是否可以在多个 TPM 之间共享 BitLocker 解密密钥?

信息安全 磁盘加密 可信计算 比特锁
2021-08-15 03:23:59

TPM 规范提到一些密钥是可迁移的,即可以转移到另一个 TPM。这是否意味着可以在多个 TPM 之间共享(传输)BitLocker 解密密钥,从而能够解密多台机器上的同一个加密硬盘驱动器?还是 BitLocker 密钥属于锁定到一个 TPM 的不可迁移类别?

2个回答

我想我已经找到了这个问题的“答案”。这应该是可能的,但微软目前还没有实现它。据我所知,在技术上可以将解密密钥由存储在同一个加密硬盘驱动器上的几个不同 TPM 保护,因为它们(我认为)是由 TPM 加密的二进制 blob,因此每个不同的 TPM 可能有自己不同的可以由该 TPM 解密的 blob。

这是一个疯狂的猜测,但我希望这取决于您在设置 BitLocker 时如何配置它。如果他们允许您在配置密钥时选择备份密钥(他们应该这样做),那么您可以导入该备份副本,无论它是否可导出。如果您没有密钥的一些备份副本并且它是不可导出的,那么我不会使用加密,因为 TPM 可以并且确实会失败(实际上,如果检测到问题,一个好的加密会失败。)我'以前发生过这种情况,如果我没有备份密钥,我的数据就会丢失。