מהו TPM 2.0 ומדוע הוא חובה כעת ב-Windows 11?

אינפורמטק דיגיטל » Recursos » מהו TPM 2.0 ומדוע הוא חובה כעת ב-Windows 11?

אם אתם חושבים לשדרג ל-Windows 11, סביר להניח שנתקלתם בהודעה המפחידה שהמחשב שלכם זקוק להפעלה של TPM 2.0 כדי להתקין את המערכת . וכמובן, השאלה הטבעית היא: מה זה, למה זה חובה עכשיו, ומה קורה אם המחשב שלי לא משתמש בזה או שזה לא מופיע בשום מקום?

בגרסאות האחרונות של Windows, רכיב קטן זה הפך ממצב כמעט בלתי מוכר לרכיב אבטחה מרכזי ולדרישה טכנית חיונית . זה אולי נשמע טכני מאוד, אבל הרעיון הבסיסי הוא די פשוט: זהו סוג של כספת בתוך המחשב שלך, שמכילה את המפתחות לכל מה שחשוב.

מהו TPM ומה תפקידו במחשב שלך?

ראשי התיבות TPM מייצגים Trusted Platform Module , שהוא שבב או פונקציונליות משולבת בתוך המעבד הפועל כמעבד קריפטו מאובטח - מיני-מעבד המוקדש אך ורק לפעולות אבטחה והצפנה.

מודול זה אחראי על יצירה, אחסון והגנה על מפתחות קריפטוגרפיים, סיסמאות, אישורים ונתונים רגישים אחרים שמערכת ההפעלה זקוקה להם כדי להבטיח שאף אחד לא יוכל לגשת למידע שלך ללא רשות, גם אם יש לו גישה פיזית למחשב.

TPM אינו המצאה חדשה: הוא משמש מזה שנים בסביבות מקצועיות לחיזוק אבטחת החומרה, במיוחד בחברות ובמנהלים ציבוריים . עם זאת, עם הגעתו של Windows 11, הוא עלה לקדמת הבמה מכיוון שמיקרוסופט הפכה אותו לדרישה חובה להתקנה רשמית של המערכת.

מבחינה פיזית, ה-TPM יכול להיות שבב נפרד המולחם ללוח האם או מודול שמתחבר למחבר ספציפי . במכשירים מודרניים רבים, במיוחד מחשבים ניידים, פונקציונליות ה-TPM כבר משולבת במעבד (Intel PTT, AMD fTPM), אם כי לעיתים היא מושבתת כברירת מחדל וחייבת להיות מופעלת דרך UEFI/BIOS.

מה בעצם עושה TPM ולמה זה כל כך חשוב?

ההיבט המעניין ביותר של ה-TPM הוא שהוא משמש כמאגר מאובטח ומבודד עבור מפתחות קריפטוגרפיים ומידע אימות . המפתחות המאוחסנים בו אינם נגישים ישירות על ידי מערכת ההפעלה או היישומים; ניתן לגשת אליהם רק באמצעות פקודות ספציפיות על השבב עצמו.

כל TPM משלב מפתחות קריפטוגרפיים משלו, המקושרים למכשיר הספציפי . אחד מהם הוא מפתח ההסמכה (EK), זוג מפתחות RSA ייחודי שנוצר במפעל ומאוחסן בתוך השבב, ללא גישה לתוכנה. מפתחות אחרים נוצרים מ-EK זה, כגון מפתח שורש האחסון , המשמש כבסיס להצפנת המפתחות הנותרים המאוחסנים במודול.

בנוסף, ה-TPM יכול לייצר מפתח זהות אימות (AIK) , אשר מאמת באופן אמין את מצב האתחול של המערכת. השבב מחשב גיבוב או מדידות של הקושחה, UEFI וחלקים קריטיים של מערכת ההפעלה במהלך האתחול , ויכול לשלוח מדידות אלו לשרת שבודק אם הכל תואם את הציפיות. אם מזוהים שינויים חשודים, המכשיר נחשב כפגוע.

הודות לעיצוב זה, ה-TPM שימושי מאוד להגנה מפני איומים מודרניים כגון התקפות קושחה, תוכנות כופר מתקדמות , מניפולציה של אתחול או גניבת נתונים באמצעות גישה פיזית . תוקף אולי מחזיק בדיסק הקשיח בידיו, אך ללא המפתחות המאוחסנים בתוך ה-TPM, הנתונים המוצפנים יישארו בלתי שמישים.

תקן ה-TPM לא רק מגדיר את השבב, אלא גם מערך שלם של מפרטים ופקודות המתוחזקות על ידי קבוצת המחשוב הנאמנה (TCG) , ארגון ללא מטרות רווח האחראי על עדכון והרחבת סטנדרטים אלה כדי להתאימם לצורכי אבטחה חדשים.

TPM 1.2 לעומת TPM 2.0: מדוע Windows 11 דורש את הגרסה החדשה

במשך שנים רבות, הגרסה הנפוצה ביותר הייתה TPM 1.2, שאף טופלה כתקן הבינלאומי ISO/IEC 11889. גרסה זו כבר אפשרה הגנה על מפתחות, הצפנת נתונים ואימות שלמות מערכת, אך היא הייתה מוגבלת יותר באלגוריתמי ההצפנה שלה ובפונקציות שיכלה להציע.

המעבר ל- TPM 2.0 הביא שדרוג משמעותי ביכולות ובגמישות . בין היתר, התקן החדש מאפשר שימוש באלגוריתמים קריפטוגרפיים שונים זה בזה, במקום להיות קשור באופן מעשי ל-SHA-1 כפי שהיה במקרה של TPM 1.2, שהוא חיוני לעמידות טובה יותר בפני התקפות מודרניות.

TPM 2.0 משלב גם שיפורים בניהול מפתחות, הגנה על נתונים ביומטריים ואימות חתימות , והוא נועד לעבוד לא רק על מחשבים שולחניים וניידים, אלא גם על מכשירים עם משאבים מוגבלים יותר, כגון טאבלטים או מערכות משובצות.

זו הסיבה שמיקרוסופט החליטה שעבור Windows 11, רמת אבטחת החומרה המינימלית המקובלת תהיה TPM 2.0 . למרות ש-Windows יכול לתפקד טכנית עם TPM 1.2, תכונות האבטחה המתקדמות ביותר ושיפורי הפלטפורמה העתידיים מסתמכים על היכולות המורחבות של גרסה 2.0.

בפועל, משמעות הדבר היא שמחשב עם TPM 1.2 אולי יוכל להריץ את Windows 11 מבחינת ביצועים, אך הוא לא יעמוד בדרישות אבטחת המערכת הרשמיות , וההתקנה תיפול מחוץ לשיטות הנתמכות של מיקרוסופט.

למה משתמש Windows ב-TPM על בסיס יומי?

ב-Windows 10, ובמיוחד ב-Windows 11, ה-TPM משולב במספר תכונות אבטחה. זה לא משהו שרואים כל הזמן, אבל הוא פועל ברקע כדי להגן על הנתונים והזהות שלך.

אחת התכונות הבולטות ביותר היא BitLocker , מערכת הצפנת הכוננים של Windows . כאשר BitLocker מופעל, תוכן הדיסק מוצפן, ומפתח הפענוח מאוחסן (או מוגן) על ידי TPM (מודול זיכרון יעד). בדרך זו, אם מישהו יגנוב את הכונן הקשיח או המחשב הנייד, ללא המפתחות המאוחסנים במודול, הוא לא יוכל לגשת לנתונים, גם אם יחבר את הכונן למחשב אחר.

ה-TPM משמש גם ב- Windows Hello, מערכת ההתחברות המשתמשת בזיהוי פנים, טביעת אצבע או קוד סודי . הנתונים הביומטריים והמפתחות הנלווים מקושרים לחומרת המחשב שלך דרך השבב, מה שמקשה הרבה יותר על גניבתם או שימוש חוזר בהם במכשיר אחר.

אלמנט מפתח נוסף הוא הקשר שלו עם Secure Boot ו-Measured Boot . Secure Boot מבטיח שרק תוכנה חתומה ומהימנה נטענת במהלך שלבי האתחול הראשוניים, בעוד ש-Measured Boot מתעד מדידות של כל רכיב פועל ב-TPM. זה מאפשר זיהוי ניסיונות להחדיר תוכנות זדוניות לתהליך אתחול המערכת.

יתר על כן, Windows יכול לשלב TPM עם טכנולוגיות כגון Credential Guard או הגנה על אישורים מבוססת וירטואליזציה . בתרחיש זה, סיסמאות ואסימוני גישה מבודדים בסביבה מוגנת, וה-TPM פועל כשורש אמון קריפטוגרפי, מה שמקשה הרבה יותר על תוקפים לגנוב אישורים.

שימושים נפוצים נוספים כוללים כרטיסים חכמים וירטואליים לאימות למשאבים ארגוניים , הגנה מפני התקפות מילון בעת ​​ניסיון לפצח סיסמאות, או אחסון מאובטח של אישורים ומפתחות עבור חיבורי VPN, דוא"ל חתום דיגיטלית וגלישה מאובטחת.

סוגים שונים של יישום TPM

למרות שאנו תמיד מתייחסים ל-TPM כאילו היה שבב יחיד, ישנן למעשה מספר דרכים ליישם אותו, לכל אחת מאפייני אבטחה משלה . כולן עומדות במפרטי TCG, אך נבדלות ברמה הפיזית או הלוגית.

מצד אחד, ישנם שבבי TPM נפרדים, שהם שבבים ייעודיים וספציפיים המולחמים ללוח האם. תיאורטית, הם האפשרות הבטוחה ביותר, מכיוון שהם נועדו להיות עמידים בפני שיבוש פיזי ולהפחית את הסיכוי לשגיאות הנובעות משיתוף שטח עם רכיבים אחרים.

אפשרות נפוצה נוספת היא ה- TPM המשולב במעבד הראשי , המשלב מנגנוני אבטחה משלו ומציע רמת הגנה הקרובה לזו של השבב הנפרד, אך מפחית עלויות ומשפר נוחות עבור היצרנים.

קיימים גם מערכות TPM מבוססות קושחה , הפועלות בתוך סביבת הביצוע המהימנה של המעבד . הן נשארות מאובטחות למדי, ולמשתמש הממוצע, מציעות הגנה מספקת לשימוש יומיומי ומקצועי.

בקצה הפחות מאובטח נמצאים מערכות TPM מבוססות תוכנה בלבד , אשר בעצם מחקות את התנהגות המודול אך ללא בסיס אמון חזק בחומרה, מה שהופך אותן לפגיעות להתקפות חיצוניות או פגיעויות במערכת ההפעלה עצמה.

לבסוף, בסביבות וירטואליזציה מקובל להשתמש ב-TPM וירטואליים המסופקים על ידי ההיפר-ויזור , המאפשרים למכונות וירטואליות לבצע פונקציות דומות מבלי להזדקק לשבב פיזי נפרד עבור כל אחת מהן.

מדוע Windows 11 הופך את TPM 2.0 לחובה

השינוי הגדול עם Windows 11 הוא שמיקרוסופט כבר לא רואה ב-TPM תוספת אופציונלית והופכת אותו לדרישת אבטחה מרכזית . הרעיון הוא שלכל המחשבים שמריצים את המערכת יהיה בסיס אמון ברמת החומרה כדי לעמוד טוב יותר בנוף האיומים הנוכחי.

כיום, התקפות אינן מוגבלות עוד לוירוסים פשוטים; אנחנו מדברים על תוכנות כופר מתוחכמות, תוכנות זדוניות שנצמדות לקושחה, ניסיונות לגניבת אישורים וגישה מרחוק המנצלת תצורות שגויות . בהקשר זה, הסתמכות אך ורק על תוכנות אבטחה כבר אינה מספיקה, ולכן מיקרוסופט מחויבת לשלב הגנה ישירות בחומרה.

על ידי דרישת TPM 2.0, Windows 11 מבטיח שתכונות כגון BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard וטכנולוגיות מבוססות וירטואליזציה אחרות יוכלו להיות מופעלות כברירת מחדל , מבלי להיות תלויות בשאלה האם כל יצרן או משתמש מחליטים להפעיל אותן או לא.

במכשירים רבים שיוצרו משנת 2016 ואילך, במיוחד מחשבים ניידים ומחשבים אישיים המיועדים לשימוש עסקי, TPM 2.0 כבר היה כלול מהמפעל, אם כי לעיתים היה מושבת . במקרים אחרים, במיוחד במחשבים בהתאמה אישית או בלוחות אם בינוניים ונמוכים מלפני מספר שנים, המודול לא היה משולב כברירת מחדל והיה צורך להוסיף אותו באמצעות מחבר ספציפי.

זהו מקור לתלונות רבות מצד משתמשים בעלי מחשבים חזקים מאוד, המסוגלים להריץ את Windows 11 , אך מגלים שהם לא עוברים את הסינון מכיוון שחסר להם TPM 2.0 או שהוא מושבת ב-UEFI/BIOS.

כיצד לדעת אם למחשב שלך יש TPM 2.0 מ-Windows

לפני שאתם מניחים שהמחשב שלכם אינו תואם ל-Windows 11, כדאי לבדוק אם הוא אכן מותקן ב-TPM 2.0, ואם כן, איזו גרסה פעילה . Windows מציעה מספר דרכים לעשות זאת מבלי להתקין דבר.

אחת הדרכים הפשוטות ביותר היא להשתמש במסוף הניהול של מיקרוסופט עבור TPM :

1. לחץ על צירוף המקשים Windows + R כדי לפתוח את תיבת הדו-שיח "הפעלה".
2. כתוב tpm.msc (ללא מרכאות) ולחצו על Enter.
3. ייפתח חלון ניהול מודול הפלטפורמה המאובטחת.

אם מופיעה בחלון הודעה כמו "TPM תואם לא נמצא" או "לא נמצא TPM תואם" , זה יכול להעיד על שני דברים: המכשיר שלך אינו כולל מודול זה, או שהוא מושבת בהגדרות הקושחה. במקרה השני, תצטרך לגשת ל-UEFI/BIOS כדי להפעיל אותו.

אם, לעומת זאת, הקונסולה מציינת ש- "TPM מוכן לשימוש" ומציגה מידע על היצרן , תצטרכו לבדוק את השדה "גרסת מפרט". אם הוא מציג 2.0, המחשב שלכם עומד בדרישה זו עבור Windows 11; אם המספר נמוך יותר (לדוגמה, 1.2), ההתקן לא יגיע לרמת האבטחה הנדרשת.

חלופה נוספת היא להשתמש PowerShell עם הרשאות מנהל מערכתפתח את PowerShell כמנהל, הקלד את הפקודה get-tpm ולחץ על Enter. בין הנתונים המוצגים, עיין בערך TpmPresentאם הוא מופיע כ-"False", המודול אינו קיים בלוח האם; אם הוא "True", הוא קיים, וניתן גם לבדוק את מצבו ומאפייניו.

ניתן גם לבדוק את אפליקציית האבטחה של Windows, ובפרט את הסעיפים "אבטחת התקן" ו"מעבד אבטחה" . אם סעיף זה אינו גלוי, סביר להניח ש-TPM חסר או מושבת; אם הוא גלוי, ניתן לעבור אל "פרטי מעבד אבטחה" כדי לראות את גרסת המפרט.

כיצד להפעיל את TPM 2.0 מ-UEFI/BIOS

אם הבדיקות שלך מצביעות על כך שה-TPM אינו זמין אך אתה חושד שהמחשב שלך חדש יחסית, ייתכן שהמודול פשוט מושבת בהגדרות הקושחה . במחשבים אישיים או בלוחות אם צרכניים רבים שנבנו על ידי המשתמש, הוא מושבת כברירת מחדל.

כדי לשנות זאת, תצטרכו לגשת ל- UEFI/BIOS של המחשב שלכם ולאתר את האפשרות הקשורה ל-TPM או לאבטחת הפלטפורמה . הנתיב המדויק משתנה בהתאם ליצרן, אך ב-Windows, תוכלו לעבור אל הגדרות > עדכון ואבטחה > שחזור ולהשתמש באפשרות "הפעל מחדש כעת" תחת אתחול מתקדם.

לאחר ההפעלה מחדש, בחר פתרון בעיות > אפשרויות מתקדמות > הגדרות קושחת UEFI > אתחול מחדש . פעולה זו תוביל אותך לתפריט הקושחה, שם עליך לחפש אפשרויות כגון אבטחה, הגדרות מתקדמות או אפשרויות דומות. כל יצרן משתמש בשמות שונים במקצת, לכן קחו את הזמן.

במערכות עם מעבדי Intel, התכונה מופיעה בדרך כלל כ- "Intel PTT" או "Intel Platform Trust Technology ". עבור AMD, היא מופיעה לעתים קרובות כ- "AMD fTPM" או "AMD PSP fTPM ". ייתכן שתראו אותה גם תחת תוויות כגון "התקן אבטחה", "תמיכה בהתקן אבטחה", "מצב TPM" או "מחשוב מהימן".

לאחר שאיתרת את האפשרות, תצטרך לשנות את הסטטוס שלה ל"מופעל", לשמור את השינויים ולהפעיל מחדש את המחשב . לאחר מכן, כשתחזור ל-Windows, תוכל לראות את ה-TPM ב-tpm.msc או באפליקציית האבטחה של Windows ולאשר שהוא עומד במפרט 2.0.

כמו כן, שים לב שבמכשירים רבים, ה-TPM פועל בשיתוף פעולה עם מערכת האתחול המאובטח . אם האתחול המאובטח מושבת, ייתכן שהאפשרויות הקשורות למודול לא יוצגו או שלא יפעלו כראוי. במקרים כאלה, מומלץ להפעיל תחילה את האתחול המאובטח ולאחר מכן לבדוק שוב את מצב ה-TPM.

אילו מחשבים כוללים בדרך כלל TPM 2.0 ומהן הדרישות הנלוות?

באופן כללי, רוב המחשבים שיוצרו משנת 2018 ואילך נחשבים כבעלי TPM 2.0 משולב או שווה ערך לו . אם המחשב שלכם בן פחות מחמש או שש שנים, סביר להניח שיש לו תכונה זו, גם אם הוא כבוי.

רמז נוסף מספקים המעבדים: מעבדי אינטל מהדור השמיני ואילך מגיעים בדרך כלל מוכנים לשימוש ב-TPM 2.0 דרך Intel PTT , בעוד שבמערכת האקולוגית של AMD מקובל שמעבדי Ryzen מהדור השני ואילך משלבים fTPM עם תמיכה בגרסה זו.

עם זאת, ה-TPM אינו הדרישה היחידה עבור Windows 11. המערכת דורשת גם מעבד 64 סיביות עם לפחות שתי ליבות במהירות 1 גיגה-הרץ, 4 ג'יגה-בייט של זיכרון RAM ו-64 ג'יגה-בייט של אחסון . בעוד שאלה מפרטים צנועים בסטנדרטים של ימינו, הם אינם כוללים מספר לא מבוטל של מחשבים ישנים יותר שעדיין פועלים בצורה סבירה עם Windows 10.

במחשבים שולחניים רבים שנבנו על ידי משתמשים, לוחות אם בינוניים ונמוכים מלפני מספר שנים לא כללו את מודול הזיכרון כסטנדרט, אלא רק מחבר להוספתו בנפרד . מצב זה יצר מצב די מוזר: מכונות חזקות מאוד מבחינת מעבד וגרפיקה, אך מוגבלות בשל היעדר שבב קטן.

אלו שלא רוצים או לא יכולים להתקין את המודול הנוסף הזה צריכים לשקול האם להישאר עם Windows 10 עד סוף התמיכה הרשמית או לשקול שדרוג חומרה . התמיכה ב-Windows 10 נמשכת עד אוקטובר 2025, כך שעדיין יש זמן לקבל החלטה ברוגע.

מה קורה אם למחשב שלך אין TPM 2.0

אם, לאחר כל הבדיקות, תאשרו שהמחשב שלכם אינו כולל TPM 2.0 ואין אפשרות ריאלית להוסיף אותו , האפשרויות שלכם מצטמצמות. רשמית, המחשב הזה אינו עומד בדרישות Windows 11, ולכן לא תוכלו להתקין אותו דרך הערוצים הסטנדרטיים של מיקרוסופט.

ישנן שיטות לא רשמיות לעקוף בדיקות דרישות מערכת במהלך התקנת Windows 11 , כגון שינוי קבצי תצורה או שימוש בכלים של צד שלישי. עם זאת, משמעות הדבר היא ויתור על חלק מהתמיכה, וחשוב מכך, הפעלת המערכת ללא רמת האבטחה המינימלית ש-Microsoft מחשיבה כחיונית.

במכשירים שאינם יכולים להכיל TPM 2.0, חשוב לשקול האם כדאי יותר להשתמש ב-Windows 10 עד סוף מחזור החיים שלו, לבחון חלופות כמו מערכות הפעלה אחרות, או להשקיע במחשב מודרני יותר . הכל תלוי באופן שבו אתם משתמשים במחשב שלכם ובחשיבותה של אבטחת חומרה משולבת עבורכם.

עבור משתמשים ביתיים רבים, זוהי יכולה להיות הזדמנות טובה לבחור במחשבים ששופצו לאחרונה, שכבר מגיעים עם TPM 2.0 מופעל , המסוגלים להריץ את Windows 11 בצורה חלקה ובעלות נמוכה יותר מאשר מחשב חדש לגמרי.

בעוד ש-TPM עשוי להיראות בתחילה כמו עוד דרישה, מטרתו העיקרית היא להגן טוב יותר על הנתונים, הסיסמאות והאישורים הדיגיטליים שלך . ייתכן שלא תקיים אינטראקציה ישירה איתו, אך הוא שם כשומר שקט של כל מה שחשוב במחשב שלך.