La fonctionnalité vTPM (Virtual Trusted Platform Module) vous permet d'ajouter un cryptoprocesseur virtuel TPM 2.0 à une machine virtuelle.
Présentation du vTPM (Virtual Trusted Platform Module)
Les vTPM offrent des capacités de coprocesseur cryptographique dans le logiciel. Lors de l'ajout à une machine virtuelle, un vTPM permet au système d'exploitation invité de créer et de stocker des clés privées. Ces clés ne sont pas exposées au système d'exploitation invité. Par conséquent, cela réduit la surface d'attaque de la machine virtuelle. En règle générale, si le système d'exploitation invité est compromis, les données secrètes qui s'y trouvent le sont également, mais l'activation d'un vTPM réduit considérablement ce risque. Ces clés peuvent être utilisées uniquement par le système d'exploitation invité pour le chiffrement ou la signature. Avec un vTPM attaché, un tiers peut attester à distance (valider) de l'identité du microprogramme et du système d'exploitation invité.
Vous pouvez ajouter un vTPM aussi bien à une nouvelle machine virtuelle ou qu'à une machine virtuelle existante. Un vTPM varie en fonction du chiffrement de la machine virtuelle pour protéger les données de TPM stratégiques. Lorsque vous configurez un vTPM, le chiffrement de la machine virtuelle chiffre automatiquement les fichiers de la machine virtuelle, mais pas les disques. Vous pouvez choisir d'ajouter le chiffrement de manière explicite pour la machine virtuelle et ses disques.
Vous pouvez également sauvegarder une machine virtuelle activée avec un vTPM. La sauvegarde doit inclure toutes les données de la machine virtuelle, y compris le fichier *.nvram. Si votre sauvegarde n'inclut pas le fichier *.nvram, vous ne pouvez pas restaurer une machine virtuelle avec un vTPM. De plus, étant donné que les fichiers de base de machine virtuelle d'une machine virtuelle activée avec un vTPM sont chiffrés, assurez-vous que les clés de chiffrement sont disponibles au moment de la restauration.
Un vTPM ne nécessite pas qu'une puce TPM 2.0 (Trusted Platform Module) physique soit présente sur l'hôte ESXi. Cependant, si vous souhaitez effectuer une attestation d'hôte, une entité externe, telle qu'une puce physique TPM 2.0, est requise. Pour plus d'informations, consultez la documentation Sécurité vSphere.
Configuration requise pour un vTPM
Pour utiliser un vTPM, votre environnement vSphere doit répondre aux exigences suivantes :
- Configuration requise pour la machine virtuelle :
- Micrologiciel EFI
- Version matérielle 14
- Configuration requise pour le composant :
- vCenter Server 6.7.
- Chiffrement de la machine virtuelle (pour chiffrer les fichiers de base de la machine virtuelle).
- Serveur de gestion des clés (KMS) configuré pour vCenter Server (le chiffrement de la machine virtuelle dépend du KMS). Pour plus d'informations, consultez la documentation Sécurité vSphere.
- Prise en charge du système d'exploitation invité :
- Windows Server 2016 (64 bits)
- Windows 10 (64 bits)
Différences entre un TPM matériel et un TPM virtuel
Vous utilisez un TPM (Trusted Platform Module) matériel comme un coprocesseur cryptographique afin de fournir un stockage sécurisé pour des informations d'identification ou des clés. Un vTPM offre les mêmes fonctions qu'un TPM, mais il fournit des capacités de coprocesseur cryptographique dans le logiciel. Un vTPM utilise le fichier .nvram (chiffré à l'aide du chiffrement de machine virtuelle) comme son espace de stockage sécurisé.
Un TPM matériel inclut une clé préchargée appelée Paire de clés de type EK. La paire de clés de type EK est composée d'une clé privée et d'une clé publique. La paire de clés de type EK fournit une identité unique au TPM. Pour un vTPM, cette clé est fournie par VMware Certificate Authority (VMCA) ou par une autorité de certification (CA) tierce. Lorsque le vTPM utilise une clé, celle-ci n'est généralement pas modifiée, car cela invalide des informations sensibles stockées dans le vTPM. Le vTPM ne contacte l'autorité de certification à aucun moment.
