Mais de quoi s’agit-il ?

Un module de plate-forme de confiance (TPM) est le composant d’un système informatique qui agit comme la racine ultime de la confiance concernant la sécurité et le bien-être de l’ensemble du système. Il s’agit généralement d’une puce sécurisée autonome et inviolable qui fournit un ensemble de services de sécurité au logiciel fonctionnant sur le processeur principal de la plate-forme. Ces services de sécurité de base sont généralement les suivants
• Des opérations cryptographiques (signer, chiffrer, hacher, vérifier la signature, générer des clés, etc.) dans un environnement d’exécution sécurisé.
• Attestation de l’intégrité de la plate-forme.
• Le stockage sécurisé de données sensibles telles que les clés cryptographiques, les informations d’authentification, etc.

Il existe de nombreux fabricants de TPM et différents types de TPM, tels que les puces TPM produites par les sociétés de semi-conducteurs, les TPM uniquement logiciels utilisés dans les services cloud et les produits de virtualisation, et les TPM basés sur des micrologiciels qui fonctionnent à l’intérieur des CPU polyvalents tels que ceux d’Intel et d’AMD.

L’ensemble spécifique de services qui doivent être fournis par un TPM et l’API permettant à un développeur de technologies de les utiliser sont définis par le Trusted Computing Group https://trustedcomputinggroup.org/about/ (TCG), un consortium de fournisseurs de technologies comptant plus de 100 membres, qui développe et maintient la norme technique TPM. La version actuelle de la spécification TPM est TPM2.0 et elle a été adoptée comme norme internationale par l’ISO/IEC, un organisme international de normalisation. Selon TCG, plus d’un milliard d’appareils intègrent les technologies TCG. La quasi-totalité des PC d’entreprise, de nombreux serveurs et systèmes embarqués intègrent le TPM, tandis que les équipements de réseau, les lecteurs et d’autres dispositifs et systèmes déploient d’autres spécifications TCG, notamment des lecteurs auto-cryptés et des spécifications de sécurité réseau.

Naturellement, la sécurité d’un TPM est de la plus haute importance pour la sécurité de l’ensemble du système car tous les autres composants (noyau du système d’exploitation, pilotes, services système, mécanismes de sécurité du système d’exploitation, applications, etc.) dépendent souvent des services du TPM pour leurs opérations critiques.
L’année dernière, l’ingénieur Francisco Falcón de Quarkslab a découvert deux vulnérabilités dans l’implémentation de référence de TPM2.0. Elles étaient présentes dans le code d’exemple des documents de spécification, ainsi que dans plusieurs implémentations de référence open-source de la norme.
Il a ensuite constaté qu’au moins quelques grands fournisseurs de technologie avaient également des implémentations TPM vulnérables. Comme les problèmes se trouvaient dans le document de spécification, Quarkslab a estimé qu’il était possible que beaucoup d’autres fournisseurs soient affectés. Ainsi, en novembre 2022, nous avons contacté les fournisseurs que nous savions vulnérables ainsi que le CERT/CC, une équipe d’intervention en cas d’urgence informatique aux États-Unis ayant une grande expérience de la coordination des rapports sur les vulnérabilités, afin de les informer des problèmes et d’essayer d’atteindre le plus grand nombre possible de fournisseurs de MTP potentiellement affectés.

Le CERT/CC a contacté à son tour le TCG et a informé des centaines de fournisseurs afin qu’ils puissent déterminer si leurs produits ou services étaient affectés et prévoir la publication de correctifs ou de mesures d’atténuation. Mardi dernier, le 28 février 2023, après un long processus de divulgation coordonné, le CERT/CC et le TCG ont publié des avis de sécurité décrivant les problèmes :
CERT : https://kb.cert.org/vuls/id/782720
TCG : https://trustedcomputinggroup.org/wp-c

Cette histoire est un bon exemple de la façon dont la combinaison de l’expertise en matière de sécurité offensive et défensive (QLab offre des services d’évaluation de la sécurité et le produit QShield fournit des capacités comme celles d’un TPM) peut aboutir à une stratégie de sécurité plus robuste et mieux informée pour nos clients. »