| Artículos | 01 JUL 2006

TPM para discos

Tags: Histórico
Protección de la información de los soportes físicos de datos
Eugenio Barahona.
Desde hace ya algunos años se están preparando una serie de tecnologías cuyo objetivo es conseguir que los ordenadores sean más seguros, entiendo por seguridad el hecho de que un sistema pueda identificarse de manera inequívoca ante otro y que sea resistente a ataques encaminados a la obtención de manera ilegal de la información contenida en el equipo. Este aseguramiento del sistema requiere soporte por parte del hardware, por lo que tanto los fabricantes de procesadores, como de conjuntos de chips y de distintos tipos de componentes, como procesadores gráficos y de soportes de almacenamiento, están trabajando ya en el desarrollo de productos que implementen las características necesarias para soportar las especificaciones diseñadas por la organización denominada TCP (Trusted Computing Group).
Que la seguridad de los datos es una necesidad irrenunciable nadie lo duda. Por este motivo, es necesario buscar fórmulas para asegurar los datos sin depender en exclusiva de las herramientas que instalamos en el sistema para protegernos frente a intrusos. Evidentemente, éstas funcionan y nuestros sistemas están protegidos pero, podemos necesitar un mayor nivel de seguridad, por ejemplo, cuando perdemos un portátil o cuando renovamos un ordenador. ¿Qué ocurre con los datos que se encuentran en estos discos duros?
Para solucionar esta necesidad, la industria trabaja en un sistema de protección por hardware. Conozca cómo funciona.
TCP está definiendo una serie de características y propiedades controlables que son de aplicación únicamente a los distintos medios de almacenamiento de datos que puede usar un sistema informático, de manera que se proporcionen sistemas de control de acceso autenticado sobre dichas características y propiedades. Ya que prácticamente todos los accesos a los medios de almacenamiento se efectúan a través de comandos SCSI y ATA, la arquitectura que ha diseñado el Trusted Computing Group propone una serie de comandos adicionales que soportan la comunicación mediante mensajes entre el medio de almacenamiento y el host, es decir, el sistema al que está conectado el dispositivo de almacenamiento.
Un ejemplo de aplicación de la tecnología que se está desarrollando se da cuando se desea vincular un determinado medio de almacenamiento a un host concreto. La vinculación puede darse de dos formas distintas. Por un lado, el medio de almacenamiento puede negarse a efectuar una determinada operación de almacenamiento a no ser que reconozca que el host tiene derechos para realizar dicha operación. Por otro lado, un determinado host puede negarse a emplear un soporte de almacenamiento concreto a no ser que el host reconozca como autorizado a dicho soporte.
Otra característica que se implementará será la creación de almacenamiento protegido. Un caso de este tipo de almacenamiento se da en los DVD actuales y prácticamente en cualquier medio de almacenamiento que incluya algún tipo de procesador, ya que suelen disponer de una zona de almacenamiento protegido que se emplea para almacenar determinados datos del sistema y que no es direccionable por el usuario. Una peculiaridad importante de este almacenamiento protegido es que es inalterable a pesar de que el usuario particione o de formato al medio de almacenamiento.
También se van a incluir funciones de encriptación y bloqueo de zonas de la parte direccionable por el usuario del medio de almacenamiento. El bloqueo funciona de manera similar a la autenticación que se realiza al conectar un medio de almacenamiento a un host, si bien en este caso se distingue entre bloqueos de lectura y escritura de información. La encriptación es sencillamente una protección adicional diseñada para evitar la lectura no autorizada de información. Las funciones de bloqueo y encriptación de información pueden aplicarse de manera diferente a distintas zonas del medio de almacenamiento, de forma que las credenciales precisas para acceder a una determinada zona del soporte podrán ser totalmente distintas de las requeridas para acceder a otra zona del soporte. Además, las claves de encriptación también podrán ser distintas entre diferentes particiones del medio de almacenamiento.
Otra operación que estará protegida por mecanismos de autenticación es la actualización del firmware de los dispositivos de almacenamiento. Por lo tanto, en el futuro las actualizaciones de este firmware deberán estar firmadas por el fabricante del dispositivo, de manera que el medio de almacenamiento las reconozca como legítimas y las acepte.

Entorno de trabajo
Por lo tanto, el Trusted Computing Group está extendiendo el entorno de confianza que otorga al resto de componentes que están protegidos por las tecnologías que está desarrollando a los dispositivos de almacenamiento presentes en un equipo informático. Para conseguir tal fin se considera que el propio dispositivo de almacenamiento es un sistema informático, ya que, no en vano, se trata de equipos que disponen de su propio procesador, memoria RAM, un firmware que controla su funcionamiento y acceso a una serie de interfaces de entrada/salida que lo comunican con el resto del PC y le permiten controlar el hardware que conforma físicamente al dispositivo de almacenamiento. La confianza que confiere al dispositivo de almacenamiento la adopción de un módulo TPM hace que dicha confianza se extienda hacia las aplicaciones de usuario que se ejecutan en el host, es decir, en el ordenador al que está conectado este elemento. Ya que las aplicaciones de usuario las escribe una comunidad de desarrolladores totalmente hetereogenea, es preciso que el funcionamiento de dichos programas no afecte de forma alguna a los recursos que use otra aplicación que dependa de los recursos del dispositivo de almacenamiento excepto a través de una serie de mecanismos totalmente predecibles que están definidos en la normas que desarrolla el Trusted Computing Group. Por lo tanto, el sistema de controles de acceso puede dividirse entre las diversas aplicaciones que se ejecuten en el host.
Este sistema de controles de acceso permite el desarrollo de nuevas capacidades para los dispositivos de almacenamiento, como, por ejemplo, la creación de zonas de almacenamiento permanente de información que estarían vinculadas a aplicaciones concretas y que, por lo tanto, sólo estarían accesibles para dichos programas. Otra posibilidad que se abre es que sólo determinado software que se ejecute en el host tenga control sobre las capacidades de encriptación del propio dispositvo de almacenamiento.
El control de acceso a las zonas de almacenamiento permanente se realiza mediante sistemas de autenticación. Como sucede con otras características de la tecnología para dispositivos de almacenamiento masivo que ha desarrollado el Trusted Computing Group, el proceso de autenticación se realiza en dos fases, una de autorización y otra de uso del recurso protegido. También se requiere que el dispositivo de almacenamiento integre un reloj de tiempo real o bien un contador que permita mantener un log que contenga la información sobre el instante temporal en el que se ha realizado un logging. Este log se mantendría de forma protegida dentro del dispositivo de almacenamiento, siendo similar en su implementación al log que usa la tecnología SMART de los discos duros para informar al usuario sobre un posible fallo inminente de su hardware.

Servicios criptográficos
Los mecanismos de control de acceso al dispositivo de almacenamiento deben se

Contenidos recomendados...

Comentar
Para comentar, es necesario iniciar sesión
Se muestran 0 comentarios
X

Uso de cookies

Esta web utiliza cookies técnicas, de personalización y análisis, propias y de terceros, para facilitarle la navegación de forma anónima y analizar estadísticas del uso de la web. Consideramos que si continúa navegando, acepta su uso. Obtener más información