en RFID-lezer in aanmerking. Welk model in detail past, hangt naast de toegangscontrole ook af van de inzetomgeving, schermgrootte en de overige aansluitingen – een volledig overzicht van alle technische gegevens staat in de twee vergelijkingstabellen.
Hoe TPM en smartcardlezer samenwerken
TPM en smartcardlezer lossen twee verschillende taken op die in het veld samenwerken: de TPM-chip beheert sleutels, beveiligt de firmware en is betrokken bij de schijfversleuteling, terwijl de smartcardlezer de bezitfactor levert voor een echte tweefactorauthenticatie – een beveiliging die noch een puur wachtwoord noch een vingerafdrukscanner alleen biedt. Precies daarom is deze combinatie bij overheden, hulpdiensten en delen van de industrie vaak voorschrift in plaats van keuze. Voor de concrete modelkeuze bieden de vergelijkingstabel Laptops en de vergelijkingstabel Tablets het volledige overzicht van TPM- en smartcarduitrusting per model, terwijl het artikel Ideale laptopbeveiliging de overige beveiligingsmechanismen zoals OPAL 2.0, Kensington-slot, NIST-BIOS en vingerafdrukscanner in detail toelicht.
Bij vragen over de passende toegangscontrole voor uw toepassingsgebied ondersteunt het RobustBook-team u graag bij de keuze van het geschikte model.