Kto kupuje wytrzymały notebook lub tablet dla urzędów, służb ratowniczych lub przemysłu, niemal zawsze natrafia na dwa pojęcia: czytnik kart smartcard i TPM. Oba pojawiają się regularnie razem w danych bezpieczeństwa wytrzymałych urządzeń, ale pełnią różne zadania. Ten artykuł wyjaśnia, co oznaczają TPM i smartcard, czym logowanie kartą różni się od hasła czy odcisku palca, dlaczego wiele przetargów w sektorze publicznym i przemyśle wymaga właśnie tej kombinacji, jak współdziałają szyfrowanie dysku i TPM oraz co dzieje się przy utracie urządzenia. Przegląd pozostałych powszechnych mechanizmów bezpieczeństwa w wytrzymałych laptopach – w tym szyfrowania SSD według OPAL 2.0, blokady Kensington, zgodności BIOS z NIST oraz czytnika linii papilarnych – zawiera artykuł Idealna ochrona laptopa: 5 funkcji bezpieczeństwa i mechanizmów ochronnych w porównaniu (DE). Niniejszy artykuł koncentruje się na dwóch elementach najczęściej wymaganych w pracy w terenie z kontrolą dostępu.
Czym jest chip TPM?
TPM oznacza „Trusted Platform Module" i określa niewielki fizyczny moduł chipowy, na stałe zamontowany na płycie głównej, pełniący funkcję dodatkowego mechanizmu bezpieczeństwa obok właściwego procesora. Chip przejmuje jednocześnie kilka zadań: odpowiada za szyfrowanie dysku, ochronę przed manipulacją oprogramowaniem układowym przez rootkity BIOS, uwierzytelnianie biometryczne oraz przekazywanie stanu systemu przy dostępie do usług chmurowych. TPM nie jest więc pojedynczą metodą logowania, lecz rodzajem zabezpieczonego sejfu na płycie, w którym przechowywane i przetwarzane są klucze kryptograficzne, nigdy nie opuszczające modułu chipowego w postaci jawnej.
Aktualna wersja TPM 2.0 jest obecnie standardem w praktycznie wszystkich wytrzymałych urządzeniach z oferty RobustBook. W tabeli porównawczej laptopów TPM 2.0 jest wymieniony jako osobny wiersz i oznaczony haczykiem przy wszystkich porównywanych modelach, podobnie w tabeli porównawczej tabletów. Także w urządzeniach Getac TPM 2.0 jest stałym elementem wyposażenia bezpieczeństwa, na przykład w Getac X500, Getac K120 oraz przeznaczonym do stref zagrożonych wybuchem Getac ATEX EX80. W Durabook S14I kombinacja czytnika smartcard i TPM jest nawet wprost wymieniona jako wspólna cecha bezpieczeństwa.
Czym jest czytnik kart smartcard i do czego służy?
Czytnik kart smartcard odczytuje fizyczną kartę chipową – na przykład legitymację służbową, kartę podpisu elektronicznego lub kartę zdrowia – i przekazuje zapisane na niej dane lub certyfikaty do systemu operacyjnego lub aplikacji branżowej. W przeciwieństwie do samej ochrony hasłem logowanie wymaga wtedy posiadania fizycznego przedmiotu, a nie tylko znajomości ciągu znaków.
W ofercie RobustBook czytnik kart smartcard jest dostępny przy kilku modelach jako moduł rozszerzeń lub opcja fabryczna. W Durabook R8 można wybrać moduł rozszerzeń z czytnikiem smartcard – opcjonalnie jako sam czytnik kart, w połączeniu z LF/HF-RFID (NFC), z UHF-RFID (NFC) lub razem ze złączami RS-232/RJ-45 i USB 3.2. Ta sama opcja rozszerzenia dostępna jest również w Durabook R11 i Durabook R11L. W Durabook S14I czytnik kart smartcard można zamówić jako opcję fabryczną, opcjonalnie także jako wariant montowany od tyłu, i jest tam wprost wymieniony razem z TPM jako cecha bezpieczeństwa.
Także kilka modeli Getac wymienia czytnik kart smartcard w swoim wyposażeniu bezpieczeństwa: Getac X500 wymienia jednym tchem TPM 2.0, blokadę Kensington, czytnik Smart Card oraz czytnik linii papilarnych. W Getac B360 G3 czytnik kart smartcard jest częścią wyposażenia podstawowego, a w Getac K120 i Getac UX10 czytnik kart można wybrać opcjonalnie obok czytnika linii papilarnych. Także Getac V110 G3 i Getac X600 wymieniają TPM 2.0 razem z opcjonalnym czytnikiem linii papilarnych lub czytnikiem kart smartcard. W tabelach porównawczych laptopów i tabletów czytnik kart smartcard jest wymieniony jako osobny wiersz – w części porównywanych modeli seryjnie, w innych jako opcja.
Logowanie dwuskładnikowe kartą smartcard w porównaniu z hasłem i odciskiem palca
Przy logowaniu do urządzenia można zasadniczo rozróżnić trzy rodzaje dowodów tożsamości: coś, co ktoś wie (hasło lub PIN), coś, co ktoś posiada (kartę chipową lub token), oraz coś, czym ktoś jest (cecha biometryczna, na przykład odcisk palca). Samo hasło pokrywa tylko czynnik wiedzy i można je odgadnąć, przechwycić lub przekazać dalej. Czytnik linii papilarnych oferuje wprawdzie wysoki komfort, ponieważ nie trzeba pamiętać żadnego kodu, ale zgodnie z własną oceną w artykule o funkcjach bezpieczeństwa laptopa ma też słabości: przy odczycie zdarzają się okazjonalne błędy, a odciski palców zasadniczo można podrobić. Sam czytnik linii papilarnych nie oferuje więc pełnej ochrony w zastosowaniach profesjonalnych.
Karta smartcard odnosi się natomiast do czynnika posiadania: bez fizycznej karty nikt nie uzyska dostępu do konta, nawet jeśli hasło byłoby znane. Jeśli karta dodatkowo zostanie połączona z PIN-em lub cechą biometryczną, powstaje prawdziwe logowanie dwuskładnikowe z posiadania i wiedzy lub posiadania i biometrii. Dokładnie taka kombinacja występuje w kilku urządzeniach z oferty: Getac K120 łączy TPM 2.0, rozpoznawanie twarzy Windows Hello oraz opcjonalne czytniki kart smartcard lub linii papilarnych, a Getac UX10 opiera się na rozpoznawaniu twarzy Windows Hello, TPM 2.0 oraz opcjonalnym czytniku linii papilarnych lub kart smartcard. Samo hasło pozostaje przy wszystkich tych urządzeniach nadal częścią logowania – karta lub cecha biometryczna dochodzi jako drugi, niezależny czynnik, a nie jako zamiennik.
Dlaczego urzędy, służby ratownicze i przemysł stawiają na smartcard i TPM
W sektorze publicznym i u służb ratowniczych kombinacja smartcard i TPM często nie jest dowolnym wyborem, lecz wymogiem. Na stronie tablety wojskowe i laptopy wojskowe jest to zwięźle podsumowane: jasne klasy ochrony w zależności od zastosowania, opcjonalne funkcje bezpieczeństwa, takie jak smartcard czy RFID, w zależności od modelu, oraz zdefiniowane konfiguracje. Na stronie Bezpieczeństwo publiczne czytnik kart wymieniony jest ponadto jako konkretny przypadek zastosowania w rejestracji danych: odczyt kart zdrowia przez opcjonalny czytnik kart, na przykład w policji, straży pożarnej czy pogotowiu ratunkowym w akcji.
Powód leży w charakterze tych zastosowań: urządzenia są używane w pojazdach, w miejscu akcji lub przez zmieniające się zmiany, często pod presją czasu. Samo hasło nie pozwala wiarygodnie skontrolować, kto akurat się loguje – karta chipowa natomiast jest przypisana do konkretnej osoby i może zostać wyjęta bez problemu przy zmianie zmiany, dzięki czemu urządzenie zostaje natychmiast zablokowane. W przemyśle obowiązuje podobna zasada, na przykład w strefach zagrożonych wybuchem: Getac ATEX EX80 przeznaczony do stref Ex wymienia TPM 2.0 razem ze zintegrowanym czytnikiem HF-RFID jako funkcje bezpieczeństwa, dzięki czemu kontrola dostępu i certyfikacja strefy łączą się w tym samym urządzeniu.
Szyfrowanie dysku we współdziałaniu z TPM
TPM według własnych danych bezpieczeństwa odpowiada między innymi za szyfrowanie dysku twardego. Konkretnie oznacza to: klucz, którym zaszyfrowane są dane na dysku, nie jest przechowywany po prostu na samym dysku ani w systemie operacyjnym, lecz w chronionym obszarze pamięci chipu TPM. Napastnik, który fizycznie wymontuje dysk i zainstaluje go w innym urządzeniu, nie uzyska więc łatwo dostępu do klucza – jest on związany z danym modułem TPM, a tym samym z oryginalnym urządzeniem.
Do właściwego szyfrowania dysku SSD w wielu wytrzymałych urządzeniach dodatkowo stosowany jest standard OPAL 2.0, w którym obciążenie szyfrowaniem przenoszone jest na sam dysk SSD zamiast na procesor. Jak dokładnie działa OPAL 2.0 i gdzie leżą granice szyfrowania programowego, szczegółowo opisano w artykule Idealna ochrona laptopa (DE). We współdziałaniu z TPM powstaje wielopoziomowa ochrona: TPM zabezpiecza zarządzanie kluczami i integralność oprogramowania układowego przy uruchamianiu systemu, szyfrowanie SSD zabezpiecza właściwe dane na dysku. Czytnik kart smartcard dochodzi jako trzecia warstwa, określając, kto w ogóle uzyska dostęp do odszyfrowanego systemu.
Co się dzieje przy utracie urządzenia?
Jeśli wytrzymały notebook lub tablet zostanie zgubiony w pracy w terenie lub skradziony, opisane mechanizmy zaczynają współdziałać. Bez odpowiedniej karty smartcard i przypisanego do niej PIN-u lub cechy biometrycznej nikt nie uzyska dostępu do konta użytkownika – czynnika posiadania, w przeciwieństwie do hasła, nie można po prostu odgadnąć ani spisać. Dane zapisane na dysku dodatkowo pozostają chronione dzięki szyfrowaniu, którego klucz jest związany z chipem TPM. Jeśli podjęta zostanie próba manipulacji oprogramowaniem układowym w celu obejścia mechanizmów ochronnych, zadziała zakotwiczona w TPM ochrona przed manipulacją oprogramowaniem układowym przez rootkity BIOS.
Dodatkowo blokada Kensington może z wyprzedzeniem utrudnić kradzież urządzenia pozostawionego bez nadzoru – szczegóły dotyczące tego mechanizmu, jego zalet i granic również znajdują się w artykule Idealna ochrona laptopa (DE). Dla organizacji korzystających z urządzeń z kartą służbową utrata urządzenia w praktyce oznacza przede wszystkim nakład organizacyjny: zagubioną kartę trzeba zablokować i wymienić, podczas gdy samo urządzenie dzięki szyfrowaniu związanemu z TPM bez karty nie umożliwia dostępu do zapisanych danych.
Które modele oferują czytnik kart smartcard i TPM?
TPM 2.0 jest obecny konsekwentnie we wszystkich wytrzymałych urządzeniach z oferty, co pokazują tabela porównawcza laptopów i tabela porównawcza tabletów. Czytnik kart smartcard jako moduł rozszerzeń lub opcję fabryczną oferują między innymi Durabook R8, Durabook R11, Durabook R11L oraz Durabook S14I. U Getac czytnik kart smartcard w wyposażeniu bezpieczeństwa mają między innymi Getac X500 i Getac K120, a do zastosowań w strefach Ex nadaje się Getac ATEX EX80 z TPM 2.0 i czytnikiem RFID. To, który model pasuje najlepiej, zależy oprócz kontroli dostępu także od środowiska pracy, wielkości wyświetlacza i pozostałych złączy – pełny przegląd wszystkich danych technicznych zawierają obie tabele porównawcze.
Jak współdziałają TPM i czytnik kart smartcard
TPM i czytnik kart smartcard realizują dwa różne zadania, które współdziałają w pracy w terenie: chip TPM zarządza kluczami, zabezpiecza oprogramowanie układowe i uczestniczy w szyfrowaniu dysku, natomiast czytnik kart smartcard dostarcza czynnik posiadania dla prawdziwego logowania dwuskładnikowego – zabezpieczenie, którego nie zapewnia ani samo hasło, ani sam czytnik linii papilarnych. Właśnie dlatego ta kombinacja jest u urzędów, służb ratowniczych i w części przemysłu często wymogiem, a nie dodatkiem. Do konkretnego wyboru modelu pełny przegląd wyposażenia TPM i smartcard w poszczególnych modelach dostarczają tabela porównawcza laptopów i tabela porównawcza tabletów, natomiast artykuł Idealna ochrona laptopa (DE) szczegółowo omawia pozostałe mechanizmy bezpieczeństwa, takie jak OPAL 2.0, blokada Kensington, NIST-BIOS i czytnik linii papilarnych.
W kwestii doboru odpowiedniej kontroli dostępu do Państwa obszaru zastosowania zespół RobustBook chętnie pomoże w wyborze właściwego modelu.