Un vTPM (Virtual Trusted Platform Module) est une représentation logicielle d'une puce TPM 2.0 (Trusted Platform Module) physique. Un vTPM agit comme n'importe quel autre périphérique virtuel.
Présentation des vTPM
Les vTPM fournissent des fonctions de sécurité basées sur le matériel, telles que la génération de nombres aléatoires, l'attestation, la génération de clés, etc. Lors de l'ajout à une machine virtuelle, un vTPM permet au système d'exploitation invité de créer et de stocker des clés privées. Ces clés ne sont pas exposées au système d'exploitation invité. Par conséquent, cela réduit la surface d'attaque de la machine virtuelle. En règle générale, si le système d'exploitation invité est compromis, les données secrètes qui s'y trouvent le sont également, mais l'activation d'un vTPM réduit considérablement ce risque. Ces clés peuvent être utilisées uniquement par le système d'exploitation invité pour le chiffrement ou la signature. Avec un vTPM attaché, un tiers peut attester à distance (valider) de l'identité du microprogramme et du système d'exploitation invité.
Vous pouvez ajouter un vTPM aussi bien à une nouvelle machine virtuelle qu'à une machine virtuelle existante. Un vTPM varie en fonction du chiffrement de la machine virtuelle pour protéger les données de TPM stratégiques. Lorsque vous configurez un vTPM, les fichiers de la machine virtuelle sont chiffrés, mais pas les disques. Vous pouvez choisir d'ajouter le chiffrement de manière explicite pour la machine virtuelle et ses disques.
Lorsque vous sauvegardez une machine virtuelle activée avec un vTPM, la sauvegarde doit inclure toutes les données de machine virtuelle, y compris le fichier *.nvram. Si votre sauvegarde n'inclut pas le fichier *.nvram, vous ne pouvez pas restaurer une machine virtuelle avec un vTPM. De plus, étant donné que les fichiers de base de machine virtuelle d'une machine virtuelle activée avec un vTPM sont chiffrés, assurez-vous que les clés de chiffrement sont disponibles au moment de la restauration.
Un vTPM ne nécessite pas qu'une puce TPM 2.0 (Trusted Platform Module) physique soit présente sur l'hôte ESXi. Cependant, si vous souhaitez effectuer une attestation d'hôte, une entité externe, telle qu'une puce physique TPM 2.0, est requise. Pour plus d'informations, consultez la documentation Sécurité vSphere.
Configuration requise pour un vTPM
Pour utiliser un vTPM, votre environnement vSphere doit répondre aux exigences suivantes :
- Configuration requise pour la machine virtuelle :
- Micrologiciel EFI
- Version de matériel 14 ou ultérieure
- Configuration requise pour le composant :
- vCenter Server 6.7 ou version ultérieure pour les machines virtuelles Windows, vCenter Server 7.0 Update 2 pour les machines virtuelles Linux.
- Chiffrement de la machine virtuelle (pour chiffrer les fichiers de base de la machine virtuelle).
- Fournisseur de clés configuré pour vCenter Server. Pour plus d'informations, consultez la documentation Sécurité vSphere.
- Prise en charge du système d'exploitation invité :
- Linux
- Windows Server 2008 et versions ultérieures
- Windows 7 et versions ultérieures
Différences entre un TPM matériel et un TPM virtuel
Vous utilisez un TPM (Trusted Platform Module) matériel afin de fournir un stockage sécurisé pour des informations d'identification ou des clés. Un vTPM offre les mêmes fonctions qu'un TPM, mais il fournit des capacités de coprocesseur cryptographique dans le logiciel. Un vTPM utilise le fichier .nvram (chiffré à l'aide du chiffrement de machine virtuelle) comme son espace de stockage sécurisé.
Un TPM matériel inclut une clé préchargée appelée Paire de clés de type EK. La paire de clés de type EK est composée d'une clé privée et d'une clé publique. La paire de clés de type EK fournit une identité unique au TPM. Pour un vTPM, cette clé est fournie par VMware Certificate Authority (VMCA) ou par une autorité de certification (CA) tierce. Après que le vTPM utilise une clé, celle-ci n'est généralement pas modifiée, car cela invalide des informations sensibles stockées dans le vTPM. Le vTPM ne contacte l'autorité de certification tierce à aucun moment.
