Co je TPM 2.0 a proč je nyní ve Windows 11 povinný?

Informatec Digital » Zdroje » Co je TPM 2.0 a proč je nyní ve Windows 11 povinný?

Pokud uvažujete o upgradu na Windows 11, pravděpodobně jste narazili na obávanou zprávu, že váš počítač potřebuje k instalaci systému povolený TPM 2.0 . A samozřejmě se nabízí přirozená otázka: co to je, proč je to nyní povinné a co se stane, když ho můj počítač nemá nebo není nikde uveden?

V nejnovějších verzích systému Windows se tato malá součástka z téměř neznámé stala klíčovým prvkem zabezpečení a nezbytným technickým požadavkem . Může to znít velmi technicky, ale základní myšlenka je poměrně jednoduchá: je to jakýsi trezor uvnitř počítače, který uchovává klíče ke všemu důležitému.

Co je TPM a jakou roli hraje ve vašem počítači?

Zkratka TPM je zkratka pro Trusted Platform Module (Trusted Platform Module) , což je čip nebo integrovaná funkce v procesoru, která funguje jako zabezpečený kryptoprocesor – miniprocesor určený výhradně pro bezpečnostní a šifrovací operace.

Tento modul je zodpovědný za vytváření, ukládání a ochranu kryptografických klíčů, hesel, certifikátů a dalších citlivých dat , které operační systém potřebuje k zajištění toho, aby nikdo neměl přístup k vašim informacím bez povolení, a to ani v případě, že má fyzický přístup k počítači.

TPM není nový vynález: v profesionálním prostředí se používá již léta k posílení zabezpečení hardwaru, zejména ve firmách a veřejné správě . S příchodem Windows 11 se však dostal do popředí, protože Microsoft jej stanovil jako povinný požadavek pro oficiální instalaci systému.

Z fyzického hlediska může být TPM samostatný čip připájený k základní desce nebo modul, který se zapojuje do specifického konektoru . V mnoha moderních zařízeních, zejména v noteboocích, je funkce TPM již integrována do CPU (Intel PTT, AMD fTPM), i když je někdy ve výchozím nastavení zakázána a musí být povolena prostřednictvím UEFI/BIOS.

Co TPM vlastně dělá a proč je tak důležitý?

Nejzajímavějším aspektem TPM je, že funguje jako bezpečné a izolované úložiště kryptografických klíčů a ověřovacích informací . Klíče v něm uložené nejsou přímo přístupné operačnímu systému ani aplikacím; lze k nim přistupovat pouze prostřednictvím specifických příkazů na samotném čipu.

Každý TPM obsahuje vlastní kryptografické klíče, které jsou propojeny s konkrétním zařízením . Jedním z nich je ověřovací klíč (EK), unikátní pár klíčů RSA vygenerovaný ve výrobě a uložený v čipu, ke kterému nemá přístup software. Z tohoto EK se generují další klíče, například kořenový klíč úložiště (Storage Root Key ), který se používá jako základ pro šifrování zbývajících klíčů uložených v modulu.

Kromě toho může TPM generovat ověřovací identifikační klíč (AIK) , který spolehlivě ověří stav spouštění systému. Čip během spouštění vypočítává haše neboli měření firmwaru, UEFI a kritických částí operačního systému a může tato měření odeslat na server, který kontroluje, zda vše odpovídá očekáváním. Pokud jsou zjištěny podezřelé změny, zařízení je považováno za potenciálně kompromitované.

Díky tomuto designu je TPM velmi užitečný pro ochranu před moderními hrozbami, jako jsou útoky na firmware, pokročilý ransomware , manipulace se spouštěním nebo krádež dat prostřednictvím fyzického přístupu . Útočník sice může mít pevný disk v rukou, ale bez klíčů uložených v TPM zůstanou šifrovaná data nepoužitelná.

Standard TPM nedefinuje pouze čip, ale také celou sadu specifikací a příkazů spravovaných skupinou Trusted Computing Group (TCG) , neziskovou organizací zodpovědnou za aktualizaci a rozšiřování těchto standardů s cílem přizpůsobit je novým bezpečnostním potřebám.

TPM 1.2 vs. TPM 2.0: Proč Windows 11 vyžaduje novou verzi

Po mnoho let byla nejrozšířenější verzí TPM 1.2, dokonce standardizovaná jako mezinárodní norma ISO/IEC 11889. Tato verze již umožňovala ochranu klíčů, šifrování dat a ověřování integrity systému, ale byla omezenější ve svých šifrovacích algoritmech a funkcích, které mohla nabídnout.

Přechod na TPM 2.0 přinesl významné vylepšení možností a flexibility . Mimo jiné umožňuje nový standard zaměnitelně používat různé kryptografické algoritmy, namísto praktického svázání s SHA-1, jak tomu bylo u TPM 1.2, což je nezbytné pro lepší odolnost vůči moderním útokům.

TPM 2.0 také zahrnuje vylepšení správy klíčů, ochrany biometrických údajů a ověřování podpisů a je navržen tak, aby fungoval nejen na stolních počítačích a noteboocích, ale také na zařízeních s omezenějšími zdroji, jako jsou tablety nebo vestavěné systémy.

Proto se společnost Microsoft rozhodla, že pro Windows 11 bude minimální přijatelnou úrovní zabezpečení hardwaru TPM 2.0 . Ačkoli systém Windows technicky může fungovat s TPM 1.2, nejpokročilejší bezpečnostní funkce a budoucí vylepšení platformy se spoléhají na rozšířené možnosti verze 2.0.

V praxi to znamená, že počítač s TPM 1.2 může být z hlediska výkonu schopen spustit Windows 11, ale nebude splňovat oficiální požadavky na zabezpečení systému a instalace bude mimo rámec podporovaných metod společnosti Microsoft.

K čemu systém Windows denně používá TPM?

V systému Windows 10 a zejména ve Windows 11 je TPM integrován s řadou bezpečnostních funkcí. Není to něco, co vidíte neustále, ale pracuje na pozadí a chrání vaše data a vaši identitu.

Jednou z nejviditelnějších funkcí je BitLocker , systém šifrování disků ve Windows . Když je BitLocker povolen, obsah disku je zašifrován a dešifrovací klíč je uložen (nebo chráněn) pomocí TPM (Target Memory Module). Tímto způsobem, pokud někdo ukradne pevný disk nebo notebook, bez klíčů uložených v modulu nebude mít přístup k datům, a to ani v případě, že disk připojí k jinému počítači.

Čip TPM se používá také v systému Windows Hello, což je přihlašovací systém využívající rozpoznávání obličeje, otisků prstů nebo PIN kód . Biometrická data a související klíče jsou propojeny s hardwarem počítače prostřednictvím čipu, takže je mnohem obtížnější je odcizit nebo znovu použít na jiném zařízení.

Dalším klíčovým prvkem je jeho vztah k technologiím Secure Boot a Measured Boot . Secure Boot zajišťuje, že se během počátečních fází spouštění načítá pouze podepsaný a důvěryhodný software, zatímco Measured Boot zaznamenává měření každé spuštěné komponenty v modulu TPM. To umožňuje detekci pokusů o vložení malwaru do procesu spouštění systému.

Systém Windows navíc může kombinovat TPM s technologiemi, jako je Credential Guard nebo ochrana přihlašovacích údajů založená na virtualizaci . V tomto scénáři jsou hesla a přístupové tokeny izolovány v chráněném prostředí a TPM funguje jako kryptografický kořen důvěryhodnosti, což útočníkům výrazně ztěžuje krádež přihlašovacích údajů.

Mezi další běžné využití patří virtuální čipové karty pro ověřování přístupu k firemním zdrojům , ochrana před slovníkovými útoky při pokusu o prolomení hesel nebo bezpečné ukládání certifikátů a klíčů pro VPN připojení, digitálně podepsaný e-mail a bezpečné prohlížení.

Různé typy implementace TPM

Ačkoliv se o TPM vždy zmiňujeme, jako by se jednalo o jeden čip, ve skutečnosti existuje několik způsobů, jak jej implementovat, každý s vlastními bezpečnostními funkcemi . Všechny se řídí specifikacemi TCG, ale liší se na fyzické nebo logické úrovni.

Na jedné straně existují diskrétní TPM, což jsou specializované čipy připájené k základní desce. Teoreticky jsou nejbezpečnější volbou, protože jsou navrženy tak, aby byly odolné vůči fyzické manipulaci a snižovaly pravděpodobnost chyb vyplývajících ze sdílení prostoru s jinými komponentami.

Další rozšířenou možností je TPM integrovaný do hlavního procesoru , který má vlastní bezpečnostní mechanismy a nabízí úroveň ochrany blízkou úrovni samostatného čipu, ale zároveň snižuje náklady a zvyšuje pohodlí pro výrobce.

Existují také TPM založené na firmwaru , které běží v důvěryhodném prostředí CPU . Zůstávají poměrně bezpečné a pro průměrného uživatele nabízejí dostatečnou ochranu pro každodenní i profesionální použití.

Na méně bezpečném konci jsou softwarové TPM , které v podstatě emulují chování modulu, ale bez silného základu důvěry v hardware, což je činí náchylnými k vnějším útokům nebo zranitelnostem v samotném operačním systému.

Konečně, ve virtualizačních prostředích je běžné používat virtuální TPM poskytované hypervizorem , které umožňují virtuálním strojům mít podobné funkce, aniž by pro každý z nich bylo nutné samostatný fyzický čip.

Proč je ve Windows 11 TPM 2.0 povinný

Velkou změnou ve Windows 11 je, že Microsoft již nepovažuje TPM za volitelný doplněk a stává se z něj základní bezpečnostní požadavek . Myšlenka je taková, že všechny počítače se systémem budou mít hardwarový kořen důvěryhodnosti, aby lépe odolaly současným hrozbám.

Dnes se útoky již neomezují pouze na jednoduché viry; mluvíme o sofistikovaném ransomwaru, malwaru, který se připojuje k firmwaru, pokusech o krádež přihlašovacích údajů a vzdáleném přístupu zneužívajícím chybné konfigurace . V této souvislosti již nestačí spoléhat se pouze na bezpečnostní software, a proto se společnost Microsoft zavázala k integraci ochrany přímo do hardwaru.

Vyžadováním TPM 2.0 systém Windows 11 zajišťuje, že funkce jako BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard a další technologie založené na virtualizaci mohou být ve výchozím nastavení povoleny , bez ohledu na to, zda se je každý výrobce nebo uživatel rozhodne aktivovat či nikoli.

V mnoha zařízeních vyrobených od roku 2016, zejména v noteboocích a počítačích určených pro firemní použití, byl modul TPM 2.0 již z výroby integrován, i když někdy byl deaktivován . V jiných případech, zejména v počítačích sestavených na zakázku nebo v základních deskách střední a nižší třídy z doby před několika lety, nebyl modul standardně integrován a musel být přidán přes specifický konektor.

To je zdroj mnoha stížností od uživatelů, kteří mají velmi výkonné počítače, na kterých bez problémů zvládneme Windows 11 , ale kteří zjistí, že filtrem neprojdou, protože jim chybí TPM 2.0 nebo ho mají v UEFI/BIOS zakázaný.

Jak zjistit, zda má váš počítač TPM 2.0 ve Windows

Než se rozhodnete, že váš počítač není kompatibilní s Windows 11, je vhodné zkontrolovat, zda skutečně má TPM 2.0, a pokud ano, která verze je aktivní . Systém Windows nabízí několik způsobů, jak to provést bez nutnosti instalace.

Jedním z nejjednodušších je použití konzole Microsoft Management Console pro TPM :

1. Stiskněte kombinaci kláves Windows + R otevřete dialogové okno „Spustit“.
2. Napište rpm.msc (bez uvozovek) a stiskněte Enter.
3. Otevře se okno pro správu modulu Secure Platform Module.

Pokud se v tomto okně zobrazí zpráva jako „Kompatibilní TPM nenalezen“ nebo „Nenalezen žádný kompatibilní TPM“ , může to znamenat dvě věci: vaše zařízení tento modul nemá nebo je zakázán v nastavení firmwaru. V druhém případě budete muset pro jeho povolení přistupovat k UEFI/BIOS.

Pokud se na druhou stranu v konzoli zobrazí zpráva „TPM je připraven k použití“ a informace o výrobci , budete se muset podívat do pole „Verze specifikace“. Pokud se zde zobrazuje hodnota 2.0, váš počítač splňuje tento požadavek pro Windows 11; pokud je číslo nižší (například 1.2), zařízení nedosáhne požadované úrovně zabezpečení.

Další alternativou je použití PowerShell s oprávněními správceOtevřete PowerShell jako správce a zadejte příkaz get-tpm a stiskněte klávesu Enter. Mezi zobrazenými daty se podívejte na hodnotu TpmPresentPokud se zobrazí jako „False“, modul není na základní desce přítomen; pokud je „True“, je přítomen a můžete také zkontrolovat jeho stav a vlastnosti.

Můžete také zkontrolovat aplikaci Zabezpečení systému Windows, konkrétně části „Zabezpečení zařízení“ a „Bezpečnostní procesor“ . Pokud tato část není viditelná, pravděpodobně chybí nebo je modul TPM zakázán. Pokud je viditelný, můžete přejít do části „Podrobnosti o bezpečnostním procesoru“ a zobrazit verzi specifikace.

Jak aktivovat TPM 2.0 z UEFI/BIOS

Pokud vaše kontroly ukazují, že TPM není k dispozici, ale máte podezření, že váš počítač je relativně nový, modul může být jednoduše zakázán v nastavení firmwaru . Na mnoha uživatelsky sestavených počítačích nebo spotřebitelských základních deskách je ve výchozím nastavení zakázán.

Chcete-li to změnit, budete muset v počítači přejít do systému UEFI/BIOS a vyhledat možnost související s TPM nebo zabezpečením platformy . Přesná cesta se liší v závislosti na výrobci, ale ve Windows můžete přejít do Nastavení > Aktualizace a zabezpečení > Obnovení a v části Upřesnit spuštění použít možnost „Restartovat nyní“.

Po restartu vyberte možnost Řešení problémů > Rozšířené možnosti > Nastavení firmwaru UEFI > Restartovat . Tím se dostanete do nabídky firmwaru, kde byste měli hledat možnosti, jako je zabezpečení, pokročilé nastavení a podobné. Každý výrobce používá mírně odlišné názvy, takže si dejte na čas.

V systémech s procesory Intel je tato funkce obvykle uvedena jako „Intel PTT“ nebo „Intel Platform Trust Technology “. U systémů AMD se často vyskytuje jako „AMD fTPM“ nebo „AMD PSP fTPM “. Můžete ji také vidět uvedenou pod štítky jako „Zabezpečovací zařízení“, „Podpora bezpečnostních zařízení“, „Stav TPM“ nebo „Důvěryhodné výpočty“.

Jakmile najdete možnost, budete muset změnit její stav na Povoleno, uložit změny a restartovat počítač . Poté, po návratu do systému Windows, byste měli vidět modul TPM v souboru tpm.msc nebo v aplikaci Zabezpečení systému Windows a měli byste ověřit, zda splňuje specifikaci 2.0.

Také si všimněte, že na mnoha zařízeních pracuje TPM ve spojení se systémem Secure Boot . Pokud je Secure Boot zakázán, možnosti související s modulem se nemusí zobrazit nebo nemusí fungovat správně. V takových případech je vhodné nejprve povolit Secure Boot a poté znovu zkontrolovat stav TPM.

Které počítače obvykle obsahují TPM 2.0 a jaké jsou související požadavky?

Obecně platí, že většina počítačů vyrobených od roku 2018 se považuje za počítače s integrovaným TPM 2.0 nebo jeho ekvivalentem . Pokud je váš počítač mladší než pět nebo šest let, je poměrně vysoká pravděpodobnost, že tuto funkci má, i když je vypnutá.

Další vodítko poskytují procesory: procesory Intel od osmé generace výše jsou obvykle dodávány připravené k použití TPM 2.0 prostřednictvím Intel PTT , zatímco v ekosystému AMD je běžné, že procesory Ryzen od druhé generace výše integrují fTPM s podporou této verze.

TPM však není jediným požadavkem pro Windows 11. Systém také vyžaduje 64bitový procesor s alespoň dvěma jádry na 1 GHz, 4 GB RAM a 64 GB úložiště . I když se jedná o skromné ​​specifikace na dnešní poměry, vylučují značný počet starších počítačů, které s Windows 10 stále fungují poměrně dobře.

V mnoha uživatelsky sestavených stolních počítačích, základních deskách střední a nižší třídy z doby před několika lety nebyl paměťový modul standardně vybaven, ale pouze konektor pro jeho samostatné připojení . To vytvořilo poněkud kuriózní situaci: velmi výkonné stroje z hlediska CPU a grafiky, ale brzděné absencí malého čipu.

Ti, kteří nechtějí nebo nemohou nainstalovat tento dodatečný modul, by si měli zvážit, zda zůstat u Windows 10 až do konce jeho oficiální podpory, nebo zvážit upgrade hardwaru . Podpora Windows 10 trvá do října 2025, takže je ještě čas se v klidu rozhodnout.

Co se stane, když váš počítač nemá TPM 2.0

Pokud po všech kontrolách potvrdíte, že váš počítač nemá TPM 2.0 a neexistuje reálná možnost jeho přidání , vaše možnosti se zkrátí. Oficiálně daný počítač nesplňuje požadavky systému Windows 11, a proto jej nebudete moci nainstalovat standardními kanály společnosti Microsoft.

Existují neoficiální metody, jak obejít kontroly systémových požadavků během instalace Windows 11 , například úpravou konfiguračních souborů nebo použitím nástrojů třetích stran. To však znamená vzdát se určité podpory a, co je důležitější, spustit systém bez minimální úrovně zabezpečení, kterou Microsoft považuje za nezbytnou.

U zařízení, která nepodporují TPM 2.0, je důležité zvážit, zda se vyplatí používat Windows 10 až do konce jeho životního cyklu, prozkoumat alternativy, jako jsou jiné operační systémy, nebo investovat do modernějšího počítače . Vše záleží na tom, jak počítač používáte a jak důležité je pro vás integrované hardwarové zabezpečení.

Pro mnoho domácích uživatelů to může být dobrá příležitost zvolit si nedávno repasované počítače, které již mají aktivovaný modul TPM 2.0 a dokáží bezproblémově spustit systém Windows 11 za nižší cenu než zcela nový počítač.

I když se TPM může zpočátku jevit jako další požadavek, jeho hlavním účelem je lépe chránit vaše data, hesla a digitální přihlašovací údaje . Možná s ním přímo neinteragujete, ale je tu jako tichý strážce všeho, co je na vašem počítači důležité.