可信赖计算为服务器硬件和操作系统增加了新的安全特性。所以有必要花点时间学习如何以及何时部署它。

服务器在安全方面受到的关注相对较少，数据保护问题让人困扰。行业非营利性组织可信赖计算联盟制定了一套安全标准以保护加密密钥，并确保硬件平台和主机操作系统的可信度。通过内置可信赖平台模块（TPM），现代的服务器通常都符合这些标准。

然而，许多IT组织并没有启用TPM安全功能；其中一些人只是不知道如何才能充分部署该技术，而另外一些人则担心受保护的数据会意外丢失而无法访问。

可信赖平台模块的作用

对硬件的篡改可能使加密密钥被破解。在服务器主板上，TPM实现硬件控制器的作用。一切和安全相关的操作，密钥、密码和数字证书，均受到TPM的子系统的保护。实际上，物理TPM模块是加密密钥的一个组成部分。作为一个硬件设备，TPM不受恶意软件影响，也无法伪造。

请记住，可信赖计算技术必须配合特定的硬件组件才能保护敏感的数据。硬件总有可能会出问题。仅在最适当的地方启用TPM，细心管理密码，对TPM的使用也一定要进行彻底的测试。

TPM由一个唯一的密钥保护，这个密钥基于服务器启动期间获取的服务器及其组件的“指纹”特征、以及定期测量的系统参数作为基准而创建。如果引导特征产生变化，指纹不再与实际的系统参数匹配，可能反映出硬件被篡改，对系统的访问将被拒绝。

一旦TPM兼容的BIOS将系统控制权交给启用TPM的操作系统，例如Windows 8或 Windows Server 2012，操作系统同样会对比BIOS TPM指纹和之前的启动周期是否一致，检查系统是否可能被篡改。如果启用TPM的系统引导成功，通常也表示该系统是可信的。

在启动之后，TPM也支持附加的安全功能，例如BitLocker驱动器加密。一个普遍的例子是Windows 8和 Windows Server 2012的引导评估功能，可以将启动组件的日志记录共享给恶意软件删除工具。如果启动组件与受信任组件的记录不匹配，意味着服务器可能已经受到攻击。

TPM的基本要求和问题

要部署TPM，要求配备TPM模块和兼容的BIOS，几乎每个服务器供应商提供的服务器硬件平台都满足条件。系统出厂销售时TPM通常是被禁用的，管理员需要进行操作启用并激活受信任的平台模块。

TPM主要保护加密密钥，所以，在运行未加密数据的工作负载的非关键平台上可能没有必要启用该系统。然而，对于使用文件或文件夹加密，或依靠本地密码管理，运行S-MIME安全电子邮件，需要身份验证的VPN或PKI，或使用诸如802.1X或LEAP无线接口的情况下，都适合启用TPM。

即使您目前使用的服务器不具备TPM功能，在您的下一个技术刷新周期配备可信任平台模块是必要的——TPM只能板载，不能作为售后升级选项添加。

TPM并不一定需要一个支持TPM的操作系统，但如果没有操作系统的配合，它就不能通过启用加密功能和检查系统足迹来增强安全性。主流的操作系统——Windows Server 2008和2012、Oracle Solaris 11、Linux核心版本——都支持TPM。

采用可信任计算来进行加密处理并非毫无缺陷。如果TPM出现故障，或关键服务器组件，如主板被替换，任何由TPM参与产生的密钥（即使不被TPM管理）都是完全无法恢复的。记得使用系统或TPM软件实用程序来创建备份或存档密钥，必要时就可以从类似闪存驱动器的应急媒体中还原密钥。在向生产系统服务器上部署TPM之前，先进行恢复测试。

实施TPM需要细心的硬件管理，重视紧急恢复数据的措施。如果服务器的主板出现故障，将旧TPM移动到新主板是不可能实现的；新主板也将会有新的TPM模块。任何由旧TPM加密的数据将不可访问，操作系统甚至可能无法启动。系统将停止，并提示提供保存在紧急恢复媒体上的恢复密钥。恢复密钥将重新启用TPM和还原加密磁盘访问。然后为新的TPM重新创建一套新的密钥。