Un vTPM (Virtual Trusted Platform Module) est une représentation logicielle d'une puce TPM 2.0 (Trusted Platform Module) physique. Un vTPM agit comme n'importe quel autre périphérique virtuel.

Les vTPM fournissent des fonctions de sécurité basées sur le matériel, telles que la génération de nombres aléatoires, l'attestation, la génération de clés, etc. Lors de l'ajout à une machine virtuelle, un vTPM permet au système d'exploitation invité de créer et de stocker des clés privées. Ces clés ne sont pas exposées au système d'exploitation invité. Par conséquent, cela réduit la surface d'attaque de la machine virtuelle. En règle générale, si le système d'exploitation invité est compromis, les données secrètes qui s'y trouvent le sont également, mais l'activation d'un vTPM réduit considérablement ce risque. Ces clés peuvent être utilisées uniquement par le système d'exploitation invité pour le chiffrement ou la signature. Avec un vTPM attaché, un client peut attester à distance de l'identité de la machine virtuelle et vérifier le logiciel qu'elle exécute.

Un vTPM ne nécessite pas qu'une puce TPM 2.0 (Trusted Platform Module) physique soit présente sur l'hôte ESXi. Cependant, si vous souhaitez effectuer une attestation d'hôte, une entité externe, telle qu'une puce physique TPM 2.0, est requise. Pour plus d'informations, consultez la documentation Sécurité vSphere.

Note : Par défaut, aucune stratégie de stockage n'est associée à une machine virtuelle qui a été activée avec un vTPM. Seuls les fichiers de machine virtuelle (Accueil VM) sont chiffrés. Si vous préférez, vous pouvez choisir d'ajouter le chiffrement explicite de la machine virtuelle et de ses disques, mais les fichiers de la machine virtuelle peuvent être déjà chiffrés.

Comment configurer un vTPM pour une machine virtuelle ?

Du point de vue de la machine virtuelle, un vTPM est un périphérique virtuel. Vous pouvez ajouter un vTPM aussi bien à une nouvelle machine virtuelle qu'à une machine virtuelle existante. Un vTPM dépend du chiffrement de la machine virtuelle pour sécuriser les données TPM essentielles. Par conséquent, vous devez configurer un fournisseur de clés. Lorsque vous configurez un vTPM, les fichiers de la machine virtuelle sont chiffrés, mais pas les disques. Vous pouvez choisir d'ajouter le chiffrement de manière explicite pour la machine virtuelle et ses disques.

Lorsque vous sauvegardez une machine virtuelle activée avec un vTPM, la sauvegarde doit inclure toutes les données de machine virtuelle, y compris le fichier *.nvram. Si votre sauvegarde n'inclut pas le fichier *.nvram, vous ne pouvez pas restaurer une machine virtuelle avec un vTPM. De plus, étant donné que les fichiers de base de machine virtuelle d'une machine virtuelle activée avec un vTPM sont chiffrés, assurez-vous que les clés de chiffrement sont disponibles au moment de la restauration.

Dans vSphere 8.0 et versions ultérieures, lors du clonage d'une machine virtuelle avec un vTPM, le fait de sélectionner l'option Remplacer pour une machine virtuelle avec un vTPM lance un nouveau vTPM vide qui obtient ses propres secrets et identité. Lorsque vous remplacez les secrets d'un vTPM, toutes les clés sont remplacées, y compris les clés liées à la charge de travail. Nous vous recommandons de vous assurer que vos charges de travail n'utilisent plus un vTPM avant de remplacer les clés. Dans le cas contraire, les charges de travail de la machine virtuelle clonée risquent de ne pas fonctionner correctement.

Configuration vSphere requise pour les vTPM

Pour utiliser un vTPM, votre environnement vSphere doit répondre aux exigences suivantes :

  • Configuration requise pour la machine virtuelle :
    • Micrologiciel EFI
    • Version de matériel 14 ou ultérieure
  • Configuration requise pour le composant :
    • vCenter Server 6.7 ou version ultérieure pour les machines virtuelles Windows, vCenter Server 7.0 Update 2 pour les machines virtuelles Linux.
    • Chiffrement de la machine virtuelle (pour chiffrer les fichiers de base de la machine virtuelle).
    • Fournisseur de clés configuré pour vCenter Server. Pour plus d'informations, consultez la documentation Sécurité vSphere.
  • Prise en charge du système d'exploitation invité :
    • Linux
    • Windows Server 2008 et versions ultérieures
    • Windows 7 et versions ultérieures

Différences entre un TPM matériel et un TPM virtuel

Vous utilisez un TPM (Trusted Platform Module) matériel afin de fournir un stockage sécurisé pour des informations d'identification ou des clés. Un vTPM offre les mêmes fonctions qu'un TPM, mais il fournit des capacités de coprocesseur cryptographique dans le logiciel. Un vTPM utilise le fichier .nvram (chiffré à l'aide du chiffrement de machine virtuelle) comme son espace de stockage sécurisé.

Un TPM matériel inclut une clé préchargée appelée Paire de clés de type EK. La paire de clés de type EK est composée d'une clé privée et d'une clé publique. La paire de clés de type EK fournit une identité unique au TPM. Pour un vTPM, cette clé est fournie par VMware Certificate Authority (VMCA) ou par une autorité de certification (CA) tierce. Après que le vTPM utilise une clé, celle-ci n'est généralement pas modifiée, car cela invalide des informations sensibles stockées dans le vTPM. Le vTPM ne contacte l'autorité de certification tierce à aucun moment.