1. 可信计算概述
各位同学好，我是老张。今天咱们开始聊TPM，但别急着钻技术细节——先花点时间把可信计算这个"大背景"理清楚。我做了十几年安全硬件，见过太多人一上来就啃TPM寄存器，结果越学越糊涂。说白了，不理解可信计算想解决什么问题，你就看不懂TPM为什么长这样。
1.1 什么是可信计算
可信计算（Trusted Computing，TC）这个概念，最早是20世纪90年代末由TCG（Trusted Computing Group，可信计算组织）推出来的。它的核心目标很简单：让计算机能证明自己是"可信的"。
你可能会问：什么叫"可信"？我个人的理解是——一个系统如果行为始终可预测、可度量、可验证，那它就是可信的。注意，这里说的"可信"不等于"安全"。一个系统可能漏洞一堆，但只要它的行为符合预期，我们就说它是可信的。嗯，这个区别很重要，后面还会反复提到。
可信 ≠ 安全
可信计算关注的是"行为是否符合预期"，而不是"有没有漏洞"。一个可信的系统可能不安全，但一个不可信的系统一定不安全。
1.2 发展历程：从TCG到TPM 2.0
我简单梳理一下可信计算的发展脉络，这样你心里有个时间轴。
| 时间 | 事件 | 说明 |
|---|---|---|
| 1999年 | TCPA成立 | 可信计算平台联盟（Trusted Computing Platform Alliance）成立，由Intel、IBM、微软等牵头 |
| 2003年 | TCPA改组为TCG | 更名为可信计算组织（Trusted Computing Group），开始制定TPM规范 |
| 2005年 | TPM 1.1b发布 | 第一个广泛使用的TPM规范，但功能有限 |
| 2009年 | TPM 1.2发布 | 成为主流标准，Windows BitLocker等开始依赖它 |
| 2014年 | TPM 2.0发布 | 重大升级，支持更多算法、更灵活的架构 |
| 2016年至今 | TPM 2.0普及 | Windows 11强制要求TPM 2.0，成为PC标配 |
我记得2010年左右第一次接触TPM 1.2的芯片，那时候它还是个独立的DIP-8封装的小片子，焊在主板上。现在TPM 2.0已经集成到CPU的PCH（平台控制器集线器）里了，性能提升了好几个数量级。
1.3 核心思想：信任根与信任链
可信计算最核心的思想，我总结成一句话：从一个小而可信的起点开始，逐级验证，把信任传递到整个系统。
这个"小而可信的起点"就是信任根（Root of Trust，RoT）。它必须满足三个条件：
- 不可伪造：攻击者无法冒充它
- 不可篡改：它的代码和数据不能被修改
- 行为可预测：它的行为是确定的、可验证的
在TPM体系里，信任根通常有三个：
- 度量信任根（RTM）：负责第一次度量，通常是CPU的微代码
- 存储信任根（RTS）：负责保护度量结果，通常是TPM内部的一组寄存器
- 报告信任根（RTR）：负责向外部证明系统的可信状态，通常是TPM的签名能力
有了信任根，接下来就是信任链（Chain of Trust）。这个过程有点像接力赛：
- 第一步：BIOS/UEFI的Boot Block被度量（由CPU微代码完成）
- 第二步：Boot Block度量BIOS/UEFI主体
- 第三步：BIOS/UEFI度量Option ROM和Boot Loader
- 第四步：Boot Loader度量操作系统内核
- 第五步：操作系统内核度量驱动和应用程序
每一级在运行之前，先被上一级度量，然后把度量值扩展到TPM的PCR（平台配置寄存器）里。这样，整个系统的可信状态就浓缩在PCR的值里了。
避坑指南
我曾经在一个项目里吃过亏：信任链断了。当时为了加快启动速度，跳过了对某个Option ROM的度量。结果那个ROM被植入了后门，整个系统就沦陷了。记住：信任链的强度取决于最弱的一环，跳过任何一步都是危险的。
1.4 信任链模型：从BIOS到应用
为了让你更直观地理解信任链，我画了一张图。这张图展示了从系统上电到应用启动的完整信任传递过程。
你看这张图，每一级都在度量下一级，然后把度量值存到TPM的PCR里。为什么要存到PCR？因为PCR的值只能通过"扩展"操作来改变——新值 = SHA-1(旧值 || 新度量值)。这个设计保证了：只要你知道系统启动时的PCR值，就能判断系统是否被篡改过。
注意：信任链的起点必须是物理可信的
信任链的起点（信任根）不能依赖软件来保证自身安全。它必须是硬件实现的，比如CPU内部的微代码，或者独立的TPM芯片。如果信任根本身能被篡改，那整个信任链就崩塌了。
1.5 为什么需要可信计算
你可能会想：现在的操作系统不是有各种安全机制吗？为什么还需要可信计算？
我举个例子你就明白了。假设你装了一个Windows系统，设置了强密码，装了杀毒软件。但攻击者通过物理接触你的电脑，在BIOS里植入了一个后门。等你开机时，这个后门先于操作系统运行，把内核的某个关键函数给hook了。这时候，你的杀毒软件看到的操作系统是"干净"的，但实际上内核已经被篡改了。
传统的安全机制（杀毒软件、防火墙、入侵检测）都是在操作系统运行之后才生效的。它们无法检测到启动过程中发生的篡改。而可信计算恰恰解决了这个问题——它从系统上电的第一刻就开始度量，确保整个启动链都是可信的。
我个人觉得，可信计算最大的价值在于：它把安全防线从软件层下沉到了硬件层。硬件层面的攻击成本远高于软件层面，所以可信计算能有效防御大多数软件攻击和部分物理攻击。
1.6 可信计算的应用场景
说了这么多理论，咱们看看实际应用。我挑几个典型的场景：
- 平台完整性验证：Windows BitLocker、Linux IMA（Integrity Measurement Architecture）都依赖TPM来验证系统是否被篡改
- 远程证明：服务器向客户端证明自己运行的是未被篡改的软件栈，常用于云计算和金融交易
- 密钥保护：把私钥存储在TPM内部，永远不暴露给操作系统，防止密钥泄露
- 数字版权管理：确保受保护的内容只能在可信的环境中播放
- 物联网设备认证：确保IoT设备没有被篡改，防止被用于DDoS攻击
我记得有一次帮客户做金融系统的安全审计，他们用的就是TPM做远程证明。每次交易前，服务器先向客户端发送一个随机数，客户端用TPM签名后返回，服务器验证签名和PCR值。这样就能确保客户端没有被植入恶意软件。嗯，这个方案虽然简单，但非常有效。
1.7 小结
这一章咱们聊了可信计算的基本概念、发展历程、核心思想（信任根和信任链），以及它的应用场景。说白了，可信计算就是从硬件层面建立一个不可篡改的信任起点，然后逐级验证，把信任传递到整个系统。