O TPM (Trusted Platform Module) bloquear-se-á a si mesmo para impedir adulterações ou ataques; esta acção é conhecida como bloqueio. O bloqueio do TPM tem, muitas vezes, uma duração variável ou até que o computador seja encerrado. Enquanto o TPM está em modo de bloqueio, geralmente, devolve um erro quando recebe comandos que necessitam de um valor de autorização. Uma excepção é que o TPM permite sempre ao proprietário pelo menos uma tentativa de repor o bloqueio do TPM quando este se encontra em modo de bloqueio. Se o TPM já estiver em modo de bloqueio ou estiver a responder lentamente aos comandos, recomendamos que reponha o valor de bloqueio. A reposição do bloqueio do TPM necessita de autorização de proprietário do TPM. A autorização de proprietário do TPM é definida quando o administrador inicialmente assume propriedade do TPM. É criada uma palavra-passe hash de autorização de proprietário para criar um valor de autorização de proprietário, o qual é armazenado pelo TPM. É aconselhável que o administrador guarde o valor hash da autorização de proprietário num ficheiro de palavra-passe de proprietário do TPM com uma extensão .tpm que contenha o valor hash da autorização de proprietário numa estrutura XML. Por questões de segurança, o ficheiro de palavra-passe de proprietário do TPM não contém a palavra-passe de proprietário original. Normalmente, a propriedade de TPM é assumida da primeira vez que a Encriptação de Unidade BitLocker é activada no computador. Neste cenário, a palavra-passe de autorização de proprietário do TPM é guardada juntamente com a chave de recuperação BitLocker. Quando a chave de recuperação BitLocker é guardada num ficheiro, o BitLocker também guarda um ficheiro de palavra-passe de proprietário do TPM (.tpm) com o valor hash da palavra-passe de proprietário do TPM. Quando a chave de recuperação BitLocker é impressa, a palavra-passe de proprietário do TPM é impressa ao mesmo tempo. Também pode guardar o valor hash da palavra-passe de proprietário do TPM nos AD DS (Serviços de Domínio do Active Directory) se as definições da Política de Grupo da organização estiverem configuradas para tal.

Noções sobre mecanismos de protecção do TPM

Nalguns cenários, as chaves de encriptação são protegidas por um TPM, sendo necessário um valor de autorização válido para aceder à chave. (Um exemplo comum consiste na Encriptação de Unidade BitLocker configurada para utilizar o protector de chave TPM + PIN, em que o utilizador tem de escrever o PIN correcto durante o processo de arranque para aceder à chave de encriptação de volume protegida pelo TPM.) Para impedir que entidades maliciosas descubram valores de autorização, os TPMs implementam lógica de protecção. A lógica de protecção é concebida para abrandar ou parar respostas do TPM, caso seja detectado que uma entidade poderá estar a tentar identificar os valores de autorização.

As normas da indústria da organização TCG (Trusted Computing Group) especificam que os fabricantes do TPM deverão implementar algum tipo de lógica de protecção nos chips do TPM 1.2. Os diversos fabricantes do TPM implementam diferentes comportamentos e mecanismos de protecção. Regra geral, o chip do TPM deverá demorar exponencialmente mais tempo a responder se forem enviados valores de autorização incorrectos para o TPM. Alguns chips do TPM poderão não armazenar tentativas falhadas ao longo do tempo. Outros chips do TPM poderão armazenar cada tentativa falhada indefinidamente. Assim, alguns utilizadores poderão verificar atrasos cada vez maiores quando um valor de autorização escrito incorrectamente é enviado para o TPM, evitando principalmente a utilização do TPM durante um período de tempo. Os utilizadores podem repor os mecanismos de protecção no TPM concluindo o seguinte procedimento.

Nota

A lógica de protecção no TPM também é aplicável ao valor de autorização de proprietário do TPM. As normas da indústria especificam que o utilizador tem pelo menos uma tentativa para repor o bloqueio do TPM utilizando o valor de autorização de proprietário, mesmo quando o TPM está bloqueado. Se for utilizado um valor incorrecto ao tentar repor o bloqueio do TPM, nas tentativas subsequentes para introduzir o valor de autorização de proprietário, o TPM poderá responder como se o valor correcto estivesse incorrecto ou responder que o TPM está bloqueado.

 

Repor o bloqueio do TPM

  1. Abra o snap-in Gestão de TPM (tpm.msc).

  2. No painel Acção, clique em Repor Bloqueio do TPM para iniciar o assistente para Repor Bloqueio do TPM.

  3. Escolha o método para introdução da palavra-passe de proprietário do TPM:

    • Se guardou a sua palavra-passe de proprietário do TPM num ficheiro .tpm, clique em Tenho o ficheiro de palavra-passe de proprietário e escreva o caminho para o ficheiro ou clique em Procurar para navegar para a localização do ficheiro.

    • Se pretende introduzir manualmente a palavra-passe de proprietário do TPM, clique em Quero introduzir a palavra-passe de proprietário e escreva a palavra-passe no espaço fornecido para o efeito. Se activou o BitLocker e o TPM ao mesmo tempo e escolheu imprimir a palavra-passe de recuperação BitLocker quando activou o BitLocker, a sua palavra-passe de proprietário do TPM também poderá ser impressa no mesmo papel.

Após a autenticação da palavra-passe de proprietário do TPM, é apresentada uma caixa de diálogo a confirmar que o bloqueio do TPM foi reposto.

Perguntas Mais Frequentes (FAQ)

Quando devo repor o bloqueio do TPM?

O cenário mais provável é que durante o processo de arranque os utilizadores verificarão períodos de resposta lentos quando utilizar um protector de chave (o TPM e um PIN) e for introduzido o PIN incorrecto. O sistema poderá parecer bloqueado durante um período de tempo antes de informar o utilizador de que foi introduzido o PIN incorrecto e de que o TPM está bloqueado. Quando o TPM é bloqueado, também é possível que o utilizador introduza o PIN correcto, mas o TPM responderá como se tivesse sido introduzido o PIN incorrecto durante um período de tempo. Poderá ocorrer um comportamento semelhante com outras aplicações que utilizem o TPM com valores de autorização, mas é mais provável que seja a aplicação que está a comunicar com o TPM a deixar de responder se o sistema operativo já tiver sido iniciado. Uma vez que o TPM poderá armazenar indefinidamente todas as tentativas de autorização incorrectas enviadas para o mesmo, os utilizadores poderão pretender repor proactivamente o bloqueio do TPM caso introduzam frequentemente valores de autorização incorrectos, como o PIN BitLocker.

Qual o comportamento previsto se a lógica de detecção do TPM estiver activada para proteger os valores de autorização?

O comportamento da plataforma de hardware variará consoante as escolhas de implementação efectuadas pelo fabricante da plataforma. Normalmente, os fabricantes de hardware atrasam exponencialmente as respostas do chip do TPM. Também é possível que o chip do TPM responda, mas responde como se o valor de autorização correcto estivesse incorrecto durante um período de tempo. Para mais informações específicas sobre comportamentos, contacte o fabricante da plataforma.

Se o TPM estiver bloqueado actualmente quando utilizar o BitLocker, durante o processo de arranque terá oportunidade de abrir a consola de recuperação BitLocker ou aguardar para reintroduzir o PIN.

Após o início do Windows, a Gestão de TPM mostrará o estado do TPM como actualmente bloqueado.

Quaisquer comandos que envolvam valores de autorização ou tentativa de enviar a palavra-passe de proprietário do TPM para o TPM resultará num erro do TPM enquanto o TPM estiver bloqueado.

O que devo fazer se não me lembrar da minha palavra-passe de proprietário do TPM?

É possível que o valor hash de autorização de proprietário do TPM tenha sido guardado num ficheiro com a extensão .tpm quando o administrador assumiu originalmente propriedade do TPM no computador. Procure um ficheiro com extensão .tpm no sistema de ficheiros. Se imprimiu a palavra-passe de recuperação BitLocker, a sua palavra-passe de proprietário do TPM poderá ter sido impressa ao mesmo tempo. Se não conseguir localizar a sua palavra-passe de proprietário do TPM, poderá limpar o TPM e assumir propriedade novamente. Isto deverá ser efectuado cuidadosamente porque os dados encriptados com o TPM serão perdidos. Se estiver a utilizar o BitLocker, certifique-se de que suspende ou desliga o BitLocker antes de limpar o TPM. Para mais informações sobre a limpeza do TPM, consulte Limpar o TPM.

É importante manter o meu valor hash de autorização de proprietário do TPM secreto?

Sim. Se uma entidade maliciosa obtiver o seu valor hash de autorização de proprietário do TPM, a entidade poderá efectuar várias tentativas para identificar um valor de autorização da chave de encriptação (por exemplo, o PIN BitLocker), utilizar o valor hash de autorização de proprietário do TPM para repor o bloqueio do TPM e repetir indefinidamente. Eventualmente é provável que o valor de autorização fosse descoberto se o tamanho for pequeno.

De que modo a palavra-passe de proprietário do TPM está relacionada com o valor hash de autorização de proprietário do TPM?

É criada uma palavra-passe hash de proprietário do TPM utilizando SHA-1 e é codificada em Base-64 para criar o valor hash de autorização de proprietário do TPM.

Sumário