Hvad er TPM 2.0, og hvorfor er det nu obligatorisk i Windows 11?

Informatic Digital » Recursos » Hvad er TPM 2.0, og hvorfor er det nu obligatorisk i Windows 11?

Hvis du overvejer at opgradere til Windows 11, er du sikkert stødt på den frygtede besked om, at din computer skal have TPM 2.0 aktiveret for at installere systemet . Og selvfølgelig er det naturlige spørgsmål: hvad er det, hvorfor er det nu obligatorisk, og hvad sker der, hvis min pc ikke har det, eller det ikke er angivet nogen steder?

I de nyeste versioner af Windows er denne lille komponent gået fra at være næsten ukendt til at blive et centralt sikkerhedselement og et essentielt teknisk krav . Det lyder måske meget teknisk, men den underliggende idé er ret enkel: det er en slags pengeskab inde i din computer, der indeholder nøglerne til alt vigtigt.

Hvad er TPM, og hvilken rolle spiller det på din computer?

Akronymet TPM står for Trusted Platform Module , som er en chip eller integreret funktionalitet i processoren, der fungerer som en sikker kryptoprocessor – en miniprocessor, der udelukkende er dedikeret til sikkerheds- og krypteringsoperationer.

Dette modul er ansvarlig for at oprette, gemme og beskytte kryptografiske nøgler, adgangskoder, certifikater og andre følsomme data , som operativsystemet skal bruge for at sikre, at ingen kan få adgang til dine oplysninger uden tilladelse, selvom de har fysisk adgang til computeren.

TPM er ikke en ny opfindelse: det har i årevis været brugt i professionelle miljøer til at styrke hardwaresikkerheden, især i virksomheder og offentlige forvaltninger . Med ankomsten af ​​Windows 11 er det dog kommet i forgrunden, fordi Microsoft har gjort det til et obligatorisk krav for officiel installation af systemet.

Fra et fysisk synspunkt kan TPM'en være en separat chip, der er loddet fast på bundkortet, eller et modul, der tilsluttes et specifikt stik . I mange moderne enheder, især bærbare computere, er TPM-funktionaliteten allerede integreret i CPU'en (Intel PTT, AMD fTPM), selvom den nogle gange er deaktiveret som standard og skal aktiveres via UEFI/BIOS.

Hvad gør TPM egentlig, og hvorfor er det så vigtigt?

Det mest interessante aspekt ved TPM er, at det fungerer som et sikkert og isoleret lager for kryptografiske nøgler og godkendelsesoplysninger . Nøglerne, der er gemt i det, er ikke direkte tilgængelige for operativsystemet eller applikationer; de kan kun tilgås via specifikke kommandoer på selve chippen.

Hver TPM har sine egne kryptografiske nøgler, der er knyttet til den specifikke enhed . En af disse er Endorsement Key (EK), et unikt RSA-nøglepar, der genereres på fabrikken og lagres i chippen, og som ikke er tilgængeligt for software. Andre nøgler genereres fra denne EK, såsom Storage Root Key , der bruges som grundlag for kryptering af de resterende nøgler, der er gemt i modulet.

Derudover kan TPM'en generere en Attestation Identity Key (AIK) , som pålideligt verificerer systemets opstartstilstand. Chippen beregner hashes eller målinger af firmwaren, UEFI og kritiske dele af operativsystemet under opstart og kan sende disse målinger til en server, der kontrollerer, om alt stemmer overens med forventningerne. Hvis der registreres mistænkelige ændringer, betragtes enheden som potentielt kompromitteret.

Takket være dette design er TPM'en meget nyttig til at beskytte mod moderne trusler såsom firmwareangreb, avanceret ransomware , bootmanipulation eller datatyveri gennem fysisk adgang . En angriber kan have harddisken i hænderne, men uden nøglerne gemt i TPM'en vil de krypterede data forblive ubrugelige.

TPM-standarden definerer ikke kun chippen, men også et helt sæt specifikationer og kommandoer, der vedligeholdes af Trusted Computing Group (TCG) , en nonprofitorganisation, der er ansvarlig for at opdatere og udvide disse standarder for at tilpasse dem til nye sikkerhedsbehov.

TPM 1.2 vs. TPM 2.0: Hvorfor Windows 11 kræver den nye version

I mange år var den mest udbredte version TPM 1.2, endda standardiseret som den internationale standard ISO/IEC 11889. Denne version tillod allerede nøglebeskyttelse, datakryptering og verifikation af systemintegritet, men den var mere begrænset i sine krypteringsalgoritmer og de funktioner, den kunne tilbyde.

Overgangen til TPM 2.0 medførte en betydelig opgradering af funktioner og fleksibilitet . Blandt andre forbedringer tillader den nye standard brugen af ​​forskellige kryptografiske algoritmer i flæng i stedet for praktisk talt at være bundet til SHA-1, som det var tilfældet med TPM 1.2, hvilket er afgørende for bedre modstandsdygtighed over for moderne angreb.

TPM 2.0 inkorporerer også forbedringer i nøglehåndtering, biometrisk databeskyttelse og signaturverifikation og er designet til at fungere ikke kun på stationære og bærbare pc'er, men også på enheder med mere begrænsede ressourcer, såsom tablets eller indlejrede systemer.

Derfor besluttede Microsoft, at det minimale acceptable hardwaresikkerhedsniveau for Windows 11 skulle være TPM 2.0 . Selvom Windows teknisk set kan fungere med TPM 1.2, er de mest avancerede sikkerhedsfunktioner og fremtidige platformforbedringer afhængige af de udvidede muligheder i version 2.0.

I praksis betyder det, at en computer med TPM 1.2 muligvis kan køre Windows 11 med hensyn til ydeevne, men den vil ikke opfylde de officielle systemsikkerhedskrav , og installationen vil falde uden for Microsofts understøttede metoder.

Hvad bruger Windows TPM til dagligt?

I Windows 10 og især i Windows 11 er TPM integreret med en række sikkerhedsfunktioner. Det er ikke noget, du ser konstant, men det arbejder i baggrunden for at beskytte dine data og din identitet.

En af de mest synlige funktioner er BitLocker , Windows' drevkrypteringssystem . Når BitLocker er aktiveret, krypteres diskens indhold, og dekrypteringsnøglen gemmes (eller beskyttes) af TPM'en (Target Memory Module). På denne måde kan nogen, hvis de stjæler harddisken eller den bærbare computer uden nøglerne gemt i modulet, ikke få adgang til dataene, selvom de tilslutter drevet til en anden computer.

TPM bruges også i Windows Hello, loginsystemet der bruger ansigtsgenkendelse, fingeraftryk eller pinkode . De biometriske data og tilhørende nøgler er knyttet til din computers hardware via chippen, hvilket gør dem meget sværere at stjæle eller genbruge på en anden enhed.

Et andet nøgleelement er dens forhold til Secure Boot og Measured Boot . Secure Boot sikrer, at kun signeret og betroet software indlæses under de indledende opstartsfaser, mens Measured Boot registrerer målinger af hver kørende komponent i TPM'en. Dette muliggør detektering af forsøg på at injicere malware i systemets opstartsproces.

Derudover kan Windows kombinere TPM med teknologier som Credential Guard eller virtualiseringsbaseret legitimationsbeskyttelse . I dette scenarie isoleres adgangskoder og adgangstokens i et beskyttet miljø, og TPM'en fungerer som en kryptografisk tillidsrod, hvilket gør det meget vanskeligere for angribere at stjæle legitimationsoplysninger.

Andre almindelige anvendelser omfatter virtuelle smartkort til godkendelse til virksomhedsressourcer , beskyttelse mod ordbogsangreb ved forsøg på at knække adgangskoder eller sikker opbevaring af certifikater og nøgler til VPN-forbindelser, digitalt signeret e-mail og sikker browsing.

Forskellige typer TPM-implementering

Selvom vi altid omtaler TPM'en, som om den var en enkelt chip, er der faktisk flere måder at implementere den på, hver med sine egne sikkerhedsfunktioner . De overholder alle TCG-specifikationerne, men adskiller sig på det fysiske eller logiske niveau.

På den ene side er der diskrete TPM'er, som er dedikerede, specifikke chips loddet på bundkortet. I teorien er de den sikreste løsning, da de er designet til at være modstandsdygtige over for fysisk manipulation og reducere risikoen for fejl som følge af deling af plads med andre komponenter.

En anden udbredt mulighed er TPM integreret i hoved-CPU'en , som inkorporerer sine egne sikkerhedsmekanismer og tilbyder et beskyttelsesniveau tæt på det separate chip, men reducerer omkostningerne og giver producenterne større bekvemmelighed.

Firmware-baserede TPM'er findes også , som kører i CPU'ens betroede udførelsesmiljø . De forbliver ret sikre og tilbyder for den gennemsnitlige bruger tilstrækkelig beskyttelse til både daglig og professionel brug.

I den mindre sikre ende finder man softwarebaserede TPM'er , som grundlæggende emulerer modulets adfærd, men uden en stærk tillidsrod i hardwaren, hvilket gør dem modtagelige for eksterne angreb eller sårbarheder i selve operativsystemet.

Endelig er det i virtualiseringsmiljøer almindeligt at bruge virtuelle TPM'er leveret af hypervisoren , som giver virtuelle maskiner mulighed for at have lignende funktioner uden at skulle bruge en separat fysisk chip til hver enkelt.

Hvorfor Windows 11 gør TPM 2.0 obligatorisk

Den store ændring med Windows 11 er, at Microsoft ikke længere ser TPM som et valgfrit ekstraudstyr og gør det til et centralt sikkerhedskrav . Ideen er, at alle computere, der kører systemet, vil have en hardware-niveau rod af tillid for bedre at modstå det nuværende trusselsbillede.

I dag er angreb ikke længere begrænset til simple vira; vi taler om sofistikeret ransomware, malware, der knytter sig til firmware, forsøg på at stjæle legitimationsoplysninger og fjernadgang, der udnytter fejlkonfigurationer . I denne sammenhæng er det ikke længere nok udelukkende at stole på sikkerhedssoftware, og derfor er Microsoft forpligtet til at integrere beskyttelse direkte i hardwaren.

Ved at kræve TPM 2.0 sikrer Windows 11, at funktioner som BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard og andre virtualiseringsbaserede teknologier kan aktiveres som standard , uden at det afhænger af, om hver enkelt producent eller bruger beslutter sig for at aktivere dem eller ej.

I mange enheder produceret fra 2016 og fremefter, især bærbare computere og pc'er beregnet til erhvervsmæssig brug, var TPM 2.0 allerede inkluderet fra fabrikken, selvom det nogle gange var deaktiveret . I andre tilfælde, især i specialbyggede computere eller bundkort i mellem- og lavprisklassen fra et par år siden, var modulet ikke integreret som standard og skulle tilføjes via et specifikt stik.

Dette er kilden til mange klager fra brugere, der har meget kraftfulde computere, der fuldt ud kan køre Windows 11 , men som oplever, at de ikke består filteret, fordi de mangler TPM 2.0 eller har det deaktiveret i UEFI/BIOS.

Sådan finder du ud af, om din pc har TPM 2.0 fra Windows

Før du antager, at din pc ikke er kompatibel med Windows 11, er det værd at kontrollere, om den rent faktisk har TPM 2.0, og i så fald hvilken version der er aktiv . Windows tilbyder flere måder at gøre dette på uden at installere noget.

En af de enkleste er at bruge Microsoft Management Console til TPM :

1. Tryk på tastekombinationen Windows + R for at åbne dialogboksen "Kør".
2. Skriv tpm.msc (uden anførselstegn) og tryk på Enter.
3. Administrationsvinduet for Secure Platform Module åbnes.

Hvis en meddelelse som "Kompatibel TPM ikke fundet" eller "Ingen kompatibel TPM fundet" vises i vinduet , kan det betyde to ting: din enhed har ikke dette modul, eller det er deaktiveret i firmwareindstillingerne. I andet tilfælde skal du have adgang til UEFI/BIOS for at aktivere det.

Hvis konsollen derimod angiver, at "TPM er klar til brug" og viser producentoplysninger , skal du se på feltet "Specifikationsversion". Hvis det viser 2.0, opfylder din pc dette krav til Windows 11; hvis tallet er lavere (f.eks. 1.2), når enheden ikke det krævede sikkerhedsniveau.

Et andet alternativ er at ty til PowerShell med administratorrettighederÅbn PowerShell som administrator, skriv kommandoen get-tpm og tryk på Enter. Se på værdien blandt de viste data TpmPresentHvis den vises som "Falsk", er modulet ikke til stede på bundkortet; hvis den er "Sand", er den til stede, og du kan også kontrollere dens status og egenskaber.

Du kan også tjekke Windows Sikkerheds-appen, specifikt afsnittene "Enhedssikkerhed" og "Sikkerhedsprocessor" . Hvis dette afsnit ikke er synligt, mangler eller er TPM sandsynligvis deaktiveret. Hvis det er synligt, kan du gå til "Detaljer om sikkerhedsprocessor" for at se specifikationsversionen.

Sådan aktiverer du TPM 2.0 fra UEFI/BIOS

Hvis dine kontroller viser, at TPM ikke er tilgængelig, men du har mistanke om, at din computer er relativt ny, kan modulet simpelthen være deaktiveret i firmwareindstillingerne . På mange brugerbyggede pc'er eller forbrugerbundkort er det deaktiveret som standard.

For at ændre dette skal du få adgang til din computers UEFI/BIOS og finde indstillingen relateret til TPM eller platformsikkerhed . Den nøjagtige sti varierer afhængigt af producenten, men i Windows kan du gå til Indstillinger > Opdatering og sikkerhed > Gendannelse og bruge indstillingen "Genstart nu" under Avanceret opstart.

Efter genstart skal du vælge Fejlfinding > Avancerede indstillinger > UEFI Firmware-indstillinger > Genstart . Dette fører dig til firmwaremenuen, hvor du skal søge efter muligheder som sikkerhed, avancerede indstillinger eller lignende. Hver producent bruger lidt forskellige navne, så tag dig god tid.

På systemer med Intel-processorer er funktionen normalt angivet som "Intel PTT" eller "Intel Platform Trust Technology ". For AMD findes den ofte som "AMD fTPM" eller "AMD PSP fTPM ". Du kan muligvis også se den angivet under etiketter som "Sikkerhedsenhed", "Support til sikkerhedsenhed", "TPM-status" eller "Tillidsbaseret databehandling".

Når du har fundet indstillingen, skal du ændre dens status til Aktiveret, gemme ændringerne og genstarte computeren . Når du derefter vender tilbage til Windows, burde du kunne se TPM'en i tpm.msc eller Windows-sikkerhedsappen og bekræfte, at den opfylder 2.0-specifikationen.

Bemærk også, at TPM på mange enheder fungerer sammen med Secure Boot-systemet . Hvis Secure Boot er deaktiveret, vises de indstillinger, der er relateret til modulet, muligvis ikke, eller de fungerer muligvis ikke korrekt. I sådanne tilfælde anbefales det først at aktivere Secure Boot og derefter kontrollere TPM-status igen.

Hvilke computere inkluderer typisk TPM 2.0, og hvad er de tilhørende krav?

Generelt set anses de fleste computere, der er produceret fra 2018 og fremefter, for at have integreret TPM 2.0 eller tilsvarende . Hvis din pc er mindre end fem eller seks år gammel, er der stor sandsynlighed for, at den har denne funktion, selvom den er slukket.

En anden ledetråd kommer fra processorerne: Intel-processorer fra ottende generation og fremefter leveres normalt klar til at bruge TPM 2.0 via Intel PTT , mens det i AMD-økosystemet er almindeligt for Ryzen-processorer fra anden generation og fremefter at integrere fTPM med understøttelse af denne version.

TPM er dog ikke det eneste krav til Windows 11. Systemet kræver også en 64-bit CPU med mindst to kerner på 1 GHz, 4 GB RAM og 64 GB lagerplads . Selvom disse er beskedne specifikationer efter nutidens standarder, udelukker de et godt antal ældre computere, der stadig kører rimeligt godt med Windows 10.

I mange brugerbyggede stationære pc'er inkluderede mellem- og lavprisbundkort fra nogle få år siden ikke hukommelsesmodulet som standard, men kun et stik til at tilføje det separat . Dette har skabt en ret besynderlig situation: meget kraftfulde maskiner med hensyn til CPU og grafik, men hæmmet af fraværet af en lille chip.

De, der ikke ønsker eller kan installere det ekstra modul, skal overveje, om de skal holde fast i Windows 10 indtil den officielle support udløber, eller om de skal overveje en hardwareopgradering . Windows 10-supporten forlænges indtil oktober 2025, så der er stadig tid til at træffe en beslutning i ro og mag.

Hvad sker der, hvis din computer ikke har TPM 2.0

Hvis du efter alle kontroller bekræfter, at din pc ikke har TPM 2.0, og der ikke er nogen realistisk mulighed for at tilføje det , er dine muligheder begrænsede. Officielt opfylder den pågældende computer ikke Windows 11-kravene, og derfor vil du ikke kunne installere den via Microsofts standardkanaler.

Der findes uofficielle metoder til at omgå systemkravskontroller under installationen af ​​Windows 11 , f.eks. ved at ændre konfigurationsfiler eller bruge tredjepartsværktøjer. Dette betyder dog, at man skal give afkald på noget support og, endnu vigtigere, at systemet køres uden det minimumssikkerhedsniveau, som Microsoft anser for essentielt.

På enheder, der ikke kan understøtte TPM 2.0, er det vigtigt at overveje, om det er mere værd at bruge Windows 10 indtil slutningen af ​​dets livscyklus, udforske alternativer som andre operativsystemer eller investere i en mere moderne computer . Det hele afhænger af, hvordan du bruger din computer, og hvor vigtig integreret hardwaresikkerhed er for dig.

For mange hjemmebrugere kan dette være en god mulighed for at vælge nyrenoverede computere, der allerede leveres med TPM 2.0 aktiveret , og som kan køre Windows 11 problemfrit og til en lavere pris end en helt ny pc.

Selvom TPM i starten kan virke som blot endnu et krav, er dets hovedformål at beskytte dine data, adgangskoder og digitale legitimationsoplysninger bedre . Du interagerer måske ikke direkte med det, men det fungerer som en stille vogter af alt, der betyder noget på din computer.