Thư viện · Thiết bị
Danh tính thiết bị khó giả: TPM, Secure Enclave và vân tay máy
Vân tay ghép từ linh kiện dễ đổi và dễ giả. Một khoá tạo trong chip bảo mật không thể chép ra khỏi máy. Kết hợp cả hai cho phép nhận ra máy thật mà không làm khó người dùng chân chính.
Vân tay linh kiện
CPU, bo mạch, ổ đĩa, địa chỉ mạng được băm rồi ghép lại. Ưu điểm: không cần phần cứng đặc biệt. Nhược điểm: phần mềm giả lập có thể trả về giá trị tuỳ ý, và người dùng thay ổ đĩa là đổi vân tay.
So khớp có dung sai
Đừng đòi khớp tuyệt đối. Coi là cùng máy khi đủ N linh kiện trùng, để cài lại hệ điều hành hay thay một món không tốn thêm suất.
Khoá trong phần cứng
TPM (Windows) và Secure Enclave (macOS) tạo khoá không xuất ra được. Mọi yêu cầu ký bằng khoá đó chứng minh nó đến từ đúng con chip, không chỉ từ một bộ giá trị giống hệt.
Đường lùi
Máy ảo và máy cũ có thể không có TPM. Cho phép chính sách "ưu tiên phần cứng" thay vì "bắt buộc", và đánh dấu thiết bị không có khoá phần cứng để theo dõi.
Áp dụng với ClavisAUH
Khoá thiết bị và so khớp linh kiện đã có sẵn: Gắn key với máy (Node Locking) nằm trong Bảo vệ Standard, bạn không phải bật gì.