Què és el TPM 2.0 i per què ara és obligatori a Windows 11

Informatec Digital » Recursos » Què és el TPM 2.0 i per què ara és obligatori a Windows 11

Si estàs pensant en fer el salt a Windows 11, és molt possible que t'hagis topat amb el maleït missatge que el teu ordinador necessita TPM 2.0 activat per poder instal·lar el sistema . I és clar, el més normal és preguntar-se: què és això, per què ara és obligatori i què passa si el meu PC no el té o no apareix enlloc?

En les últimes versions de Windows, aquest petit component ha passat de ser gairebé desconegut a convertir-se en una peça clau per a la seguretat i un requisit tècnic imprescindible . Pot sonar molt tècnic, però la idea de fons és força senzilla: és una mena de caixa forta dins del teu ordinador que guarda les claus de tot l'important.

Què és TPM i quin paper juga al teu ordinador

Les sigles TPM vénen de Trusted Platform Module , que podríem traduir com a Mòdul de Plataforma de Confiança integrat a la placa base . Es tracta d'un xip o d'una funcionalitat integrada al processador que actua com a criptoprocessador segur, és a dir, un mini processador dedicat exclusivament a operacions de seguretat i xifratge.

Aquest mòdul s'encarrega de crear, emmagatzemar i protegir claus criptogràfiques, contrasenyes, certificats i altres dades sensibles que necessita el sistema operatiu per garantir que ningú no pugui accedir a la teva informació sense permís, fins i tot encara que tingui accés físic a l'equip.

El TPM no és un invent nou: fa anys que s'utilitza en entorns professionals per reforçar la seguretat del maquinari, sobretot en empreses i administracions públiques . Tot i això, amb l'arribada de Windows 11 ha saltat al primer pla perquè Microsoft l'ha convertit en un requisit obligatori per poder instal·lar el sistema de forma oficial.

Des del punt de vista físic, el TPM es pot presentar com un xip independent soldat a la placa base o un mòdul que es punxa en un connector específic . En molts equips moderns, sobretot portàtils, la funcionalitat TPM ja ve integrada dins de la CPU (Intel PTT, AMD fTPM), encara que de vegades està desactivada de fàbrica i cal encendre-la des de la UEFI/BIOS.

Què fa realment el TPM i per què és tan important

El més interessant del TPM és que actua com un magatzem segur i aïllat per a les claus criptogràfiques i la informació d'autenticació . Les claus que s'hi guarden no són accessibles directament pel sistema operatiu ni per les aplicacions: només es poden utilitzar a través d'ordres específiques del mateix xip.

Cada TPM incorpora claus criptogràfiques pròpies, lligades al dispositiu concret . Una és l'anomenada Endorsement Key (EK), un parell de claus RSA únic que es genera a fàbrica i que roman dins del xip, inaccessible per al programari. A partir d'aquesta EK es generen altres claus, com ara l'anomenada Storage Root Key , que s'utilitza com a base per xifrar la resta de claus que s'emmagatzemen al mòdul.

A més, el TPM pot generar una Attestation Identity Key (AIK) que serveix per comprovar de manera fiable l'estat d'arrencada del sistema. El xip calcula hash o mesuraments del microprogramari, la UEFI i parts crítiques del sistema operatiu durant l'arrencada , i pot enviar aquests mesuraments a un servidor que verifiqui si tot coincideix amb el que s'esperava. Si detecteu canvis sospitosos, es considera que el dispositiu pot estar compromès.

Gràcies a aquest disseny, el TPM resulta molt útil per protegir davant d' amenaces modernes com atacs de firmware, ransomware avançat , manipulació de l'arrencada o robatori de dades mitjançant accés físic . L'atacant pot tenir el disc dur a les mans, però sense les claus que estan dins del TPM, les dades xifrades continuaran sent inservibles.

L'estàndard TPM no només defineix el xip, sinó també tot un conjunt d'especificacions i comandes que manté el Trusted Computing Group (TCG) , una organització sense ànim de lucre encarregada d'actualitzar i ampliar aquestes normes per adaptar-les a les noves necessitats de seguretat.

TPM 1.2 vs TPM 2.0: per què Windows 11 exigeix ​​la versió nova

Durant molts anys, la versió més estesa va ser TPM 1.2, estandarditzada fins i tot com a norma internacional ISO/IEC 11889 . Aquesta versió ja permetia protegir claus, xifrar dades i verificar la integritat del sistema, però estava més limitada en els algorismes de xifratge i les funcions que podia oferir.

El salt a TPM 2.0 va suposar una actualització important de capacitats i flexibilitat . Entre altres millores, el nou estàndard permet utilitzar diferents algorismes criptogràfics de forma intercanviable, en lloc d'estar pràcticament lligat a SHA-1 com passava amb TPM 1.2, cosa que és fonamental per resistir millor a atacs moderns.

TPM 2.0 incorpora també millores en la gestió de claus, en la protecció de dades biomètriques i en la verificació de signatures , i està dissenyat per funcionar no només en PCs de sobretaula i portàtils, sinó també en dispositius amb recursos més limitats, com ara tablets o equips encastats.

Per això Microsoft va decidir que, per a Windows 11, el mínim acceptable de seguretat a nivell de maquinari sigui TPM 2.0 . Tot i que Windows pugui funcionar tècnicament amb un TPM 1.2, les funcions de seguretat més avançades i les futures millores de la plataforma es recolzen ja en les capacitats esteses de la versió 2.0.

A la pràctica, això significa que un equip amb TPM 1.2 pot ser capaç de moure Windows 11 des del punt de vista de potència, però no complirà els requisits oficials de seguretat del sistema , i la instal·lació quedarà fora de les vies suportades per Microsoft.

Per què utilitza Windows el TPM en el dia a dia

Al Windows 10 i, sobretot, al Windows 11, el TPM s'integra amb un bon nombre de funcions de seguretat. No és una cosa que vegis constantment, però està treballant en segon pla per protegir les teves dades i la teva identitat.

Una de les funcions més visibles és BitLocker , el sistema de xifratge d'unitats de Windows . Quan BitLocker està activat, el contingut del disc es xifra i la clau que permet desxifrar-lo es guarda (o es protegeix) mitjançant el TPM. D'aquesta manera, si algú roba el disc o el portàtil, sense les claus que resideixen al mòdul no podrà accedir a les dades encara que connecteu la unitat a un altre ordinador.

El TPM també es fa servir a Windows Hello, el sistema d'inici de sessió amb reconeixement facial, empremta o PIN . Les dades biomètriques i claus associades es vinculen al maquinari del vostre equip gràcies al xip, de manera que siguin molt més difícils de robar o reutilitzar en un altre dispositiu.

Una altra peça clau és la seva relació amb l' arrencada segura i l'arrencada mesurada . Secure Boot s'assegura que només es carregui programari signat i de confiança durant les primeres fases de l'arrencada, mentre que Measured Boot registra al TPM els mesuraments de cada component que es va executant. Això permet detectar intents d'injectar codi maliciós (malware) en el procés d'inici del sistema.

A més, Windows pot combinar el TPM amb tecnologies com Credential Guard o la protecció de credencials basada en virtualització . En aquest escenari, les contrasenyes i els tokens d'accés s'aïllen en un entorn protegit i el TPM actua com a arrel de confiança criptogràfica perquè els atacants ho tinguin molt més difícil a l'hora de robar credencials.

Altres usos habituals inclouen targetes intel·ligents virtuals per autenticar-se en recursos corporatius , protecció davant d'atacs de diccionari en intentar trencar contrasenyes, o emmagatzematge segur de certificats i claus per a connexions VPN, correu signat digitalment i navegació segura.

Diferents tipus d'implementació de TPM

Tot i que sempre parlem de “el TPM” com si fos un únic xip, en realitat hi ha diverses maneres d'implementar-lo, cadascuna amb les seves particularitats de seguretat . Totes segueixen les especificacions del TCG, però canvien a nivell físic o lògic.

D'una banda hi ha els TPM discrets, que són xips dedicats i específics soldats a la placa base. En teoria, són l'opció més segura, ja que estan dissenyats per ser resistents a manipulacions físiques i es redueixen les possibilitats d'errors derivats de compartir espai amb altres components.

Una altra opció molt estesa és el TPM integrat a la CPU principal , que incorpora mecanismes propis de seguretat i ofereix un nivell de protecció proper al del xip discret, però reduint costos i guanyant comoditat per als fabricants.

També hi ha TPM basats en firmware, que s'executen dins de l'entorn d'execució de confiança de la CPU . Continuen sent força segurs i, per a l'usuari mitjà, ofereixen protecció suficient per a l'ús quotidià i professional.

A l'extrem menys segur es troben els TPM implementats únicament per programari , que bàsicament emulen el comportament del mòdul però sense una arrel de confiança forta en el maquinari, per la qual cosa són susceptibles d'atacs externs o vulnerabilitats del sistema operatiu mateix.

Finalment, en entorns de virtualització és habitual fer servir TPM virtuals proporcionats per l'hipervisor , que permeten que les màquines virtuals disposin de funcions similars sense necessitar un xip físic independent per a cadascuna.

Per què Windows 11 fa obligatori el TPM 2.0

El gran canvi amb Windows 11 és que Microsoft deixa de veure el TPM com un extra opcional i el converteix en un requisit de seguretat de base . La idea és que tots els equips que executin el sistema tinguin una arrel de confiança a nivell de maquinari per resistir millor el panorama actual d'amenaces.

Avui dia, els atacs no es limiten a virus senzills; parlem de ransomware sofisticat, malware que s'enganxa al microprogramari, intents de robar credencials i accessos remots abusant de fallades de configuració . En aquest context, dependre només del programari de seguretat ja no és suficient, i per això Microsoft aposta per integrar la protecció directament al maquinari.

En exigir TPM 2.0, Windows 11 s'assegura de poder habilitar de sèrie funcions com BitLocker, Windows Hello, Secure Boot, Arrencada mesurada, Credential Guard i altres tecnologies basades en virtualització , sense dependre que cada fabricant o usuari decideixi activar-les o no.

En molts equips fabricats a partir del 2016, sobretot portàtils i PCs destinats a empresa, el TPM 2.0 ja venia inclòs de fàbrica, encara que de vegades desactivat . En altres casos, especialment en ordinadors muntats per peces o plaques base de gamma mitjana i baixa de fa uns anys, el mòdul no s'integrava per defecte i calia afegir-lo mitjançant un connector específic.

D'aquí vénen moltes de les queixes d'usuaris que tenen equips molt potents, perfectament capaços de moure Windows 11 , però que es troben que no passen el filtre per no tenir TPM 2.0 o per tenir-lo desactivat a la UEFI/BIOS.

Com saber si el teu PC té TPM 2.0 des de Windows

Abans de donar per fet que el teu PC no serveix per a Windows 11, convé comprovar si realment disposa de TPM 2.0 i, en cas afirmatiu, quina versió està activa . Windows ofereix diverses maneres de fer-ho sense necessitat d'instal·lar res.

Una de les més senzilles és utilitzar la Consola d'administració de Microsoft per al TPM :

1. Clica la combinació de tecles Windows + R per obrir el quadre “Executar”.
2. Escriu tpm.msc (sense cometes) i prem Intro.
3. S'obrirà la finestra d'administració del mòdul de plataforma segura.

Si en aquesta finestra apareix un missatge del tipus “No es pot trobar un TPM compatible” o “No es troba TPM compatible” , pot significar dues coses: que el teu equip no disposa d'aquest mòdul o que està deshabilitat a la configuració del microprogramari. En el segon cas, caldrà entrar a la UEFI/BIOS per activar-lo.

Si, per contra, la consola indica que “TPM està llest per utilitzar-se” i mostra informació del fabricant , t'hauràs de fixar al camp “Versió d'especificació”. Si hi apareix 2.0, el teu PC compleix aquest requisit per a Windows 11; si la xifra és inferior (per exemple, 1.2), el dispositiu no arribarà al nivell exigit de seguretat.

Una altra alternativa és recórrer a PowerShell amb permisos d'administrador. Obres PowerShell com a administrador, escrius l'ordre get-tpm i polses Intro. Entre les dades mostrades, fixa't en el valor TpmPresent: si apareix a “False”, el mòdul no és present a la placa base; si és “True”, sí que n'hi ha, i podràs comprovar-ne també l'estat i les característiques.

També podeu consultar l' aplicació Seguretat de Windows, a l'apartat de “Seguretat del dispositiu” i “Processador de seguretat” . Si no apareix aquesta secció, és probable que el TPM estigui absent o deshabilitat; si apareix, podeu entrar a “Detalls del processador de seguretat” per veure la versió de l'especificació.

Com activar el TPM 2.0 des de la UEFI/BIOS

Si les vostres comprovacions indiquen que el TPM no està disponible però sospites que el teu equip és relativament modern, pot ser que el mòdul estigui simplement desactivat a la configuració del microprogramari . En molts PCs assemblats per usuaris o en plaques base de consum, ve apagat per defecte.

Per canviar això haureu d'entrar a la UEFI/BIOS de l'equip i localitzar l'opció relacionada amb TPM o seguretat de plataforma . El camí exacte varia segons el fabricant, però a Windows pots anar a Configuració > Actualització i seguretat > Recuperació i fer servir l'opció “Reiniciar ara” a Inici avançat.

Després del reinici, seleccioneu Solucionar problemes > Opcions avançades > Configuració del microprogramari UEFI > Reiniciar . Això us portarà al menú de firmware, on haureu de buscar entre les opcions de seguretat, avançat o similars. Cada fabricant utilitza noms una mica diferents, així que toca anar amb calma.

En equips amb processadors Intel, la funció sol aparèixer com a “Intel PTT” o “Intel Platform Trust Technology” . En el cas d'AMD, és freqüent trobar-la com a “AMD fTPM” o “AMD PSP fTPM” . També pots veure-la sota etiquetes com ara “Dispositiu de seguretat”, “Suport de dispositiu de seguretat”, “Estat del TPM” o “Trusted Computing”.

Un cop localitzada l'opció, haureu de canviar el vostre estat a Enabled o Activat, desar els canvis i reiniciar l'equip . Després d'això, en tornar a Windows, hauríeu de poder veure el TPM des de tpm.msc o des de l'aplicació Seguretat de Windows i confirmar que compleix l'especificació 2.0.

Tingues en compte a més que en molts equips el TPM treballa de la mà del sistema de Secure Boot . Si aquesta arrencada segura està desactivada, és possible que les opcions relacionades amb el mòdul no es mostrin o no es puguin utilitzar correctament. En aquests casos, cal activar primer Secure Boot i després comprovar de nou l'estat del TPM.

Quins ordinadors solen incloure TPM 2.0 i quins requisits acompanyen

En general, es considera que la majoria dels ordinadors fabricats a partir del 2018 ja incorporen TPM 2.0 o el seu equivalent integrat . Si el teu PC té menys de cinc o sis anys, les probabilitats que compti amb aquesta funció, encara que estigui apagada, són força altes.

Una altra pista la donen els processadors: els Intel de vuitena generació en endavant solen venir preparats per utilitzar TPM 2.0 a través d'Intel PTT , mentre que a l'ecosistema AMD l'habitual és que els Ryzen de segona generació d'ara endavant integrin fTPM amb suport per a aquesta versió.

De tota manera, el TPM no és l'únic requisit per a Windows 11. El sistema també exigeix ​​CPU de 64 bits amb almenys dos nuclis a 1 GHz, 4 GB de RAM i 64 GB d'emmagatzematge . Encara que són especificacions modestes per als estàndards actuals, deixen fora una bona part dequips antics que encara segueixen funcionant raonablement bé amb Windows 10.

En molts PC de sobretaula muntats pel propi usuari, les plaques base de gamma mitjana i baixa de fa uns anys no incloïen el mòdul com a estàndard, sinó únicament un connector per afegir-lo a part . Això ha generat una situació una mica curiosa: màquines molt potents a nivell de CPU i gràfica però bloquejades per l'absència d'un xip petit.

Els qui no vulguin o no puguin instal·lar aquest mòdul addicional han de valorar si seguir amb Windows 10 fins al final del seu suport oficial o plantejar-se un canvi de maquinari . El suport de Windows 10 s'estén fins a l'octubre del 2025, així que encara hi ha cert marge per prendre la decisió amb calma.

Què passa si el teu ordinador no té TPM 2.0

Si després de totes les comprovacions confirmeu que el vostre PC no disposa de TPM 2.0 ni possibilitat realista d'afegir-lo , les opcions es redueixen. A nivell oficial, aquest equip no compleix els requisits de Windows 11 i, per tant, no podràs instal·lar-lo a través dels canals estàndard de Microsoft.

Hi ha mètodes no oficials per saltar-se les comprovacions de requisits durant la instal·lació de Windows 11 , modificant fitxers de configuració o usant eines de tercers. Això no obstant, això implica renunciar a part del suport i, sobretot, assumir que estaràs executant el sistema sense el nivell de seguretat que Microsoft considera mínim.

En dispositius que no poden muntar un TPM 2.0, és important valorar si compensa més esgotar Windows 10 fins al final del seu cicle, buscar alternatives com altres sistemes operatius o invertir en un equip una mica més modern . Tot dependrà de l'ús que donis a l'ordinador i de la importància que tingui per a tu la seguretat integrada al maquinari.

Per a molts usuaris domèstics, pot ser una bona oportunitat per optar per equips recondicionats recents que ja vénen amb TPM 2.0 activat , capaços dexecutar Windows 11 sense problemes ia un cost menor que un PC totalment nou.

Encara que de primeres pugui semblar que el TPM és una imposició més, la veritat és que el seu objectiu principal és protegir millor les teves dades, contrasenyes i credencials digitals . Pot ser que no hi interactuïs directament, però hi és com a guardaespatlles silenciós de tot el que importa al teu equip.