Kas yra TPM 2.0 ir kodėl jis dabar privalomas sistemoje „Windows 11“?

Informatec Digital » Ištekliai » Kas yra TPM 2.0 ir kodėl jis dabar privalomas sistemoje „Windows 11“?

Jei galvojate apie atnaujinimą į „Windows 11“, tikriausiai esate matę baimę keliantį pranešimą, kad jūsų kompiuteryje reikia įjungti TPM 2.0, kad būtų galima įdiegti sistemą . Ir, žinoma, kyla natūralus klausimas: kas tai yra, kodėl dabar tai privaloma ir kas atsitiks, jei mano kompiuteryje jos nėra arba ji niekur nepateikta sąraše?

Naujausiose „Windows“ versijose šis mažas komponentas iš beveik nežinomo tapo pagrindine saugumo priemone ir esminiu techniniu reikalavimu . Tai gali skambėti labai techniškai, tačiau pagrindinė idėja gana paprasta: tai savotiškas seifas jūsų kompiuteryje, kuriame saugomi raktai nuo visko svarbaus.

Kas yra TPM ir kokį vaidmenį jis atlieka jūsų kompiuteryje?

Akronimas TPM reiškia „Trusted Platform Module “ (patikimos platformos modulis) – tai procesoriaus lustas arba integruota funkcija, veikianti kaip saugus kriptografinis procesorius – mini procesorius, skirtas tik saugumo ir šifravimo operacijoms.

Šis modulis yra atsakingas už kriptografinių raktų, slaptažodžių, sertifikatų ir kitų slaptų duomenų , kurių operacinei sistemai reikia siekiant užtikrinti, kad niekas negalėtų pasiekti jūsų informacijos be leidimo, net jei jie fiziškai turi prieigą prie kompiuterio, kūrimą, saugojimą ir apsaugą.

TPM nėra naujas išradimas: jis jau daugelį metų naudojamas profesionalioje aplinkoje, siekiant sustiprinti aparatinės įrangos saugumą, ypač įmonėse ir viešojo administravimo įstaigose . Tačiau atsiradus „Windows 11“, jis išryškėjo, nes „Microsoft“ jį įtraukė į privalomą reikalavimą oficialiai diegiant sistemą.

Fiziniu požiūriu TPM gali būti atskiras lustas, prilituotas prie pagrindinės plokštės, arba modulis, kuris jungiamas į specialią jungtį . Daugelyje šiuolaikinių įrenginių, ypač nešiojamuosiuose kompiuteriuose, TPM funkcionalumas jau yra integruotas į centrinį procesorių („Intel PTT“, AMD fTPM), nors kartais jis yra išjungtas pagal numatytuosius nustatymus ir turi būti įjungtas per UEFI / BIOS.

Ką iš tikrųjų daro TPM ir kodėl jis toks svarbus?

Įdomiausias TPM aspektas yra tai, kad jis veikia kaip saugi ir izoliuota kriptografinių raktų ir autentifikavimo informacijos saugykla . Joje saugomi raktai nėra tiesiogiai pasiekiami operacinės sistemos ar programų; prie jų galima prisijungti tik naudojant konkrečias komandas pačioje mikroschemoje.

Kiekvienas TPM turi savo kriptografinius raktus, susietus su konkrečiu įrenginiu . Vienas iš jų yra patvirtinimo raktas (EK) – unikali RSA raktų pora, sugeneruota gamykloje ir saugoma luste, neprieinama programinei įrangai. Iš šio EK generuojami kiti raktai, pvz., saugyklos šakninis raktas , kuris naudojamas kaip pagrindas šifruoti likusius modulyje saugomus raktus.

Be to, TPM gali sugeneruoti atestacijos tapatybės raktą (AIK) , kuris patikimai patikrina sistemos paleidimo būseną. Lustas paleidimo metu apskaičiuoja programinės įrangos, UEFI ir svarbiausių operacinės sistemos dalių maišos arba matavimus ir gali nusiųsti šiuos matavimus į serverį, kuris patikrina, ar viskas atitinka lūkesčius. Jei aptinkama įtartinų pakeitimų, įrenginys laikomas potencialiai pažeistu.

Dėl šios konstrukcijos TPM yra labai naudingas apsaugant nuo šiuolaikinių grėsmių, tokių kaip programinės įrangos atakos, pažangios išpirkos reikalaujančios programinės įrangos , įkrovos manipuliavimo ar duomenų vagystės per fizinę prieigą . Užpuolikas gali turėti standųjį diską, tačiau be TPM saugomų raktų užšifruoti duomenys liks nenaudojami.

TPM standartas ne tik apibrėžia lustą, bet ir visą specifikacijų bei komandų rinkinį, kurį tvarko „Trusted Computing Group“ (TCG) – ne pelno siekianti organizacija, atsakinga už šių standartų atnaujinimą ir išplėtimą, siekiant juos pritaikyti prie naujų saugumo poreikių.

TPM 1.2 ir TPM 2.0: kodėl „Windows 11“ reikalinga nauja versija

Daugelį metų labiausiai paplitusi versija buvo TPM 1.2, netgi standartizuota kaip tarptautinis standartas ISO/IEC 11889. Ši versija jau leido apsaugoti raktus, šifruoti duomenis ir tikrinti sistemos vientisumą, tačiau jos šifravimo algoritmai ir funkcijos buvo labiau ribotos.

Perėjimas prie TPM 2.0 gerokai padidino galimybes ir lankstumą . Be kitų patobulinimų, naujasis standartas leidžia naudoti skirtingus kriptografinius algoritmus pakaitomis, užuot praktiškai susiejus juos su SHA-1, kaip buvo TPM 1.2 atveju, o tai yra būtina siekiant geresnio atsparumo šiuolaikinėms atakoms.

TPM 2.0 taip pat apima patobulinimus raktų valdymo, biometrinių duomenų apsaugos ir parašų tikrinimo srityse ir yra sukurta veikti ne tik staliniuose ir nešiojamuosiuose kompiuteriuose, bet ir įrenginiuose su ribotais ištekliais, pvz., planšetiniuose kompiuteriuose ar įterptosiose sistemose.

Todėl „Microsoft“ nusprendė, kad „Windows 11“ minimalus priimtinas aparatinės įrangos saugumo lygis būtų TPM 2.0 . Nors „Windows“ techniškai gali veikti su TPM 1.2, pažangiausios saugumo funkcijos ir būsimi platformos patobulinimai priklauso nuo išplėstinių 2.0 versijos galimybių.

Praktiškai tai reiškia, kad kompiuteris su TPM 1.2 gali našiai paleisti „Windows 11“, tačiau neatitiks oficialių sistemos saugumo reikalavimų , o diegimas neatitiks „Microsoft“ palaikomų metodų.

Kam „Windows“ kasdien naudoja TPM?

„Windows 10“ ir ypač „Windows 11“ sistemose TPM yra integruotas su daugybe saugos funkcijų. Tai nėra kažkas, ką matote nuolat, bet jis veikia fone, kad apsaugotų jūsų duomenis ir tapatybę.

Viena iš labiausiai matomų funkcijų yra „BitLocker“ – „Windows“ diskų šifravimo sistema . Kai „BitLocker“ įjungta, disko turinys yra užšifruojamas, o iššifravimo raktas saugomas (arba apsaugotas) TPM (tikslinės atminties modulyje). Tokiu būdu, jei kas nors pavogtų standųjį diską ar nešiojamąjį kompiuterį, be modulyje saugomų raktų jis negalės pasiekti duomenų, net jei prijungs diską prie kito kompiuterio.

TPM taip pat naudojamas „Windows Hello“ – prisijungimo sistemoje, kuri naudoja veido atpažinimą, pirštų atspaudus arba PIN kodą . Biometriniai duomenys ir susiję raktai yra susieti su jūsų kompiuterio aparatine įranga per lustą, todėl juos daug sunkiau pavogti ar pakartotinai panaudoti kitame įrenginyje.

Kitas svarbus elementas yra jo ryšys su „Secure Boot“ ir „Measured Boot“ . „Secure Boot“ užtikrina, kad pradinių paleidimo etapų metu būtų įkeliama tik pasirašyta ir patikima programinė įranga, o „Measured Boot“ įrašo kiekvieno veikiančio komponento matavimus TPM. Tai leidžia aptikti bandymus įdiegti kenkėjišką programinę įrangą į sistemos paleidimo procesą.

Be to, „Windows“ gali derinti TPM su tokiomis technologijomis kaip „Credential Guard“ arba virtualizacija pagrįsta kredencialų apsauga . Tokiu atveju slaptažodžiai ir prieigos žetonai yra izoliuoti apsaugotoje aplinkoje, o TPM veikia kaip kriptografinis pasitikėjimo šaltinis, todėl užpuolikams daug sunkiau pavogti kredencialus.

Kiti dažni naudojimo būdai apima virtualias išmaniąsias korteles autentifikavimui įmonės ištekliuose , apsaugą nuo žodynų atakų bandant nulaužti slaptažodžius arba saugų sertifikatų ir raktų saugojimą VPN ryšiams, skaitmeniniu būdu pasirašytiems el. laiškams ir saugiam naršymui.

Skirtingi TPM diegimo tipai

Nors TPM visada vadiname vieną lustą, iš tikrųjų yra keletas jo įgyvendinimo būdų, kiekvienas su savomis saugumo funkcijomis . Visi jie atitinka TCG specifikacijas, tačiau skiriasi fiziniu ar loginiu lygmeniu.

Viena vertus, yra atskiri TPM moduliai – tai specialūs, specialūs lustai, lituojami ant pagrindinės plokštės. Teoriškai jie yra saugiausias pasirinkimas, nes yra sukurti taip, kad būtų atsparūs fiziniam manipuliavimui ir sumažintų klaidų, atsirandančių dėl erdvės dalijimosi su kitais komponentais, tikimybę.

Kitas plačiai paplitęs variantas yra į pagrindinį centrinį procesorių integruotas TPM , kuris turi savo saugumo mechanizmus ir siūlo apsaugos lygį, artimą atskiro lusto apsaugos lygiui, tačiau sumažina sąnaudas ir suteikia patogumo gamintojams.

Taip pat egzistuoja programinės įrangos pagrindu veikiantys TPM , kurie veikia patikimoje procesoriaus vykdymo aplinkoje . Jie išlieka gana saugūs ir paprastam vartotojui suteikia pakankamą apsaugą kasdieniam ir profesionaliam naudojimui.

Mažiau saugiame gale yra tik programinės įrangos valdomi TPM , kurie iš esmės imituoja modulio elgesį, tačiau neturi tvirto pasitikėjimo aparatine įranga, todėl yra jautrūs išorinėms atakoms ar pačios operacinės sistemos pažeidžiamumams.

Galiausiai, virtualizacijos aplinkose įprasta naudoti hipervizoriaus teikiamus virtualius TPM , kurie leidžia virtualioms mašinoms atlikti panašias funkcijas, nereikalaujant kiekvienai atskiro fizinio lusto.

Kodėl „Windows 11“ sistemoje TPM 2.0 yra privalomas

Didžiausias „Windows 11“ pokytis yra tas, kad „Microsoft“ nebelaiko TPM pasirenkamu priedu ir daro jį pagrindiniu saugumo reikalavimu . Idėja yra ta, kad visi kompiuteriai, kuriuose veikia sistema, turės techninės įrangos lygio pasitikėjimo šaknį, kad geriau atlaikytų dabartinį grėsmių kraštovaizdį.

Šiandien atakos nebeapsiriboja paprastais virusais; kalbame apie sudėtingas išpirkos reikalaujančias programas, kenkėjiškas programas, kurios prisijungia prie programinės įrangos, bandymus pavogti prisijungimo duomenis ir nuotolinę prieigą, išnaudojant netinkamas konfigūracijas . Šiame kontekste nebepakanka pasikliauti vien saugos programine įranga, todėl „Microsoft“ yra įsipareigojusi integruoti apsaugą tiesiai į aparatinę įrangą.

Reikalaudama TPM 2.0, „Windows 11“ užtikrina, kad tokios funkcijos kaip „BitLocker“, „Windows Hello“, „Secure Boot“, „Measured Boot“, „Credential Guard“ ir kitos virtualizacijos pagrindu veikiančios technologijos gali būti įjungtos pagal numatytuosius nustatymus , nepriklausomai nuo to, ar kiekvienas gamintojas ar vartotojas nusprendžia jas aktyvuoti, ar ne.

Daugelyje įrenginių, pagamintų nuo 2016 m., ypač nešiojamuosiuose ir asmeniniuose kompiuteriuose, skirtuose naudoti verslui, TPM 2.0 jau buvo įdiegtas gamykloje, nors kartais būdavo išjungtas . Kitais atvejais, ypač pagal užsakymą pagamintuose kompiuteriuose arba vidutinės ir žemos klasės pagrindinėse plokštėse nuo prieš kelerius metus, modulis nebuvo integruotas pagal numatytuosius nustatymus ir turėjo būti pridėtas per specialią jungtį.

Dėl to daugelis vartotojų, turinčių labai galingus kompiuterius, puikiai veikiančius su „Windows 11“ , skundžiasi, tačiau pastebi, kad jie nepraeina filtro, nes neturi TPM 2.0 arba jis išjungtas UEFI/BIOS.

Kaip sužinoti, ar jūsų kompiuteryje yra „Windows“ TPM 2.0

Prieš manant, kad jūsų kompiuteris nesuderinamas su „Windows 11“, verta patikrinti, ar jame iš tikrųjų yra TPM 2.0, ir, jei taip, kuri versija yra aktyvi . „Windows“ siūlo kelis būdus tai padaryti nieko neįdiegiant.

Vienas iš paprasčiausių būdų yra naudoti „ Microsoft Management Console for TPM“ :

1. Paspauskite klavišų kombinaciją "Windows + R , kad atidarytumėte dialogo langą „Vykdyti“.
2. Parašykite Tpm.msc. (be kabučių) ir paspauskite „Enter“.
3. Atsidarys saugios platformos modulio administravimo langas.

Jei tame lange rodomas pranešimas, pvz., „Suderinamas TPM nerastas“ arba „Nerasta suderinamo TPM“ , tai gali reikšti du dalykus: jūsų įrenginyje nėra šio modulio arba jis išjungtas programinės įrangos nustatymuose. Antruoju atveju, norėdami jį įjungti, turėsite pasiekti UEFI / BIOS.

Kita vertus, jei konsolėje rodoma, kad „TPM paruoštas naudoti“ ir rodoma gamintojo informacija , turėsite peržiūrėti lauką „Specifikacijos versija“. Jei rodoma 2.0, jūsų kompiuteris atitinka šį „Windows 11“ reikalavimą; jei skaičius mažesnis (pvz., 1.2), įrenginys nepasieks reikiamo saugos lygio.

Kita alternatyva yra naudoti „PowerShell“ su administratoriaus teisėmisAtidarykite „PowerShell“ kaip administratorius, įveskite komandą get-tpm ir paspauskite „Enter“. Tarp rodomų duomenų atkreipkite dėmesį į reikšmę TpmPresentJei rodoma „False“, modulio pagrindinėje plokštėje nėra; jei rodoma „True“, jis yra, taip pat galite patikrinti jo būseną ir charakteristikas.

Taip pat galite patikrinti „Windows“ saugos programėlę, ypač skyrius „Įrenginio sauga“ ir „Saugos procesorius“ . Jei šio skyriaus nematote, TPM greičiausiai nėra arba jis išjungtas; jei jis matomas, specifikacijos versiją galite peržiūrėti skiltyje „Saugos procesoriaus informacija“.

Kaip aktyvuoti TPM 2.0 iš UEFI/BIOS

Jei patikrinimai rodo, kad TPM nepasiekiamas, bet įtariate, kad jūsų kompiuteris yra gana naujas, modulis gali būti tiesiog išjungtas programinės įrangos nustatymuose . Daugelyje vartotojų surinktų kompiuterių arba vartotojams skirtų pagrindinių plokščių jis yra išjungtas pagal numatytuosius nustatymus.

Norėdami tai pakeisti, turėsite pasiekti kompiuterio UEFI / BIOS ir rasti parinktį, susijusią su TPM arba platformos sauga . Tikslus kelias priklauso nuo gamintojo, tačiau sistemoje „Windows“ galite eiti į „Nustatymai“ > „Atnaujinimas ir sauga“ > „Atkūrimas“ ir naudoti parinktį „Paleisti iš naujo dabar“, esančią skiltyje „Išplėstinis paleidimas“.

Paleidę iš naujo, pasirinkite Trikčių šalinimas > Išplėstinės parinktys > UEFI programinės įrangos nustatymai > Paleisti iš naujo . Tai nukreips jus į programinės įrangos meniu, kuriame turėtumėte ieškoti tokių parinkčių kaip sauga, išplėstiniai nustatymai ir panašiai. Kiekvienas gamintojas naudoja šiek tiek skirtingus pavadinimus, todėl neskubėkite.

Sistemose su „Intel“ procesoriais ši funkcija paprastai nurodoma kaip „Intel PTT“ arba „Intel Platform Trust Technology “. AMD sistemose ji dažnai nurodoma kaip „AMD fTPM“ arba „AMD PSP fTPM “. Ją taip pat galite matyti po tokiomis etiketėmis kaip „Saugos įrenginys“, „Saugos įrenginio palaikymas“, „TPM būsena“ arba „Patikimas skaičiavimas“.

Radę parinktį, turėsite pakeisti jos būseną į „Įjungta“, išsaugoti pakeitimus ir paleisti kompiuterį iš naujo . Po to, grįžę į „Windows“, turėtumėte matyti TPM faile tpm.msc arba „Windows“ saugos programėlėje ir patvirtinti, kad jis atitinka 2.0 specifikaciją.

Taip pat atkreipkite dėmesį, kad daugelyje įrenginių TPM veikia kartu su saugaus paleidimo sistema . Jei saugus paleidimas išjungtas, su moduliu susijusios parinktys gali būti nerodomos arba gali neveikti tinkamai. Tokiais atvejais patartina pirmiausia įjungti saugų paleidimą ir dar kartą patikrinti TPM būseną.

Kurie kompiuteriai paprastai turi TPM 2.0 ir kokie yra atitinkami reikalavimai?

Apskritai dauguma kompiuterių, pagamintų nuo 2018 m. , laikomi turinčiais integruotą TPM 2.0 arba jos atitikmenį . Jei jūsų kompiuteris yra jaunesnis nei penkerių ar šešerių metų, tikimybė, kad jis turi šią funkciją, net jei yra išjungtas, yra gana didelė.

Dar vieną užuominą pateikia procesoriai: „Intel“ procesoriai nuo aštuntos kartos paprastai yra paruošti naudoti TPM 2.0 per „Intel PTT“ , o AMD ekosistemoje įprasta, kad „Ryzen“ procesoriai nuo antros kartos integruoja fTPM su šios versijos palaikymu.

Tačiau TPM nėra vienintelis „Windows 11“ reikalavimas. Sistemai taip pat reikalingas 64 bitų procesorius su bent dviem 1 GHz branduoliais, 4 GB RAM ir 64 GB atminties . Nors pagal šiandienos standartus tai yra kuklios specifikacijos, jos netaikomos daugeliui senesnių kompiuterių, kurie vis dar gana gerai veikia su „Windows 10“.

Daugelyje vartotojų surinktų stacionarių kompiuterių vidutinės ir žemos klasės pagrindinėse plokštėse nuo prieš kelerius metus atminties modulis nebuvo standartinėje komplektacijoje, o tik jungtis jam atskirai prijungti . Tai sukūrė gana įdomią situaciją: labai galingi kompiuteriai procesoriaus ir grafikos atžvilgiu, tačiau juos stabdo mažo lusto nebuvimas.

Tie, kurie nenori arba negali įdiegti šio papildomo modulio, turi apsvarstyti, ar likti prie „Windows 10“ iki oficialaus palaikymo pabaigos, ar apsvarstyti aparatinės įrangos atnaujinimą . „Windows 10“ palaikymas tęsiasi iki 2025 m. spalio mėn., tad dar yra laiko ramiai apsispręsti.

Kas nutinka, jei jūsų kompiuteryje nėra TPM 2.0

Jei atlikus visus patikrinimus patvirtinsite, kad jūsų kompiuteryje nėra TPM 2.0 ir nėra realios galimybės jį įdiegti , jūsų pasirinkimo galimybės sumažės. Oficialiai tas kompiuteris neatitinka „Windows 11“ reikalavimų, todėl negalėsite jo įdiegti standartiniais „Microsoft“ kanalais.

Yra neoficialių būdų apeiti sistemos reikalavimų patikrinimus diegiant „Windows 11“ , pavyzdžiui, modifikuojant konfigūracijos failus arba naudojant trečiųjų šalių įrankius. Tačiau tai reiškia, kad reikia atsisakyti tam tikros pagalbos ir, dar svarbiau, paleisti sistemą be minimalaus saugumo lygio, kurį „Microsoft“ laiko būtinu.

Įrenginiuose, kuriuose nėra TPM 2.0, svarbu apsvarstyti, ar verta naudoti „Windows 10“ iki jos gyvavimo ciklo pabaigos, ištirti alternatyvas, pvz., kitas operacines sistemas, ar investuoti į modernesnį kompiuterį . Viskas priklauso nuo to, kaip naudojate kompiuterį ir kiek jums svarbus integruotas aparatinės įrangos saugumas.

Daugeliui namų vartotojų tai gali būti gera proga pasirinkti neseniai atnaujintus kompiuterius, kuriuose jau įjungta TPM 2.0 funkcija ir kurie gali sklandžiai ir pigiau naudoti „Windows 11“ nei visiškai naujas kompiuteris.

Nors iš pradžių TPM gali atrodyti kaip eilinis reikalavimas, pagrindinis jo tikslas yra geriau apsaugoti jūsų duomenis, slaptažodžius ir skaitmeninius kredencialus . Galbūt tiesiogiai su juo nesikišite, tačiau jis yra tylus visko, kas svarbu jūsų kompiuteryje, sergėtojas.