El módulo de plataforma segura (TPM, Trusted Platform Module) es un chip o componente de firmware que genera y guarda de forma segura claves criptográficas y registra mediciones del proceso de arranque.
Cómo funciona un TPM
El TPM lo especifica el Trusted Computing Group y está estandarizado como ISO/IEC 11889. Existe como chip independiente en la placa base, como firmware que se ejecuta en el entorno seguro del procesador (fTPM, Intel PTT) o integrado en la CPU, como Microsoft Pluton. Sus funciones principales son:
- Protección de claves: las claves se crean dentro del TPM y sus partes privadas nunca salen de él en claro.
- Arranque medido: el firmware UEFI, el cargador de arranque y el kernel se registran como hashes en los Platform Configuration Registers (PCR).
- Sellado: un secreto solo se libera si los PCR muestran la cadena de arranque esperada y sin manipular.
- Atestación: el dispositivo puede demostrar su estado de arranque ante un servidor remoto.
- un generador de números aleatorios por hardware y protección contra la adivinación de PIN.
Por qué importa el TPM
El TPM es el ancla de muchas funciones de seguridad: el cifrado de disco completo BitLocker guarda en él su clave, Windows Hello protege con él las credenciales y las empresas lo usan para comprobar la integridad de los dispositivos. Microsoft convirtió TPM 2.0 en requisito de Windows 11. Como mide el código de arranque temprano, ayuda a detectar bootkits y manipulaciones del firmware.
El TPM no es invulnerable. El fallo ROCA (2017) en la generación de claves RSA de Infineon producía claves factorizables, TPM-Fail (2019) recuperó claves mediante canales laterales de temporización, y los investigadores han capturado repetidamente claves de BitLocker en el bus entre un TPM discreto y la CPU en portátiles configurados sin PIN previo al arranque.
Buenas prácticas
- Mantener actualizado el firmware del TPM junto con la BIOS/UEFI.
- En portátiles con datos sensibles, combinar el TPM con un PIN previo al arranque.
- Usar la atestación en las políticas de cumplimiento de dispositivos.
