Questão de Segurança da Informação — Tópicos Mesclados e Outros Assuntos de Segurança da Informação — FGV 2023

TPM (Trusted Platform Module): o chip de segurança da placa-mãe

Gabarito: letra D. O TPM (Trusted Platform Module) é um chip separado na placa-mãe, exigido na versão 2.0 pelo Windows 11, e usado por serviços como BitLocker e Windows Hello para criar e armazenar chaves criptográficas com segurança, além de confirmar a integridade do sistema operacional e do firmware. As demais alternativas são tecnologias de software ou componentes de um sistema maior, não um chip físico dedicado.

O TPM é um componente de hardware de segurança, um chip criptográfico dedicado, projetado para proteger chaves e realizar operações criptográficas de forma isolada do sistema operacional. Ele é um dos pilares da segurança de plataforma, pois fornece uma raiz de confiança (root of trust) — um ponto de partida confiável para verificar a integridade do sistema. A principal função do TPM é proteger chaves criptográficas contra ataques de software, pois as chaves nunca saem do chip em formato utilizável, dificultando sua extração mesmo se o sistema for comprometido.

O Windows 11, por exemplo, exige TPM 2.0 como requisito de hardware para instalação. Essa exigência visa elevar o nível de segurança da plataforma, permitindo que recursos como BitLocker (criptografia de disco) e Windows Hello (autenticação biométrica) utilizem o TPM para armazenar chaves e atestar a integridade do sistema. O TPM também é usado para atestação remota, permitindo que uma entidade externa verifique se o dispositivo está executando software confiável e não foi adulterado.

Na prática, o TPM funciona como um cofre: ele gera e armazena chaves criptográficas dentro do chip, e as operações de assinatura e descriptografia são realizadas internamente, sem expor as chaves ao sistema operacional. Isso significa que, mesmo que um malware comprometa o sistema, ele não consegue extrair as chaves diretamente do TPM. O TPM também pode ser usado para selar dados (sealing), vinculando-os a um estado específico do sistema, e para atestação, provando a integridade do software em execução.

A distinção crucial é entre hardware e software. O TPM é um componente físico, um chip dedicado na placa-mãe. As alternativas A, C e E são tecnologias de software que utilizam o TPM ou outros mecanismos, mas não são o chip em si. A alternativa B, "chave de endosso", é um conceito relacionado ao TPM, mas não é a tecnologia completa descrita no enunciado.

A pegadinha da banca é confundir o TPM com tecnologias de software que dependem dele ou com componentes específicos do TPM. O candidato que conhece apenas os nomes pode marcar "chave de endosso" por ser um termo técnico, mas a chave de endosso é apenas uma das chaves armazenadas no TPM, não o chip em si. A banca explora a confusão entre o todo (TPM) e suas partes (chave de endosso) ou entre hardware (TPM) e software (Credential Guard, cartão inteligente virtual).

Guarde a fronteira: o TPM é o hardware (chip físico); as demais são software ou componentes que usam o TPM. É exatamente nessa distinção que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O Credential Guard é um recurso de software do Windows que usa virtualização para isolar e proteger credenciais. Ele pode usar o TPM como raiz de confiança, mas não é um chip separado na placa-mãe. A alternativa confunde a tecnologia de software com o hardware que a suporta.

Alternativa B — ❌ Incorreta

A chave de endosso (Endorsement Key) é uma chave criptográfica gerada e armazenada dentro do TPM, usada para identificar o chip de forma única. Ela é um componente do TPM, não a tecnologia completa descrita. A alternativa troca o todo (TPM) pela parte (chave de endosso).

Alternativa C — ❌ Incorreta

O cartão inteligente virtual é uma tecnologia de software que simula um cartão inteligente físico, armazenando certificados e chaves. Ele pode usar o TPM para proteger as chaves, mas não é um chip separado na placa-mãe. A alternativa confunde a emulação de hardware com o hardware real.

Alternativa D — ✅ Correta ⟵ GABARITO

O TPM (Trusted Platform Module) é exatamente o que o enunciado descreve: um chip separado na placa-mãe, exigido na versão 2.0 pelo Windows 11, e usado por BitLocker e Windows Hello para criar e armazenar chaves criptográficas com segurança, além de atestar a integridade do sistema operacional e do firmware. É a única alternativa que corresponde a um componente de hardware físico dedicado à segurança.

Alternativa E — ❌ Incorreta

A chave de identidade de atestado (Attestation Identity Key) é outra chave gerada e armazenada dentro do TPM, usada para atestação remota. Assim como a chave de endosso, é um componente do TPM, não a tecnologia completa. A alternativa repete o erro de trocar o todo pela parte.

Gabarito: letra D