Hyper-V VMs, Trusted Platform Module und das Problem mit den Virtual Smart Cards


Von Microsoft gibt es endlich mal wieder tolles, neues Spielzeug. Seit Windows 8 gibt es sogenannte Virtual Smart Cards. Von der Funktion her reagieren sie wie echte Smartcards, allerdings hat man sie im Rechner. Vor ein paar Tagen wurde nun Windows Phone 8.1 vorgestellt und siehe da, Windows Phone 8.1 ist nun auch Virtual Smart Card fähig!

OK, wenn man drüber nachdenkt, dann kommt man schnell zum Punkt: Toll was soll die Sache, wenn dann jeder kurz mal meine Smartcards kopieren kann, der irgendwie Zugriff auf meinen Rechner oder Handy hat?

Da kommt nun TPM ins Spiel. Im Businessbereich schon seit Jahren in vielen Rechnern eingebaut und oft unbenutzt, hat TPM mittlerweile Version 2 erreicht. Übrigens vergleichbares bei ARM nennt sich TrustZone. Auf jeden Fall handelt es sich dabei um einen speziellen Speicherbereich, auf dem z. B. auch Privatkeys sicher gespeichert werden können sollen. Android unterstützt diese Hardwarespeicherung auch seit Version 4.3 mit dem sogenannten Hardware Credential Store.

Um sich nun mit diesen interessanten Dingen beschäftigen zu können, kann man selber Smartcards anlegen. Üblicherweise macht man heutzutage alles in VMs. Aber leider fehlt es an diesem Ende mal wieder. Der aktuelle Hyper-V Server 2012 R2 unterstützt zwar SecureBoot bei Generation 2 VMs allerdings bringt er keine Unterstützung von TPM innerhalb von virtuellen Maschinen mit. Schade, sehr schade.

So führt die Verwendung von TPMVSCMGR.EXE dazu:

tpmvscmgr create /name MyVSC /pin default /adminkey random /generate

Standard—PIN verwenden: 12345678
TPM—Smartcard wird erstellt…
Komponente für virtuelle Smartcards wird initialisiert…
Komponente für virtuelle Smartcards wird erstellt…
Fehler beim Erstellen der Komponente für virtuelle Smartcards.
         (0x80090030) Das Gerät, das von diesem kryptografischen Anbieter angefordert wird, kann nicht verwendet werden.

Dieser Artikel bestätigt auch nochmal das Fehlen von TPM in VMs in der aktuellen Version: http://blogs.technet.com/b/jhoward/archive/2013/11/04/hyper-v-generation-2-virtual-machines-part-7.aspx. Schade.

Wenn man bestimmte übergeordnete Instanzen bei Microsoft außer acht lässt und man zunächst davon ausgeht, dass TPM die Privatkeys sicher speichert, dann könnte man es mittels dieser Technologie endlich schaffen sich per Handy mittels Bluetooth über die virtuelle Smartcard anzumelden. Da ja nun mittels Bluetooth 4.0 LE auch der Abstand der Geräte über das ProximityProfile ermittelbar ist, kann man z. B. definieren, dass das Handy immer im Bereich von 30-40cm zum Rechner sein muss, ansonsten wird automatisch der Lockscreen aktiv. Klar klappt das erst perfekt, wenn man mehrere Bluetoothsignalgeber an verschiedenen Stellen hat, aber die Dinger werden immer billiger und kleiner. Daraus resultiert dann quasi ein Inhouse GPS.

Davon spricht man schon ewig aber nun hat man wahrscheinlich alle Komponenten beieinander um so etwas sinnvoll umsetzen zu können. Oh, hab ich was von Windows 9 gehört? Ähm nö, gibts doch noch gar nicht.

Allgemein zu Virtual Smart Cards unter Windows: http://technet.microsoft.com/en-us/library/dn593708.aspx
Der Blog-Eintrag der VSC in Windows Phone 8.1 benennt: http://blogs.windows.com/windows/b/business/archive/2014/04/02/building-the-mobile-workplace-with-windows-and-windows-phone.aspx
Das dahinterliegende Management Protokoll: http://msdn.microsoft.com/library/hh880895.aspx
TPMVSCMGR.EXE-Beschreibung: http://technet.microsoft.com/en-us/library/dn593707.aspx

Eine Antwort to “Hyper-V VMs, Trusted Platform Module und das Problem mit den Virtual Smart Cards”

  1. Quirel Says:

    Interessanter Thread zum Thema TPM Android und OpenSource: https://groups.google.com/forum/#!topic/android-security-discuss/WEpNeqeewsA

    TPM auf Mac: http://www.osxbook.com/book/bonus/chapter10/tpm/

Schreibe einen Kommentar

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s


%d Bloggern gefällt das: