多个 TPM 模块能不能串联？

[yhvictor]

RT,都说国内用美产 TPM ，国外用国产 TPM 。
最近突发奇想，能不能把两个 TPM 串联起来一起用，放个国内的放个国外的。

那么有这种支持的软件驱动么？
如果没有的话，硬件上做个芯片带两个 TPM 槽，自己作为 TPM 的难度大么。

[singerll]

你能把 cpu ，内存串联吗？就算串联个数码管还得上锁存器呢，直接串联芯片做梦呢。
硬件直接集成两个芯片难度肯定不大，就跟你想往自行车上装四个轮胎一样，难度不大，只要脑子正常都不会干。

[yhvictor]

@singerll 你这是生活受了多大磨难。。。

[des]

那密钥存 a 里边还是 b 里边？还是一个存一半？

[yhvictor]

@des 各存一个啊。
加密解密都是各过一遍。

[Halry]

如果这样那可信任根找谁呢，芯片也是 i 或者 a 的

[des]

@yhvictor 先不说能不能做，你这不是放大了攻击面吗？

[yhvictor]

@des 不是啊
两次加密，如果一个被破解了，还有另一个在能保护。
不存在弱化的。

[kokutou]

工信部要求不能存在这种带密钥的外国加密设备或系统。。。
你做进去了，就算没启用也不行。

[yhvictor]

@kokutou 可以这么弄，就说怕国内厂商不靠谱，我集成俩国内的 TPM 。
后面我自己换芯片总可以把。 :D

[kokutou]

没哪个厂会自己在自己电脑里埋个炸弹。
2 个东西要分别测试，都是要钱的。
商业上不可能支持这种想法。

[zachgenius]

没必要啊......就像给家门入口安装两个防盗门, 增加费用不说, 真没必要. 而且攻击面增大, bug 率更高. 这不像数据库主从备份问题, 多一个备份多一个保障. 多放一个 tpm, 玩 side channel 的可就更开心了

[wangyu17455]

我记着有个说法是用不同加密方法叠加加密好像并不能提升安全性反而会造成漏洞（只是听说）

[err1y]

可以了解一下内生安全，拟态防御等技术，以及这两天公布的（但是并没有多少信息的）国产玄武芯：esw5610

[dianso]

买根绳子绑起来

[jim9606]

如果只是用作密钥容器的话应该是可以的吧。虽然没听说有哪家的安全产品支持这种用法。


@wangyu17455 这个是针对加密算法的说法，题主讨论的主要是 TPM 硬件厂商可能存在侧信道或者后门的问题。

[yhvictor]

@jim9606 这么多回复终于看到知道我什么意思的了……感动

主要是 tpm 文档太难找了

[learningman]

@yhvictor #7 你先理解一下 tpm 吗
不是上两把锁坏了一把还有一把，他们不是并联是串联的，一个挂了就都没了

[yhvictor]

@learningman 没懂你什么意思

TPM 我感觉就俩函数，加密 y=f(x)，解密 x=f-1(x)
另个一 TPM 如果函数是 g

那么串联就是加密 y=g(f(x)), 解密 x=f-1(g-1(y))

这跟锁坏没坏什么关系

[learningman]

@yhvictor #18 这两函数是闭包，里面还有变量的，安全就是因为数据放里边去了

[dingwen07]

你设个开机 pin 码比啥都强

[cccer]

@yhvictor TPM 只是生成和存储密钥的，加密是由 CPU 或相关的加速卡实现。

[cccer]

@yhvictor 两个 TPM 存储两个密钥，然后你还要修改相关应用（比如 Bitlocker ）让他们支持去读取和使用两个密钥。

[adfs]

pc 的主可以自己家 tpm 模块，你可以试试

[adfs]

@adfs pc 的主板可以自己加 tpm 模块，你可以试试

[jim9606]

@yhvictor 目前我的理解是 TPM 主要是利用 PCR 保证设备可信，这样可以实现无密码解锁，目前 Android 实现设备安全的方法与这个类似。TPM 无密码保护可以防止设备被盗导致的数据泄漏，这也是我认为非常适合消费级用户需求的用法。希望更高安全性的应该使用 TPM+PIN 联合保护。至于密钥托管，YubiKey 等 FIDO 方案灵活性更佳。如果希望 TPM 托管的话，Windows 目前可以使用 Microsoft Platform Crypto Provider 实现 TPM 托管密钥。

以前在 V2 跟别人讨论过 TPM 对 Windows 的意义。 /t/788634

Ref:
创建 TPM 托管证书的方法: https://polansky.co/blog/tpm-backed-certificates-windows/

TPM 与 Bitlocker: https://zhuanlan.zhihu.com/p/29840740

[yhvictor]

@dingwen07 …开机密码又不能防止直接拆硬盘

[dingwen07]

@yhvictor #26 BitLocker 的开机 PIN 码，和 TPM 配合使用

[ungrown]

@yhvictor #2
别一被怼就反问对方是否生活不如意，先不提别的，光这个反击模式就已经被用烂了，既没新意也没气势，用了先输一半。
再说，他批评得又没错。

[yhvictor]

@ungrown 意思只能别人说我脑子不正常。我连骂他都没骂，问问他是不是生活不如意所以戾气这么重都不行么？

以及，他怎么就批评得没错了？
我觉得我批评你也没错，你就是脑子有毛病。