Dispositivi Windows 10 più sicuri: dal 28 luglio TPM 2.0 requisito minimo

[walter sampei]

Originariamente inviato da sudo apt-get install humor

C'è ancora "bisogno" di Windows?
Al 90% delle persone che conosco basterebbe una distro Linux su chiavetta USB per utilizzare le solite 3 cose che fanno col PC.

windows tutto sommato ha i suoi vantaggi. l'architettura di nt non e' cosi' una schifezza come si dice. anzi, i concetti di fondo sono buoni. possiamo discutere su implementazioni bug e sul monopolio e le strategie commerciali, ma l'architettura in se non sarebbe cosi' pessima.

poi, non vince sempre il migliore in informatica. vedasi beos, tecnicamente stupendo ma stroncato alle svelte.

a me basterebbe reactos, se fosse pronto

[litocat]

Originariamente inviato da Unrealizer

quello era secure boot, che usa il TPM e fa parte di UEFI
le specifiche dicono che deve essere supportato, abilitato di default e disattivabile dall'utente

Da Windows 10 le specifiche non richiedono più che il secure boot sia disattivabile dall'utente. E' a discrezione dell'OEM.

[walter sampei]

Originariamente inviato da litocat

Da Windows 10 le specifiche non richiedono più che il secure boot sia disattivabile dall'utente. E' a discrezione dell'OEM.

brutta rogna

se io compro un portatile con freedos e compro a parte una licenza di w10 in teoria la cosa e' aggirabile, giusto?

edit: ecco, godetevi bitlocker...

https://blogs.mcafee.com/business/se...out-bitlocker/

http://www.blueit.it/trovata-vulnera...are-bitlocker/

[Unrealizer]

Originariamente inviato da walter sampei

http://www.mikebonnes.com/blog/tpm-v...ware-potential

tra le premesse: The threat model will require the attacker to have Kernel Level compromise and authorize TPM commands in the protocol.

per la serie: "se hai già compromesso di brutto praticamente tutto il sistema, c'è la possibilità di riuscire a compromettere pure il TPM"

https://en.wikipedia.org/wiki/Blue_Pill_(software)

esattamente cosa c'entra con il TPM? tralaltro una cosa del genere verrebbe probabilmente mitigata dalla semplice attivazione di Hyper-V

Originariamente inviato da litocat

Da Windows 10 le specifiche non richiedono più che il secure boot sia disattivabile dall'utente. E' a discrezione dell'OEM.

oh, non lo sapevo, grazie di averlo detto

comunque, riguardo alla notizia, quello che ancora per molti non è chiaro è che la notizia non è che il TPM diventerà obbligatorio, ma che diventerà obbligatoria la versione 2.0: la 1.2 è obbligatoria da Windows 8.1, e non mi pare si sia avverato nessuno degli scenari apocalittici di cui si parla

[rockroll]

Originariamente inviato da ziobepi

Stavo per prendere un portatile nuovo,
ora mi accertero' che supporti TPM 2.0

Vorrai dire che NON supporti...

[rockroll]

Originariamente inviato da Axios2006

Non necessariamente sw pirata. Basta un qualsiasi sw che a MS non garba.

Superquoto.

La libertà non ha prezzo; mi basta sentir dire che M$ "obbliga" qualcosa a qualcuno per avere conati di vomito inarrestabili!

[rockroll]

Originariamente inviato da litocat

Da Windows 10 le specifiche non richiedono più che il secure boot sia disattivabile dall'utente. E' a discrezione dell'OEM.

Bel colpo, grazie M$, per queste specifiche, ne sentivamo un bisogno...!

Se non bastassero altre motivazioni, questa fa traboccare (di nausea) il vaso.

Alla larga da Win 10!

(poi fate come volete, cavoli vostri)

[rockroll]

Originariamente inviato da walter sampei

windows tutto sommato ha i suoi vantaggi. l'architettura di nt non e' cosi' una schifezza come si dice. anzi, i concetti di fondo sono buoni. possiamo discutere su implementazioni bug e sul monopolio e le strategie commerciali, ma l'architettura in se non sarebbe cosi' pessima.

poi, non vince sempre il migliore in informatica. vedasi beos, tecnicamente stupendo ma stroncato alle svelte.

a me basterebbe reactos, se fosse pronto

Sono daccordo, anche io non critico Windows in se, ma non sopporto la politica M$ e le sue scelte più o meno subdolamente imposte!

Speriamo in reactOS, quando è usabile diccelo.

[Phantom II]

Originariamente inviato da inited

d'altra parte l'articolo era da parte di quelli di TrueCrypt, che hanno dovuto sconsigliare il proprio stesso software col tempo.

Con modalità per altro abbastanza dubbie che hanno lasciato più perplessità che certezze, senza contare il fatto che le verifiche circa la sua integrità non hanno riscontrato buchi di sorta.

[LordPBA]

Hmmm... digitate TPM.MSC e vedete che anche da software e' possibile disattivare/modificare il TPM...

[walter sampei]

Originariamente inviato da Unrealizer

tra le premesse: The threat model will require the attacker to have Kernel Level compromise and authorize TPM commands in the protocol.

per la serie: "se hai già compromesso di brutto praticamente tutto il sistema, c'è la possibilità di riuscire a compromettere pure il TPM"



esattamente cosa c'entra con il TPM? tralaltro una cosa del genere verrebbe probabilmente mitigata dalla semplice attivazione di Hyper-V



oh, non lo sapevo, grazie di averlo detto

comunque, riguardo alla notizia, quello che ancora per molti non è chiaro è che la notizia non è che il TPM diventerà obbligatorio, ma che diventerà obbligatoria la versione 2.0: la 1.2 è obbligatoria da Windows 8.1, e non mi pare si sia avverato nessuno degli scenari apocalittici di cui si parla

per ora no. il cappio va stretto molto lentamente. comunque la massificazione dell'utenza ha peggiorato le cose. invece di educare la gente e farla pensare, bisogna peggiorare i terminali.

Originariamente inviato da rockroll

Sono daccordo, anche io non critico Windows in se, ma non sopporto la politica M$ e le sue scelte più o meno subdolamente imposte!

Speriamo in reactOS, quando è usabile diccelo.

amen e' che sara' dura

Originariamente inviato da LordPBA

Hmmm... digitate TPM.MSC e vedete che anche da software e' possibile disattivare/modificare il TPM...

non sono sicuro che sia possibile per tutti gli oem. spesso gli oem usano blocchi stranissimi sui loro prodotti.

[ilario3]

Originariamente inviato da Bivvoz

Io mi sono stupito che è saltato fuori solo nel secondo post e non già nel primo

[LMCH]

Originariamente inviato da Unrealizer

il TPM è solo uno strumento passivo, non il "chip Fritz" che spaventava tanto la gente nel 2005

Ricorda che il "fritz chip" era un soprannome generico su cui la stampa aveva fatto molta confusione.

Ma se si va a guardare in cosa consisteva si scopre che:

4. How does TC work?

TC provides for a monitoring and reporting component to be mounted in future PCs. The preferred implementation in the first phase of TC emphasised the role of a `Fritz' chip - a smartcard chip or dongle soldered to the motherboard. The current version has five components - the Fritz chip, a `curtained memory' feature in the CPU, a security kernel in the operating system (the `Nexus' in Microsoft language), a security kernel in each TC application (the `NCA' in Microsoft-speak) and a back-end infrastructure of online security servers maintained by hardware and software vendors to tie the whole thing together.

The initial version of TC had Fritz supervising the boot process, so that the PC ended up in a predictable state, with known hardware and software. The current version has Fritz as a passive monitoring component that stores the hash of the machine state on start-up. This hash is computed using details of the hardware (audio card, video card etc) and the software (O/S, drivers, etc). If the machine ends up in the approved state, Fritz will make available to the operating system the cryptographic keys needed to decrypt TC applications and data. If it ends up in the wrong state, the hash will be wrong and Fritz won't release the right key. The machine may still be able to run non-TC apps and access non-TC data, but protected material will be unavailable.

The operating system security kernel (the `Nexus') bridges the gap between the Fritz chip and the application security components (the `NCAs'). It checks that the hardware components are on the TCG approved list, that the software components have been signed, and that none of them has a serial number that has been revoked. If there are significant changes to the PC's configuration, the machine must go online to be re-certified: the operating system manages this. The result is a PC booted into a known state with an approved combination of hardware and software (whose licences have not expired). Finally, the Nexus works together with new `curtained memory' features in the CPU to stop any TC app from reading or writing another TC app's data. These new features are called `Lagrande Technology' (LT) for the Intel CPUs and `TrustZone' for the ARM.

Once the machine is in an approved state, with a TC app loaded and shielded from interference by any other software, Fritz will certify this to third parties. For example, he will do an authentication protocol with Disney to prove that his machine is a suitable recipient of `Snow White'. This will mean certifying that the PC is currently running an authorised application program - MediaPlayer, DisneyPlayer, whatever - with its NCA properly loaded and shielded by curtained memory against debuggers or other tools that could be used to rip the content. The Disney server then sends encrypted data, with a key that Fritz will use to unseal it. Fritz makes the key available only to the authorised application and only so long as the environment remains `trustworthy'. For this purpose, `trustworthy' is defined by the security policy downloaded from a server under the control of the application owner. This means that Disney can decide to release its premium content only to a media player whose author agrees to enforce certain conditions. These might include restrictions on what hardware and software you use, or where in the world you're located. They can involve payment: Disney might insist, for example, that the application collect a dollar every time you view the movie. The application itself can be rented too. The possibilities seem to be limited only by the marketers' imagination.

La prima versione poteva impedire anche il boot "da sola" ma poco cambia nella sostanza (il vantaggio della nuova versione "passiva" è che permette di ridurre i costi di produzione visto che si appoggia sulle feature di trusted computing della cpu stessa).

[Unrealizer]

Originariamente inviato da LMCH

Ricorda che il "fritz chip" era un soprannome generico su cui la stampa aveva fatto molta confusione.

Ma se si va a guardare in cosa consisteva si scopre che:


La prima versione poteva impedire anche il boot "da sola" ma poco cambia nella sostanza (il vantaggio della nuova versione "passiva" è che permette di ridurre i costi di produzione visto che si appoggia sulle feature di trusted computing della cpu stessa).

è esattamente quello che dicevo, il TPM di oggi non è quella roba di cui si parlava 10 anni fa, avevo messo "chip fritz" tra virgolette proprio per questo motivo

in ogni caso Windows 10 Enterprise supporta la Isolated User Mode, una cosa simile a quella scritta in quel pezzo (che credo di aver già letto 10 anni fa, l'esempio di Biancaneve e del "DisneyPlayer" non mi è nuovo), che funziona meglio grazie al TPM ma che non ha effettivamente bisogno di esso per funzionare

[cdimauro]

Dopo più di 10 anni di flame allucinanti, si ritorna al solito spauracchio di Palladium brutto e cattivo. Non è cambiato nulla: solito FUD.

Sull'argomento:
L’alba del Trusted Computing…
TCPA: il mezzo che dà fastidio a priori
Palladium, TCPA, problemi reali o ipotetici?
Blizzard: Il DRM è una battaglia persa