|
|
|
| 茂訊用心提醒：與本頁相關資料為「其他問題」「專業知識」。 |
 什麼是TPM晶片 |
（TPM, Trusted Platform Module)安全晶片
筆記型電腦廠商持續再加強商用NB的安全功能。HP推出了六款商用NB，強調整合了憑證管理、BIOS（Basic Input Output System）防護、智慧卡（Smart Card）、可信任安全平台模組（TPM, Trusted Platform Module)安全晶片，並且增加了對BIOS的管理。
TOSHIBA即將在台發表的兩款商用NB，也會有TPM安全晶片、BIOS密碼設定、以及內建在CPU內的安全晶片，可以使病毒、蠕蟲執行指令無效的機制（Execute Disable Bit）。
TPM指接在主機板上的安全晶片，可以公開金鑰架構（PKI）產生無法複製讀取數位簽章，以驗證存取資料平台及硬碟的身份，保護資料。TPM就如同將智慧卡功能裝置於主機內，不同的是，一般智慧卡主要針對個人的資料進行防護及認證，TPM則是提供個別平台的資料防護。
到了今年廠商的資訊安全防護更進一步。HP企業系統事業群技術顧問李振昌表示，今年HP的商用NB資安解決方案，強調的是管理商用NB內建的憑證管理、結合BIOS設定的智慧卡、TPM安全晶片。他表示，這些技術在HP上一代的商用資安策略就已出現，在技術逐漸成熟穩定後，HP要發展的是讓用戶設定安全防護介面時更人性化、更方便管理。
李振昌說，BIOS的設定對企業用戶尤其重要，因為對IT人員而言，從BIOS設定安全管理內容較其他方式簡單。HP今年的BIOS設定增加了對I/O Port、儲存設備的支援。可讓IT管理人員決定使用者是否可使用相關周邊。
而所謂的結合BIOS設定的智慧卡，指使用者在開機進入Windows系統之前，必須插入智慧卡及密碼的雙重認證方可進入系統，缺一不可。HP說，這可有效防堵電腦密碼被破解。
國內廠商也有推出不同的安全防護措施。例如宏碁和華碩曾推出具有指紋辨識或智慧卡登入驗證身份安全功能的筆記型電腦。
廠商早在六年前就有從硬體達成資安的解決方案，並以安全晶片為主力。IBM在1999年首度在ThinkPad T系列推出安全晶片功能，2001年安全晶片成為標準配備。IBM 在2001年發表的ThinkPad T、A、X系列都有使用安全晶片的安全管理系統（IBM Embedded Security Subsystem）。惠普在2003年年中開始在筆記型電腦上加入了TPM晶片。
無獨有偶的，TOSHIBA今年的商用NB加進了資訊安全的陣營。它們同樣也有TPM安全晶片及從BIOS端就進行資料防護的機制。但它們還在CPU裡加進了安全晶片，TOSHIBA代理商新禾科技企劃部專員張祐菖表示，該晶片會偵測到是否有異常的程式執行量，例如木馬程式、蠕蟲病毒企圖癱瘓CPU，俟發現這種情況後安全晶片就會停止該程式的執行。
TPM是什麼？
隨著越來越多的木馬程式、駭客入侵，電腦資料外洩風險也越來越高；而除了面對木馬程式或駭客攻擊而造成的資料損失，由於筆記型電腦攜帶容易、單價高、容易變現，也常是竊賊最好的下手目標。一旦資料外流，造成的損失往往難以估計，這種例子可以說是層出不窮。
其實許多電腦或筆記型電腦都有加強防止資料外洩的機制，例如TPM安全晶片就是其中之一。NB開始內建安全晶片已經有幾年的時間，例如IBM的多款ThinkPad筆記型電腦都有內建TPM晶片。過去這種TPM安全晶片並沒有受到太多關注；但最近隨著新一輪的筆記型電腦紛紛出籠，其中便有不少新推出商用機種以內建TPM安全晶片為號召。
TPM（Trusted Platform Module)可信任安全平台模組TCG（Trusted Computing Group)信賴運算集團所推廣的資訊安全防護技術規格，包括Intel、IBM、HP、AMD、Sony、Sun Micro及微軟等資訊大廠都是這個組織的支持廠商。
目前筆記型電腦大多以內建支援 TPM規格的晶片建構所需的安全機制。簡單來說，TPM可以利用公開金鑰架構（PKI）產生無法複製讀數位簽章，以驗證存取資料平台及硬碟的身份，提供個別平台的資料防護；此外，有的TPM晶片還具有儲存密碼或使用者 資料的功能，或額外整合一些安全機制等。
對使用者來說，TPM最直接的好處就是可以直接對檔案或資料匣進行加密，一旦被TPM加密過的檔案資料，基本上就具有雙重防護，一方面是開啟被加密檔案本身必須有一組密碼，另外，還需與TPM晶片搭配才能開啟檔案；也就是說即使被駭客竊取，由於少了TPM晶片，資料也無法被讀取。
如果怕整台NB被偷走，那也可以設定長一點的密碼，例如IBM ThinkPad的加密機制就可設定達256位的密碼，防止資料外流。
二、哪些NB內建TPM晶片？
最近有不少家廠商紛紛開始在商用NB上主打TPM的功能，目前市場上可以看到的大概就是IBM、HP和Toshiba這三家的商用NB系列。
安全晶片並不是新鮮的玩意，早在1999年IBM就已經在Thinkpad T系列中加入了安全晶片功能，在2001年發表的Thinkpad T、A、X系列都有使用安全晶片的管理系統。
目前IBM的Thinkpad中，T42、T43和X31、X40、R51等都配有安全晶片，而除了安全晶片之外，IBM還有將指紋辨識裝置整合進安全晶片中的機種，不過目前僅有T43和T42中特定機種才有指紋辨識+安全晶片的防護系統。
HP則是在Sonoma NB新產品上市時，順勢在這幾台新的商務用NB中加入了TPM晶片，所以包括HP Compaq nc4200、nc6220、nc6230、nx8220、nw8240等幾台都有配備TPM晶片的機種 ；不過要注意的是，HP並非將TPM視為標準配備，例如即使是nc6230，還是有內建與無內建TPM晶片的差別。
HP的商用NB除了加裝TPM安全晶片外，同樣有DriveLock將硬碟和主機板配對的鎖硬碟功能，另外配合上HP的ProtectTool軟體，可以使用多重的密碼來保護資料，可設立管理密碼、開機密碼、BIOS密碼、DriveLock密碼等等。
TOSHIBA 今年的商用NB加入了TPM功能，此外它們還在CPU裡加進了防駭晶片(XD-Bit)，該晶片會偵測到是否有異常的程式執行量，例如木馬程式、蠕蟲病毒企圖癱瘓CPU，發現這種情況後防駭晶片就會停止該程式的執行。
目前Toshiba有使用TPM安全晶片僅有頂級的商務機種Tecra M3，另外新上市的Tecra A3雖然也有所謂的ToshibaEasyGuard，但是僅有XD-Bit、Device Lock和個人密碼 ，最重要的TPM則沒有放在裡面，主要還是價格和市場定位上有所差異。
Fujitsu目前則在LifeBook S7000系列、LifeBook E8000系列、LifeBook T4000系列（Tablet PC）與Stylistic ST5000系列（Tablet PC）等的部分機種有內建TPM安全晶片；不過Fujitsu在台灣銷售不多，比較常見的機種為S7000系列，例如S7010等。
三、TPM真的有用嗎？
每家的TPM使用方法不太一樣，我們用IBM的T43當做範例，看看內建TPM的NB能夠如何保護你的資料。
目前IBM的TP系列中除了少數較低階的入門機種如R50e之外，幾乎都內建有安全晶片，不過預設是關閉，首先要進入到BIOS開啟。
接下來要安裝IBM Client Security Software，使用者可以到這個網址下載CSS 5.41這個軟體，或者是在C槽中的IBMTOOLS\APPS中可能可以找到一個CSS540這個資料夾，同樣是CSS這個軟體，下載完畢後直接執行安裝，過程就和一般的程式安裝一樣，安裝完要重開機。
接下來要執行CSS的安裝精靈，首先選擇進階設定。然後輸入管理者密碼，如果是第一次啟動安全晶片，那麼這邊會出現設定管理者密碼和確認密碼的輸入項目。
第二步驟是建立金鑰，選擇建立新的金鑰，並選擇儲存金鑰的位置、是否要分割金鑰，及儲存金鑰備份的位置。
第三步驟是選擇哪些要用IBM的CSS來保護，我們選擇檔案和資料夾。
第四步驟是選擇哪些使用者要用CSS，先選擇一個使用者，然後按Authorize User進入輸入密碼畫面。密碼設定有六個原則：至少要包含六個字元、至少要包含一個數字、字元連續重複不得超過兩次、開頭和結尾不得是數字、不可內含使用者帳號。再來選擇密碼是否會過期，可以選擇每次使用後都要更換密碼，或是一段時間後就過期，或是完全不會過期。
第五步驟是設定安全等級和選擇結合哪些裝置，如果有智慧卡或是指紋辨識的話都可以一起勾選。最後會有一個確認的畫面。
安全晶片最主要的保護方式在於將使用的檔案或資料夾加密鎖起來，首先在要加密的檔案上按右鍵，選擇Encrypt the File。接著要輸入使用者的密碼。加密後的檔案會以.$enc$當作副檔名，而即便使用者將副檔名改回來也沒有辦法成功開啟。
這種加密的方式等於是把一扇門的鎖都藏起來，沒有TPM晶片的機器連解密這個右鍵選項都不會出現，不過即使將這個檔案拿到一個同樣安全晶片的電腦上，也會因為是不同晶片而無法解密，因此即便這些檔案失竊，也能夠降低資料洩密的機率。
四、結論
從今年新筆記型電腦的採用度來看，內建TPM晶片筆記型電腦數量增加已經是相當確定趨勢，市場調查機構IDC也預估，2005年內建安全晶片的筆記型電腦應該可以達到2000萬台，比2004年增加800萬台。
有不少人對TPM安全晶片，或信賴運算小組（TCG）仍然存有隱私權疑慮，而且至目前為止，這種疑慮仍然沒有減輕；那麼，作為一個使用者，該不該用TPM呢？
我們的看法是，雖然沒有辦法排除未來隱私權被侵犯的可能性，但也不見得就要捨棄TPM帶來的安全性。相較於從軟體層進行加密的資訊安全防護機制，TPM由於可以將金鑰、密碼等鎖在晶片內，因此心存不良的駭客要破解TPM加密難度可以說提高了不少，TPM的安全功能仍值得我們好好利用。
至於隱私權問題，相信有不少專家正嚴密的監督這些廠商，在廠商侵犯你的隱私權時，他們不會保持沈默。
此外，透過我們試用ThinkPad TPM加密功能說明，也可以看出，要利用TPM強化你資料的安全性其實相當簡單方便，問題只是使用者有沒有意識到自己的資料安全而已。
目前筆記型電腦比較常見的防護裝置大概是BIOS層級的開機密碼，與硬碟鎖（Drive Lock），這兩個防護機制雖然不見得夠安全，稍有經驗的玩家都可能破解，但絕大多數的使用者還是沒有啟動這種基本功能，以致NB遺失導致內存資料外流風險大增；同樣的，許多人買了內建TPM的筆記型電腦，卻不見得知道，並好好利用。
天下沒有破解不了的鎖，只是得花的時間力氣不同；如果使用TPM加密，應該可以阻絕不少駭客或木馬程式將你的寶貴資料外流，當然如果你的顧慮是萬一NB被偷，那麼除了安裝開機密碼、硬碟鎖，也請好好利用TPM加密；雖然TPM晶片也一起被偷走了，不過你可以設定一組混用英文字母和數字的128bit（ThinkPad號稱可以達256bit）加密檔案開啟密碼，讓小偷慢慢破解吧。
