The potential evil of the specification comes from three distinct points. The first is a non-malleable trusted root for trusted storage. The second is the inability to disable ALL of the functionality of the TPM, and the third is the inability to provide a reasonable degree of privacy.
Le premier point sur le trusted root est en effet assez sensible, creer des organismes de certification capable generer un nouveau trusted root risque de ne pas etre evident. De plus ces organismes auront besoin pour creer ce root d'un grand nombre d'information vous concernant (le numero de serie de votre CPU, de votre Bios et le degree de conformite de votre machine a TCPA). Toutes ces informations leur permettront 1- de savoir exactement qui vous etes, 2-de creer a volonte un trusted root capable de tourner sur votre machine (et donc d'acoir un acces total sur toutes vos clefs). Mettre a disposition un outil capable de creer un trusted root risque donc de faire autant de mal que de bien. Mais le probleme avec le trusted root ne vient que si un utilisateur n'a pas le controle sur ses PCR, IE si je ne peut pas determiner quelles serie de composants sont necessaire au boot. Dans l'implementation actuelle on peut au contraire creer autant de PCR que l'on veut et ce base sur les infos que l'on veut. On peut en faire un qui boot a tous les coups, un qui exige la presence de telle ou telle carte PCI ou disque dur, un qui exige que tout soit rigoureusement identique etc... Si on enleve ce droit alors la oui on aura un probleme. Mais ce n'est pas le cas.
Comme le dit l'auteur du texte : This, coupled with the inability to disable the extend capability, would prevent anyone from running an operating system of their choice.
Pour l'instant non seulement on peut desactiver le mode extend (ie tout doit etre TCPA certified), mais on peut meme choisir ce que l'on veut verifier. Il faut donc faire tres attention a ce point, mais pour l'instant ca va.
Je ne peux pas creer mon propre trusted root, mais j'ai des droits complets dessus (je peux meme aller chercher les clefs physiquement si ca me chante cf plus haut)
Je ne peux pas desactiver TPM mais je peux creer un PCR qui ne verifie rien. Je suis d'accord que ce n'est pas l'ideal, mais le choix contraire poserait au moins autant de probleme et remttrait en cause l'utilite de TCPA.
En ce qui concerne le troisieme point c'est assez vrai. Si je me place en mode trust, je prend pas mal de risque de me faire cibler, c'est a dire qu'un organisme regroupant les clefs identitaires de plusieurs machines serait capable de faire fusionner plusieurs de mes identites (par exemple de savoir que deux pseudos sont en fait une seule et meme personne.) Quand je veux echanger des clefs avec quelqu'un en TCPA je fais appel a une tierce personne (trust third party). Si je fait souvent appel a la meme boite, elle risque de pouvoir suivre mes habitudes sur le net. De plus si cette personne est aussi emettrice de certificat elle risque de pouvoir faire un recoupement complet sur mon identite. Il est clair que ceci pose un probleme d'anonymat sur le net. Bon outre le fait qu'une personne qui decide de vous retrouver a tous les moyens pour le faire aujourd'hui, il est vrai que d'avoir un organisme capable de savoir qui l'on est et ce que l'on fait sur le net est assez deplaisant (meme si on est deja loin du probleme pose par la possibilite ou non de booter son OS favori). Il a ete clairement defini qu'un certificateur ne pouvait pas etre un third party trust. Mais techniquement rien ne l'empeche. Seul petit probleme, a moins de s'echanger les clefs TCPA de la main a la main comme on s'echange aujourd'hui les clefs GnuPG il n'y a pas d'autres solutions. Par contre n'importe qui peut jouer le role de third party trust. Donc on aurait plutot besoin au contraire du support du libre au maximum. En effet il suffit de multiplier le nombre de third party trust pour que le recoupement de donnees devienne improbable. Reste a voir si c'est implementable, j'y jette un oeuil ce soir.
Ceci etant cet article ne fait pas non plus mention de danger immediats, juste de dangers potentiels. De plus sur les 5 suggestions qui sont faites, 2 ont deja ete realisees (4 et 5), une est irrealisable (3) une est dangereuse (1) et une pourrait effectivement etre un plus et a d'ailleurs ete envisagee par Intel (2).
il suffit de regarder le début des specs officeille TCPA, page 12, section 2.2 "trusted roots" pour voir que voir que le but de TCPA est tres proche de l'activation framework de Windows XP
Oui extremement proche, pour ne pas dire quasiment identique. A un detail pres : c'est l'utilisateur qui est aux commandes. Si j'ai envie de controler ce qui tourne sur ma machine, et d'empecher tout ce que je n'ai pas controle de tourner, c'est mon probleme. Parce que c'est moi qui decide. C'est exactement ca le but de TCPA et je ne vois pas le mal. Pour que cela se retourne contre l'utilisateur et l'empeche de faire quelquechose, il faudrait rajouter un grand nombre de limitations a ce qui existe a l'heure actuelle
-il faudrait enlever la possibilite de creer des PCR
-il faudrait enlever la possibilite de deplacer/copier les clefs
-il faudrait que l'ensemble des PCR/TPM crees avec les truted root exigent un systeme certifie jusqu'a la garde...
[^] # Re: TCPA utilisé en synergie avec d'autres cryptages
Posté par Jerome Herman . En réponse à la dépêche TCPA confirmé pour Prescott. Évalué à 2.
Le premier point sur le trusted root est en effet assez sensible, creer des organismes de certification capable generer un nouveau trusted root risque de ne pas etre evident. De plus ces organismes auront besoin pour creer ce root d'un grand nombre d'information vous concernant (le numero de serie de votre CPU, de votre Bios et le degree de conformite de votre machine a TCPA). Toutes ces informations leur permettront 1- de savoir exactement qui vous etes, 2-de creer a volonte un trusted root capable de tourner sur votre machine (et donc d'acoir un acces total sur toutes vos clefs). Mettre a disposition un outil capable de creer un trusted root risque donc de faire autant de mal que de bien. Mais le probleme avec le trusted root ne vient que si un utilisateur n'a pas le controle sur ses PCR, IE si je ne peut pas determiner quelles serie de composants sont necessaire au boot. Dans l'implementation actuelle on peut au contraire creer autant de PCR que l'on veut et ce base sur les infos que l'on veut. On peut en faire un qui boot a tous les coups, un qui exige la presence de telle ou telle carte PCI ou disque dur, un qui exige que tout soit rigoureusement identique etc... Si on enleve ce droit alors la oui on aura un probleme. Mais ce n'est pas le cas.
Comme le dit l'auteur du texte :
This, coupled with the inability to disable the extend capability, would prevent anyone from running an operating system of their choice.
Pour l'instant non seulement on peut desactiver le mode extend (ie tout doit etre TCPA certified), mais on peut meme choisir ce que l'on veut verifier. Il faut donc faire tres attention a ce point, mais pour l'instant ca va.
Je ne peux pas creer mon propre trusted root, mais j'ai des droits complets dessus (je peux meme aller chercher les clefs physiquement si ca me chante cf plus haut)
Je ne peux pas desactiver TPM mais je peux creer un PCR qui ne verifie rien. Je suis d'accord que ce n'est pas l'ideal, mais le choix contraire poserait au moins autant de probleme et remttrait en cause l'utilite de TCPA.
En ce qui concerne le troisieme point c'est assez vrai. Si je me place en mode trust, je prend pas mal de risque de me faire cibler, c'est a dire qu'un organisme regroupant les clefs identitaires de plusieurs machines serait capable de faire fusionner plusieurs de mes identites (par exemple de savoir que deux pseudos sont en fait une seule et meme personne.) Quand je veux echanger des clefs avec quelqu'un en TCPA je fais appel a une tierce personne (trust third party). Si je fait souvent appel a la meme boite, elle risque de pouvoir suivre mes habitudes sur le net. De plus si cette personne est aussi emettrice de certificat elle risque de pouvoir faire un recoupement complet sur mon identite. Il est clair que ceci pose un probleme d'anonymat sur le net. Bon outre le fait qu'une personne qui decide de vous retrouver a tous les moyens pour le faire aujourd'hui, il est vrai que d'avoir un organisme capable de savoir qui l'on est et ce que l'on fait sur le net est assez deplaisant (meme si on est deja loin du probleme pose par la possibilite ou non de booter son OS favori). Il a ete clairement defini qu'un certificateur ne pouvait pas etre un third party trust. Mais techniquement rien ne l'empeche. Seul petit probleme, a moins de s'echanger les clefs TCPA de la main a la main comme on s'echange aujourd'hui les clefs GnuPG il n'y a pas d'autres solutions. Par contre n'importe qui peut jouer le role de third party trust. Donc on aurait plutot besoin au contraire du support du libre au maximum. En effet il suffit de multiplier le nombre de third party trust pour que le recoupement de donnees devienne improbable. Reste a voir si c'est implementable, j'y jette un oeuil ce soir.
Ceci etant cet article ne fait pas non plus mention de danger immediats, juste de dangers potentiels. De plus sur les 5 suggestions qui sont faites, 2 ont deja ete realisees (4 et 5), une est irrealisable (3) une est dangereuse (1) et une pourrait effectivement etre un plus et a d'ailleurs ete envisagee par Intel (2).
il suffit de regarder le début des specs officeille TCPA, page 12, section 2.2 "trusted roots" pour voir que voir que le but de TCPA est tres proche de l'activation framework de Windows XP
Oui extremement proche, pour ne pas dire quasiment identique. A un detail pres : c'est l'utilisateur qui est aux commandes. Si j'ai envie de controler ce qui tourne sur ma machine, et d'empecher tout ce que je n'ai pas controle de tourner, c'est mon probleme. Parce que c'est moi qui decide. C'est exactement ca le but de TCPA et je ne vois pas le mal. Pour que cela se retourne contre l'utilisateur et l'empeche de faire quelquechose, il faudrait rajouter un grand nombre de limitations a ce qui existe a l'heure actuelle
-il faudrait enlever la possibilite de creer des PCR
-il faudrait enlever la possibilite de deplacer/copier les clefs
-il faudrait que l'ensemble des PCR/TPM crees avec les truted root exigent un systeme certifie jusqu'a la garde...
Pour l'instant on en est pas la, et heureusement.
Kha