多款現有主板中使用的英飛凌TPM芯片組被證實會生成不安全RSA加密密鑰，這可能導致相關設備陷入攻擊風險。

E百科：TPM(Trusted Platform Module)安全芯片是指符合TPM（可信賴平臺模塊）標準的安全芯片，它能有效地保護PC、防止非法用戶訪問。是屬于負責存儲各類關鍵性數據（包括密碼、證書以及加密密鑰）的安全密碼處理器國際標準。

從硬件層面來看，TPM為主系統板（即主板）上的共存專用微控制器，主要提供硬件隔離功能，同時生成并存儲用于進行平臺驗證的密碼、證書或者加密密鑰等。

根據英飛凌方面上周發布的安全通告，英飛凌TPM固件所生成的RSA密碼當中存在一項安全漏洞。只有基于TCG規范標準1.2與2.0版本的英飛凌TPM受到此次問題的影響。

英飛凌公司是目前正在生產且相關產品得到廣泛使用的TPM供應商之一，因此其它非合作主板供應商并未受到影響。

英飛凌公司于上周發布了相關固件更新，并將更新轉發給各正在將英飛凌TPM固件更新整合至現有產品的主板供應商處。

TPM通常被用于商用筆記本、路由器、嵌入式與物聯網設備等。已知受到影響的供應商包括宏碁、華碩、富士通、惠普、聯想、LG、三星、東芝以及其它多家小型Chromebook供應商。

惠普公司在發布的安全通告中指出，“本安全公告中的信息應得到相關各方的盡快響應。”

而富士通公司也在類似的通告中表示，“由于可借此對相應RSA私鑰進行推斷，此項安全漏洞會削弱公鑰抵御攻擊活動的能力。”

聯想公司指出，“英飛凌TPM生成的RSA公鑰因特定軟件程序的影響而存在安全問題。只有使用由TPM所生成之RSA密鑰的軟件才會受到此項安全漏洞的影響。”

這三家供應商正在努力推出固件更新，并已經發布因使用英飛凌TPM而受到影響的詳盡產品清單。

微軟與谷歌也各自發布了用于緩解此項漏洞的安全更新。

微軟公司將其相關更新歸類為能夠在一定程度上防止漏洞利用的“緩解方案”。用戶需要檢查其主板是否采用英飛凌TPM芯片組，并在可用時為每臺受影響產品手動應用該固件更新。

此項更新在不同Windows版本當中的實際緩解效果也有所區別。在微軟公告170012當中，第8、9與10條分別描述了各Windows版本會受到怎樣的影響，用戶又該如何保護自身。

Chromebooks設備同樣在受影響之列。谷歌公司已經通過一份安全公告發布了受到影響的Chromebook設備清單。該公司還推出了Chrome OS M60以解決這一漏洞。同樣的，谷歌方面同樣僅提供緩解方案，即用戶需要自行查看其供應商是否提供相應的主板更新。

谷歌公司還對此項安全漏洞作出了剖析，解釋稱普通用戶并不屬于該安全漏洞的攻擊目標; 相反，該問題將主要被用于組織針對高價值目標的攻擊活動。

谷歌公司指出，“目前已知的攻擊活動需要耗費大量計算資源。由TPM生成的RSA密鑰無法被廣泛利用，而僅可作為針對性攻擊的手段。總結來講：存在針對TPM所生成的RSA密鑰的實際攻擊可能性，但此種方法不可能大規模入侵Chrome OS設備。”

在各主板供應商發布新的固件更新并解決英飛凌TPM漏洞之前，目前的一般性建議是將關鍵用戶與數據操作遷移至完成固件更新的設備之上，或者遷移至不受此安全漏洞影響的設備當中。

一旦用戶接收到固件更新，其應重新生成全部TPM密鑰。用戶只需要為啟用TPM的應用重新設定全部密碼即可。

由于很難確切了解哪些應用及操作系統功能會用到TPM，因此用戶可以重置TPM模塊，具體方法為在Windows搜索/運行當中輸入TPM.MSC，從而完成TPM重置。更多細節操作請參閱本篇文章。

這還只是今天曝出的重大加密bug之一。關于另一問題的細節信息E安全也進行了詳細報道，此問題會影響到WPA2 WiFi協議，且有消息稱其可能導致WPA2保護下的WiFi網絡遭受竊聽攻擊。