Un Virtual Trusted Platform Module (vTPM) è una rappresentazione basata sul software di un chip Trusted Platform Module 2.0 fisico. Un vTPM agisce come qualsiasi altro dispositivo virtuale.
I vTPM forniscono funzioni relative alla sicurezza basate su hardware, come generazione di numeri casuali, attestazione, generazione di chiavi e molto altro. Quando viene aggiunto a una macchina virtuale, un vTPM consente al sistema operativo guest di creare e archiviare chiavi private. Tali chiavi non sono esposte al sistema operativo guest stesso. Di conseguenza, la superficie di attacco della macchina virtuale risulta ridotta. In genere, la compromissione del sistema operativo guest comporta la compromissione dei suoi segreti; tuttavia, l'abilitazione di un vTPM riduce notevolmente questo rischio. Le chiavi possono essere utilizzate solo dal sistema operativo guest per la crittografia o la firma. Con un vTPM collegato, un client può attestare in remoto l'identità della macchina virtuale e verificare il software che sta eseguendo.
Un vTPM non richiede che nell'host di ESXi sia presente un chip Trusted Platform Module (TPM) 2.0 fisico. Tuttavia, se si desidera eseguire l'attestazione dell'host, è necessaria un'entità esterna, come un chip fisico TPM 2.0. Per ulteriori dettagli, vedere la documentazione di Sicurezza di vSphere.
Come configurare un vTPM per una macchina virtuale
Dal punto di vista della macchina virtuale, un vTPM è un dispositivo virtuale. È possibile aggiungere un vTPM a una macchina virtuale nuova o esistente. Un vTPM dipende dalla crittografia della macchina virtuale per proteggere i dati fondamentali del TPM. Per questo motivo, è necessario configurare un provider di chiavi. Quando si configura un vTPM, i file della macchina virtuale vengono crittografati, ma i dischi no. È possibile scegliere di aggiungere la crittografia in modo esplicito per la macchina virtuale e i relativi dischi.
Quando si effettua il backup di una macchina virtuale abilitata con un vTPM, il backup deve includere tutti i dati della macchina virtuale, incluso il file *.nvram. Se il backup non include il file *.nvram, non è possibile ripristinare una macchina virtuale con un vTPM. Inoltre, poiché i file home di una macchina virtuale abilitata per vTPM sono codificati, assicurarsi che le chiavi di crittografia siano disponibili al momento di un ripristino.
In vSphere 8.0 e versioni successive, quando si clona una macchina virtuale con un vTPM, se si seleziona l'opzione Sostituisci per una macchina virtuale con un vTPM, viene creato un nuovo vTPM vuoto a cui vengono assegnati segreti e identità. Quando si sostituiscono i segreti di un vTPM, tutte le chiavi, incluse le chiavi relative al carico di lavoro, vengono sostituite. Prima di sostituire le chiavi, è consigliabile assicurarsi che i carichi di lavoro non utilizzino più il vTPM. In caso contrario, i carichi di lavoro nella macchina virtuale clonata potrebbero non funzionare correttamente.
Requisiti di vSphere per vTPM
Per utilizzare un vTPM, l'ambiente di vSphere deve soddisfare i seguenti requisiti:
- Requisiti delle macchine virtuali:
- Firmware EFI
- Hardware versione 14 o successiva
- Requisiti dei componenti:
- vCenter Server 6.7 e versioni successive per le macchine virtuali Windows, vCenter Server 7.0 Aggiornamento 2 e versioni successive per le macchine virtuali Linux.
- Crittografia della macchina virtuale (per crittografare i file home della macchina virtuale).
- Provider di chiavi configurato per vCenter Server. Per ulteriori dettagli, vedere la documentazione di Sicurezza di vSphere.
- Supporto del sistema operativo guest:
- Linux
- Windows Server 2008 e versioni successive
- Windows 7 e versioni successive
Differenze tra un TPM hardware e un TPM virtuale
È possibile utilizzare un hardware Trusted Platform Module (TPM) per fornire un'archiviazione sicura delle credenziali o delle chiavi. Un vTPM esegue le stesse funzioni di un TPM, ma esegue funzionalità di coprocessore crittografico nel software. Un vTPM utilizza il file .nvram, che viene codificato utilizzando la crittografia delle macchine virtuali come archivio sicuro.
Un TPM hardware include una chiave precaricata denominata Chiave di verifica dell'autenticità (EK). L'EK ha una chiave privata e una pubblica. EK fornisce al TPM un'identità unica. Per un vTPM, la chiave viene fornita dall'Autorità di certificazione VMware (VMCA) o da un'Autorità di certificazione (CA) di terze parti. Dopo che il vTPM utilizza una chiave, in genere non viene modificata perché questa operazione invalida le informazioni riservate archiviate in vTPM. Il vTPM non contatta la CA di terze parti in qualsiasi momento.
