Size: a a a

2020 November 09

AS

Aleksey Shirokikh in DevOps
товарищи из видео выше (это вроде разработчик) рассказывает немного не так. он говорит что tpm2 лишен вопроса овладевания.
и есть процедура load которая приватную часть ключа перекидывает в tpm
источник

AS

Aleksey Shirokikh in DevOps
тема там и правда сложная и довольно норкаманская, но интересно
источник

A

Alexander in DevOps
Aleksey Shirokikh
товарищи из видео выше (это вроде разработчик) рассказывает немного не так. он говорит что tpm2 лишен вопроса овладевания.
и есть процедура load которая приватную часть ключа перекидывает в tpm
Да, там в tpm2, вроде, немного по-другому сделано.
источник

AS

Aleksey Shirokikh in DevOps
ну у меня на ноуте вроде двушка, так что я даже на 1.2 не могу посмотреть
источник

A

Alexander in DevOps
Aleksey Shirokikh
ну у меня на ноуте вроде двушка, так что я даже на 1.2 не могу посмотреть
В целом, и не стоит. 1.2, например, поддерживает только rsa-2048 и sha-1 :)
источник

A

Alexander in DevOps
Ну и архитектурно, вроде, там в tpm 2.0 получше сделано.
источник

AS

Aleksey Shirokikh in DevOps
дак двушка только sha256. так что не далеко ушли про rsa я не понял. и кривые(ec) такие которым никто не верит
источник

VS

Vladimir Smirnov in DevOps
Aleksey Shirokikh
>As of 2015, treacherous computing has been implemented for PCs in the form of the “Trusted Platform Module”; however, for practical reasons, the TPM has proved a total failure for the goal of providing a platform for remote attestation to verify Digital Restrictions Management. Thus, companies implement DRM using other methods. At present, “Trusted Platform Modules” are not being used for DRM at all, and there are reasons to think that it will not be feasible to use them for DRM. Ironically, this means that the only current uses of the “Trusted Platform Modules” are the innocent secondary uses—for instance, to verify that no one has surreptitiously changed the system in a computer.

Therefore, we conclude that the “Trusted Platform Modules” available for PCs are not dangerous, and there is no reason not to include one in a computer or support it in system software.

https://www.gnu.org/philosophy/can-you-trust.en.html
не, с TPM точно лучше чем без (особенно если им пользоваться), но вопрос мой был именно про “как замена юбикию”
источник

AS

Aleksey Shirokikh in DevOps
Vladimir Smirnov
не, с TPM точно лучше чем без (особенно если им пользоваться), но вопрос мой был именно про “как замена юбикию”
тем бывает такой юбик который один раз вставил в ноут и всё. больше не вынимают. вот замена такого оно вполне себе да
источник

VS

Vladimir Smirnov in DevOps
Aleksey Shirokikh
тем бывает такой юбик который один раз вставил в ноут и всё. больше не вынимают. вот замена такого оно вполне себе да
Я понимаю о чем ты
источник

A

Alexander in DevOps
Vladimir Smirnov
не, с TPM точно лучше чем без (особенно если им пользоваться), но вопрос мой был именно про “как замена юбикию”
Именно как замену юзать нельзя: нет готового софта, хотя, теоретически сделать в softu2f поддержку tpm2, думаю, можно.
А вот для использования с ssh вполне можно (я, правда, не помню, есть ли полноценная реализация pkcs11 для tpm2).
источник

VS

Vladimir Smirnov in DevOps
ну я о том что использовать штуку с неясным правовым статусом (как минимум если речь про РФ) как замену штуки с понятным правовым статусом - странно
источник

VS

Vladimir Smirnov in DevOps
а там где продаются ноуты с tpm2 модулем - ну пусть будет, можно юзать, хуже точно не станет
источник

A

Alexander in DevOps
Vladimir Smirnov
ну я о том что использовать штуку с неясным правовым статусом (как минимум если речь про РФ) как замену штуки с понятным правовым статусом - странно
Эта штука с неясным правовым статусом в каждом первом ноуте сейчас стоит (ибо требуется для сертификации windows ready, насколько я помню), правда, в основном программном виде (реализуется через secure enclave), но есть и аппаратные варианты.
Опять же, я для своей материнки импортировал TPM-плату без проблем.

В общем, это ограничение — что-то из разряда обязательной регистрации принтеров в ФСБ в 90-е: некий регуляторный артефакт, на который всем плевать.
источник

A

Alexander in DevOps
Да, для tpm2 есть более-менее полноценная реализация pkcs11
https://github.com/tpm2-software/tpm2-pkcs11

А вот для tpm 1.2 была только совместимая лишь в той мере, чтобы работал ssh-клиент/агент.
https://github.com/ThomasHabets/simple-tpm-pk11
источник

ЕО

Евгений Омельченко... in DevOps
Alexander
Эта штука с неясным правовым статусом в каждом первом ноуте сейчас стоит (ибо требуется для сертификации windows ready, насколько я помню), правда, в основном программном виде (реализуется через secure enclave), но есть и аппаратные варианты.
Опять же, я для своей материнки импортировал TPM-плату без проблем.

В общем, это ограничение — что-то из разряда обязательной регистрации принтеров в ФСБ в 90-е: некий регуляторный артефакт, на который всем плевать.
Но тем не менее фермеров, следящих за коровами, сажают. Я бы не уповал на артифакторность
источник

A

Alexander in DevOps
Евгений Омельченко
Но тем не менее фермеров, следящих за коровами, сажают. Я бы не уповал на артифакторность
Устройства слежения — это одно, криптография — совсем другое. На последнюю положили давно и плотно.
источник

A

Alexander in DevOps
Если уж даже юрикам не стрёмно массово закупать корпоративные ноуты с tpm, то про щемление физиков и подвано говорить не стоит.
источник

A

Alexander in DevOps
Да что уж там, в РФ даже yubikey-и открыто софтлайном продаются.
источник

A

Alexander in DevOps
И там, если что, отнюдь не гост внутри (не говоря уже про сертифицированность),
источник