Die zentrale Komponente in den Spezifikationen der Trusted Computing Group (TCG) ist das Trusted Platform Module (TPM). Viele Händler rüsten ihre Rechnerplattformen und Systeme inzwischen mit TPMs aus, die sie als TPM-konform ausweisen. Tatsächlich aber gibt es derzeit kaum Lösungen, die einen Nachweis über die TPM-Konformität liefern können. Zukünftige Applikationen werden in hohem Maße die TPM-Funktionalitäten nutzen und müssen sich auf deren Fehlerfreiheit verlassen können. Aus diesem Grund ist es wichtig, unabhängige Untersuchungen zur Konformität der Module durchzuführen und die tatsächliche Sicherheit der TPMs zu analysieren und zu dokumentieren.

Sirrix AG führt individuelle und unabhängige TPM-Konformitätsuntersuchungen für TPM Hersteller, Händler und Endbenutzer durch. Dafür verwenden wir unsere eigens dafür in Kooperation mit dem Horst Görtz Institut für IT-Sicherheit entwickelte TPM Test Suite.

Unsere Testschwerpunkte:

Test auf Konformität bezüglich der veröffentlichten TPM Spezifikationen
Test auf Konformität bezüglich der TCG-internen TPM Spezifikation (nur für TCG-Mitglieder)
Analyse der Testeregebnisse (z.B. zur Optimierung der TPM Konformität)

Test Suite

Zur Gewährleistung unabhängiger Testverfahren bei den Untersuchungen auf TPM-Konformität hat die Sirrix AG eine eigene TPM Compliance Test Suite entwickelt. Die Schwerpunkte bei der Entwicklung der Test Suite waren:

Möglichkeit für Händler zur Evaluation ihrer eingesetzen TPMs durch eine unabhängige Institution
Möglichkeit für TPM-Entwickler zu Regression Tests, um sicherstellen zu können, dass Änderungen sich nicht auf die TPM-Konformität auswirken
Ein unabhängiges Tool für TPM-Händler zum Vergleich verschiedener TPM Implementierungen
Möglichkeit für Endbenutzer, ihre TPMs auf Integrität und Verwendbarkeit zu testen
Identify security weaknesses of TPM implementations

Die Vorteile unserer TPM Compliance Test Suite:

Beliebig erweiterbar: Neue Testfälle können problemlos hinzugefügt werden
Konfigurierbar: Ein spezielles Konfigurationsprogramm ermöglicht den Test von Testfall-Gruppen bis hin zu jedem einzelnen Testfall
Berichte: Die Test Suite generiert Zwischenberichte und Logfiles zum Debuggen einzelner Testfälle
DAA Unterstützung: Eine Schnittstelle zu IBM's DAA Test Suite ermöglicht Konformitätstests im komplexen DAA-Protokoll

Veröffentlichte Testergebnisse

Zur Darstellung und Verdeutlichung unserer Test-Strategien und einiger Beispiel-Testergebnisse von TPMs in Bezug auf deren TCG-Konformität haben wir eine kurze Studie veröffentlicht. Eines der wichtigsten Erkenntnisse dieser Untersuchung ist, dass einige TPM-Implemetationen tatsächlich nicht mit der TCG-Spezifikation übereinstimmen oder Fehler aufweisen. Außerdem zeigen wir die zum Teil massiven Auswirkungen eines nicht konformen Systems auf die Gesamtsicherheit auf und analysieren die Sicherheitslücken am Beispiel eines weit verbreiteten TPM-Chips.

blauer Pfeil Publikation über Teststrategien und Testergebnisse (englisch)
Kurze Zusammenfassung der gefundenen Probleme bei TPMs v1.1b
TPM-Spezifikationen der TCG