Lire l’article

(quote:57987:phantom-lord)
Merci beaucoup pour cet article.

Pas de quoi

Sur Core 6th Gen, PTT doit être présent

eglyn a dit:

Mais ça implique que sur Windows 11 Bitlocker sera obligatoirement activé ?

Non

Et question subsidiaire: WIndows 11 ne pourra pas être virtualisé du coup ?

Il pourra l’être

OliverTrets a dit:

Ma carte mère (MSI) dispose juste du connecteur TPM : si j’achète une puce TPM 2.0 de n’importe quelle marque (ASRock par exemple) ça fonctionnera ou bien il existe des problèmes de compatibilité ?

Comme dit plus haut et dans l’article, acheter un tel module ne sert à rien. Si tu es TPM 2.0 tu peux sans doute activer fTPM/PTT.

Nightlight a dit:

Cm Asus z87-a … y’a le header mais pas le module TPM. J’ai une 4790k mais pas de ptt intégré. Dommage…

Oui apparemment PTT est postérieur à cette génération

Ryzen de première génération ? (Si oui ils ne sont pas dans la liste de compatibilité CPU pour le moment).

Il est bien dans la liste de compatibilité. Mais bon l’outil va être mis à jour on aura sans doute plus de détails à ce moment là.

Dit dans l’article, dit dans des commentaires : Ryzen : fTPM

(reply:58085:Chocolat-du-mendiant)

Tu confonds l’outil et son usage (avec une bonne grosse dose de spéculation personnelle), et le besoin pour les services/applications de respecter les lois en vigueur.

Toute solution peut être utilisée à des fins malveillantes (même du papier peut couper), et en matière d’identification il y a bien plus simple que de passer par TPM.

D’ailleurs tu opposes TPM et Keepass, ce qui montre à quel point tu passes à côté du sujet. Keepass pourrait très bien stocker une masterkey dans TPM pour la protéger plutôt que de l’avoir sur la machine accessible à tous.

Opposer les deux n’a pas de sens. Pour rappel, GnuPG a notamment été mis à jour récemment pour un stockage plus sécurisé dès clefs privées dans TPM pour éviter de nécessiter une enclave tierce comme une smart card. Ces solutions sont utilisées depuis des années pour la sécurité en entreprise et pour des tas d’usages divers.

Concernant MS, ils imposent TPM 2.0 depuis 2016 comme évoqué, notamment parce que quand des machines sont vendues (aux particuliers mais aussi aux entreprises), assurer une chaîne de confiance dans l’exécution matérielle/logicielle est nécessaire (sinon on va venir parler d’attaque supply chain, evil maid toussa).

(reply:58090:Ramiel the Arbiter)

Chaque approche a ses avantages et inconvénients.

Comme dit dans l’article la version se vérifie assez facilement (même sous Linux mais les outils peuvent dépendre des distributions de mémoire)

ronaldo1 a dit:

Bonjour, la vrai question est comment installer Windows 11 sans le TPM dont je n’ai pas l’utilité.

Microsoft n’a pour le moment rien précisé. Windows 11 arrivera à l’automne, ce sera sans doute éclairci (et modifié) d’ici là

Désolé mettre des “secrets” à mon insu et même s’il y a d’autre moyen pour le faire c’est très peu pour moi.

Il n’est pas question de ça. Enfin pour être précis par rapport au propos qui est confusant, des tas d’applications utilisent des secrets constamment, TPM est juste une manière de les stocker de manière sécurisée, puisque ne permettant pas à un attaquant de les récupérer simplement.

Le TPM est un moyen supplémentaire et complémentaire contrôler la machine (d’où le TRUSTED”) .

Non

Non, comme dit plus haut, MS a revu ce point, c’est TPM 2.0 ou rien, précisé partout dans toutes les documentations. La presse n’a rien à voir avec les errements de la comm” de MS.

ronaldo1 a dit:

Par exemple dans l’avenir des sociétés (Netflix ou autre) pourront mettre en secret la nationalité du pc et ne plus permette de regarder la version américaine.

Elles le font déjà sans TPM. Pour rappel, le meilleur ciblage là dessus c’est le moyen de paiement.

Il faudra passer par un RAZ et tout réinstaller. C’est un moyen de contrôle. Ici on peut considérer mon exemple comme légitime mais ça ne sera pas toujours le cas.

L’outil n’est pas l’usage

Comme j’ai dis plus haut, il y a d’autres moyens faire ça mais l’avantage TPM c’est que tout est enregistré sur le pc et qu’il n’y a pas besoin de connexion Internet.

On peut accéder à n’importe quelle donnée stockée/chiffrée sans connexion internet sans TPM. Comme dit, ça n’a aucun rapport, tu fais de la prospective qui détaille sur la base de rien.

Eviv_Bulgroz a dit:

Merci à David et à cet article !

Je me rends ainsi compte que j’avais plus que “survolé” le sujet et lu vraiment en diagonale le manuel de ma X570 GB…

Alors que tu aurais du l’apprendre par coeur

Don NXI / INpact Hardware, je plussoie : Que des articles précis et intéressants, factuels et non spéculatifs. Ça fait toujours du bien aux neurones Merci

Heureux d’être utile

(quote:58107:Chocolat-du-mendiant)
Oui, mais cet outil permet de nouveaux usages, en tout cas les “sécurise” d’une façon qui n’était pas possible avant.

Oui, et il le fait depuis plus de 10 ans en fait

Et cette façon de faire en excluant la possibilité à l’utilisateur, et même au propriétaire (quand ce n’est pas la même personne) de le contrôler me pose problème.

Pourquoi ? Et en quoi ce serait plus le cas qu’un fichier qui serait chiffré sur la machine et illisible de la part de l’utilisateur par exemple ? J’insiste : tu confonds outil et usage.

Il rend possible un ransomware off-line

(bon! s’il arrive à utiliser TPM, ce qui n’est sans doute pas du tout gagné)

N’importe quelle application peut utiliser TPM

ou par exemple donne la possibilité à MS de copier Google et Apple en retirant les droits root au propriétaire de la machine sans possibilité de le contourner (trop facilement) car dépendant d’un secret gardé dans TPM.
Actuellement ce n’est pas possible, sauf à ce que ce secret soit en-dehors de la machine, par exemple en ligne (ce qui pose d’autres problèmes et le rend globalement impraticable à l’échelle d’un Windows complet).

MS n’a aucun intérêt à le faire (parce que le PC est la plateforme libre par essence, ce qui fait son succès), par contre ils ont intérêt à ce que les machines vendues soient protégées par des mécaniques comme Secure Boot pour limiter les surface d’attaque. C’est le cas depuis des années, comme dit dans l’article.

Et à mon avis, s’il y a du mouvement à l’avenir, c’est plutôt pour une libération de ce qu’il est possible de faire avec les appareils actuellement trop verrouillés (que ce soit volontaire ou poussé par le législatif).

Je ne les opposent pas dans ce sens (fonctionnalité de stocker un secret) je les oppose dans le sens où le propriétaire de Keepass peut accéder (lire/modifier) tous les secrets contenu dans son Keepass. Le propriétaire d’un TPM ne peux pas.

Et donc potentiellement un attaquant. Tu as donc compris l’intérêt de TPM

Mais comme indiqué dans mon autre commentaire sur NI, sur mon HP grand publique de 2018, il est là. Mais désactivé par défaut. A moins qu’ils aient une procédure pour le réactiver à l’install de W11 (ou que mon cas soit un cas isolé), c’est comme s’ils n’existaient pas pour la très grosse majorité du parc. (bon, ce point là est plutôt positif pour moi, qui ne souhaite pas que le TPM actuel devienne obligatoire )

On verra ce que MS et ses partenaires feront là dessus. Si TPM 2.0 reste une caractéristiques “dure”, il faudra un moyen facile de l’activer pour les utilisateurs peu au fait du BIOS/UEFI. On verra.

Oui, et j’ai bien conscience que ce que je voudrai, peut être vu comme une backdoor, compte tenu du concept même de TPM. Mais pour moi la solution de TPM a comme principal inconvénient de pouvoir rapprocher l’univers PC de celui des smartphone en donnant la possibilité technique de retirer au propriétaire du PC son pouvoir de contrôle.

Outil/Usage

Ne plus être le vrai admin de sa machine (je ne dit pas que c’est le cas pour W11, ça peut parfaitement attendre W12. Mais c’est une brique très utile pour y arriver).

TPM ne change rien à qui est admin de sa machine (d’ailleurs c’est une notion OS, pas système).

Et si tu pense que je serai moins inquiet si ce n’était pas Microsoft (d’où peut-être l’exemple de GnuPG) tu as en partie raison :) . Mais je pense que si une prochaine version du noyau Linux rendait obligatoire le TPM actuel, ça ne me plairait pas non plus.

C’est le problème de ce genre de réaction en fait : elle ne repose que sur le fait que ça concerne MS. On peut broder tout ce que l’on veut autour, c’est le seul fait véritablement reproché. In fine, ça rend la critique un peu courte.

“Secret” est un terme générique pour une information à protéger. Les particuliers en utilisent au quotidien dans le savoir grâce à ces technologies, comme évoqué dans l’article.

PS : ceux qui pensent n’avoir aucun secret (légitime) sont soit fous soit incompétents en matière de sécurité.

PS 2 : Mêmer l’obscolescene à tout ça n’a guère de sens non plus.

(reply:58238:Philippe Caron)

firmware/enable

(reply:58246:Chocolat-du-mendiant)

Qu’est-ce que tu appelles contrôle ? Tu veux pouvoir accéder à l’un des secrets stockés dans TPM ? Tu veux pouvoir accéder à celui de ta carte bancaire ? Toute la sécurité de ces systèmes repose sur le fait que les secrets sont constamment innaccessibles. Tout le reste, c’est une backdoor.