Um Trusted Platform Module (vTPM) virtual é uma representação baseada em software de um chip físico Trusted Platform Module 2.0. Um vTPM atua como qualquer outro dispositivo virtual.
Introdução ao vTPMs
Os vTPMs fornecem funções relacionadas à segurança baseadas em hardware, como geração de número aleatório, atestado, geração de chave e muito mais. Quando adicionado a uma máquina virtual, um vTPM permite que o sistema operacional convidado crie e armazene chaves que são privadas. Essas chaves não são expostas ao próprio sistema operacional convidado. Portanto, a superfície de ataque da máquina virtual é reduzida. Normalmente, comprometer o sistema operacional convidado compromete seus segredos, mas a ativação de um vTPM reduz muito esse risco. Essas chaves podem ser usadas apenas pelo sistema operacional convidado para criptografia ou assinatura. Com um vTPM conectado, um terceiro pode atestar (validar) remotamente a identidade do firmware e do sistema operacional convidado.
Você pode adicionar um vTPM a uma máquina virtual nova ou existente. Um vTPM depende da criptografia da máquina virtual para proteger os dados vitais do TPM. Quando você configura um vTPM, os arquivos da máquina virtual são criptografados, mas não os discos. Você pode optar por adicionar criptografia explicitamente para a máquina virtual e seus discos.
Quando você faz backup de uma máquina virtual habilitada com um vTPM, o backup deve incluir todos os dados da máquina virtual, incluindo o arquivo *. Nvram . Se o seu backup não incluir o arquivo *. Nvram , você não poderá restaurar uma máquina virtual com um vTPM. Além disso, como os arquivos iniciais da VM de uma máquina virtual habilitada para vTPM são criptografados, certifique-se de que as chaves de criptografia estejam disponíveis no momento de uma restauração.
Um vTPM não requer que um chip físico Trusted Platform Module (TPM) 2.0 esteja presente no host ESXi. No entanto, se você quiser realizar o atestado de host, será necessária uma entidade externa, como um chip físico TPM 2.0. Consulte Protegendo ESXi hosts com o Trusted Platform Module.
Requisitos para o vTPM
Para usar um vTPM, seu ambiente vSphere deve atender a estes requisitos:
- Requisitos da máquina virtual:
- Firmware EFI
- Versão de hardware 14 e posteriores
- Requisitos de componentes:
- vCenter Server 6.7 e posterior para máquinas virtuais Windows, vCenter Server 7.0 Update 2 e posterior para máquinas virtuais Linux.
- Criptografia da máquina virtual (para criptografar os arquivos iniciais da máquina virtual).
- Provedor de chave configurado para vCenter Server. Consulte o Comparação de provedores de chave do vSphere.
- Suporte ao sistema operacional convidado:
- Linux
- Windows Server 2008 e posteriores
- Windows 7 e posterior
Diferenças entre um TPM de hardware e um TPM virtual
Você usa um TPM (Trusted Platform Module) para fornecer armazenamento seguro de credenciais ou chaves. Um vTPM executa as mesmas funções que um TPM, mas executa recursos de coprocessador criptográfico no software. Um vTPM usa o arquivo .nvram , que é criptografado usando a criptografia da máquina virtual, como seu armazenamento seguro.
Um TPM de hardware inclui uma chave pré-carregada chamada de chave de endosso (EK). O EK tem uma chave privada e uma pública. O EK fornece ao TPM uma identidade exclusiva. Para um vTPM, essa chave é fornecida pelo VMware Certificate Authority (VMCA) ou por uma autoridade de certificação (CA) de terceiros. Depois que o vTPM usa uma chave, ela normalmente não é alterada, pois isso invalida as informações confidenciais armazenadas no vTPM. O vTPM não entra em contato com a autoridade de certificação de terceiros em nenhum momento.
