TPM (Trusted Platform Module) giúp bảo vệ an ninh mạng như thế nào?

TPM là gì?

TPM (Trusted Platform Module) là một vi điều khiển chuyên dụng (crypto-processor) gắn trên bo mạch chủ, cung cấp các chức năng bảo mật dựa trên phần cứng (hardware-based security). TPM lưu trữ an toàn các khóa mật mã, chứng chỉ số, mật khẩu và đo lường độ tin cậy của hệ thống (measured boot).

Tại sao TPM an toàn?

• Cách ly phần cứng: Khóa riêng (private key) không bao giờ rời khỏi chip TPM, không thể đọc bằng phần mềm.
• Chống tấn công vật lý: Chip có cơ chế phát hiện và chống can thiệp (tamper-resistant).
• Bất biến: Firmware TPM được ký số, không thể sửa đổi trái phép.
• Độ tin cậy gốc (Root of Trust): TPM là điểm neo tin cậy cho toàn bộ chuỗi khởi động (boot chain).

Các phiên bản TPM

TPM lưu trữ gì?

• Endorsement Key (EK): Khóa RSA/ECC duy nhất, được đúc sẵn tại nhà máy, dùng để chứng thực thiết bị (attestation).
• Storage Root Key (SRK): Khóa gốc để bọc (wrap) các khóa khác lưu trữ trong TPM hoặc đĩa cứng.
• Attestation Identity Keys (AIK): Khóa ẩn danh dùng cho remote attestation.
• Platform Configuration Registers (PCR): 24 thanh ghi lưu hash của các thành phần boot (BIOS, bootloader, kernel, driver...).
• Khóa người dùng: Khóa đối xứng, khóa bất đối xứng, chứng chỉ, mật khẩu, seed ngẫu nhiên.

Ứng dụng thực tế của TPM trong an ninh mạng

1. BitLocker Drive Encryption (Windows)

TPM bảo vệ khóa giải mã ổ đĩa. Nếu PCR thay đổi (BIOS bị sửa, bootloader bị thay đổi), TPM từ chối giải phóng khóa → ngăn chặn evil maid attack, bootkit.

2. Windows Hello & Credential Guard

Lưu trữ khóa khái sinh (PIN, vân tay, khuôn mặt) và token Kerberos/NTLM trong VBS (Virtualization-Based Security) kết hợp TPM.

3. Measured Boot & Remote Attestation

Hệ thống ghi hash từng thành phần boot vào PCR. Server quản trị có thể kiểm tra từ xa (remote attestation) xem endpoint có bị compromize không trước khi cho truy cập mạng (NAC).

4. Bảo mật khóa VPN, Wi-Fi, SSH, TLS

Lưu private key của client certificate, SSH key, Wi-Fi WPA3-Enterprise private key trong TPM → malware không thể đánh cắp khóa ngay cả khi có quyền SYSTEM/root.

5. Device Health Attestation (MDM/Intune)

Intune/MDM yêu cầu thiết bị báo cáo PCR values để xác nhận thiết bị chưa bị jailbreak/root, bootloader khóa, không có rootkit.

TPM có thể bị hack không?

• Tấn công lạnh (Cold boot attack): Nếu máy đang bật hoặc sleep (không tắt hẳn), khóa trong RAM có thể bị đọc. TPM 2.0 giảm thiểu bằng policy yêu cầu xác thực khi resume.
• Tấn công kênh phụ (Side-channel): Phân tích tiêu thụ điện, thời gian thực hiện để suy ra khóa. Yêu cầu truy cập vật lý, thiết bị đắt tiền.
• Lỗi firmware: CVE-2017-15361 (ROCA) trên Infineon TPM 1.2/2.0 cho phép khôi phục khóa RSA từ public key. Cần cập nhật firmware.
• Tấn công dictionary attack trên PIN: TPM có bộ đếm thử sai (dictionary attack logic), khóa tạm thời sau nhiều lần sai.

Kết luận: TPM tăng cường bảo mật đáng kể so với lưu trữ khóa bằng phần mềm. Không có giải pháp nào tuyệt đối, nhưng TPMرفع tiêu tốn tấn công từ "kẻ tấn công từ xa" lên "kẻ có truy cập vật lý + kỹ năng cao + thiết bị chuyên dụng".

Khi nào nên bật TPM?

• Mọi laptop/PC doanh nghiệp, thiết bị BYOD truy cập dữ liệu nhạy cảm.
• Server vật lý chạy hypervisor (Hyper-V, ESXi) để bảo vệ khóa VM encryption.
• IoT gateway, edge device cần device identity mạnh.

Không cần thiết trên: VM không quan trọng, môi trường test tạm thời, thiết bị không lưu dữ liệu nhạy cảm.

Cách bật/kích hoạt TPM

1. Khởi động vào BIOS/UEFI (thường nhấn F2, Del, F12 khi boot).
2. Tìm mục Security hoặc Trusted Computing.
3. Bật TPM 2.0 / PTT (Intel) / fTPM (AMD).
4. Save & Exit.
5. Vào Windows: tpm.msc kiểm tra trạng thái "The TPM is ready for use".

Tóm tắt

TPM là nền tảng phần cứng tin cậy (Hardware Root of Trust) bảo vệ khóa mật mã, đo lường độ tin cậy hệ thống, hỗ trợ BitLocker, Windows Hello, Remote Attestation, và là yêu cầu bắt buộc cho Windows 11. Việc triển khai TPM 2.0 trên toàn bộ endpoint là bước thiết yếu trong chiến lược Zero Trust và bảo vệ dữ liệu doanh nghiệp.