Praxis-Workshop: TPM 2.0 unter Linux
Kaum ein Stück Hardware hat in der Linux-Gemeinde eine derart bemerkenswerte Karriere hingelegt wie das Trusted Platform Module (TPM). Als die Trusted Computing Group(öffnet im neuen Fenster) Anfang der 2000er-Jahre ihre Pläne vorstellte und Microsoft parallel unter dem Codenamen "Palladium" an einer tiefgreifenden Abriegelung des PCs arbeitete, stand die Open-Source-Szene geschlossen auf den Barrikaden. Die Free Software Foundation sprach konsequent von Treacherous Computing, also verräterischem Rechnen, und wer damals ein Mainboard mit TPM kaufte, tat gut daran, das in einschlägigen Foren nicht zu erwähnen. Die Sorge war real: Ein Chip, der kryptografisch beglaubigt, dass eine bestimmte Software auf einem Rechner laufen darf, taugt ebenso dazu, unerwünschte Software auszusperren. Was unerwünscht ist, definiert im Zweifel eher der Hersteller als der Anwender.
Zwanzig Jahre später ist von der Aufregung wenig übrig. Inzwischen steckt TPM in praktisch jedem Rechner. Den größten Anteil daran hat ausgerechnet Microsoft, das TPM 2.0 zur harten Voraussetzung für Windows 11 erklärte und dem Chip damit zu flächendeckender Verbreitung verholfen hat. Die dystopischen Szenarien von einst sind unterdessen nicht eingetreten. Stattdessen hat die Linux-Welt still und leise ein Werkzeugökosystem gebaut, das dem Chip sinnvolle Arbeit überantwortet: Systemd entsperrt damit verschlüsselte Festplatten, SSH-Schlüssel finden im Chip ein diebstahlsicheres Zuhause, und Dienste versiegeln darin ihre Geheimnisse für die Maschine, auf der sie laufen. Dieser Artikel zeigt, was TPM unter Linux heute leistet, wie das Entsperren der Festplatten beim Booten konkret funktioniert und wo die Grenzen des Konstrukts liegen. Alle Beispiele setzen TPM 2.0 voraus, als Testsystem diente Ubuntu 26.04.