Apakah TPM 2.0 dan mengapa ia kini wajib dalam Windows 11?

Informatec Digital » Sumber » Apakah TPM 2.0 dan mengapa ia kini wajib dalam Windows 11?

Jika anda sedang berfikir untuk menaik taraf kepada Windows 11, anda mungkin pernah terjumpa mesej yang menakutkan bahawa komputer anda memerlukan TPM 2.0 diaktifkan untuk memasang sistem tersebut . Dan sudah tentu, persoalan semula jadinya ialah: apakah itu, mengapa ia kini wajib, dan apa yang berlaku jika PC saya tidak memilikinya atau ia tidak disenaraikan di mana-mana?

Dalam versi Windows terkini, komponen kecil ini telah berubah daripada hampir tidak dikenali kepada menjadi bahagian keselamatan utama dan keperluan teknikal yang penting . Ia mungkin kedengaran sangat teknikal, tetapi idea asasnya agak mudah: ia sejenis peti besi di dalam komputer anda yang menyimpan kunci kepada semua yang penting.

Apakah TPM dan apakah peranannya dalam komputer anda?

Akronim TPM bermaksud Trusted Platform Module , iaitu cip atau fungsi bersepadu dalam pemproses yang bertindak sebagai kriptopemproses yang selamat—pemproses mini yang dikhaskan khusus untuk operasi keselamatan dan penyulitan.

Modul ini bertanggungjawab untuk mencipta, menyimpan dan melindungi kunci kriptografi, kata laluan, sijil dan data sensitif lain yang diperlukan oleh sistem pengendalian bagi memastikan tiada sesiapa yang boleh mengakses maklumat anda tanpa kebenaran, walaupun mereka mempunyai akses fizikal ke komputer.

TPM bukanlah ciptaan baharu: ia telah digunakan selama bertahun-tahun dalam persekitaran profesional untuk mengukuhkan keselamatan perkakasan, terutamanya dalam syarikat dan pentadbiran awam . Walau bagaimanapun, dengan ketibaan Windows 11, ia telah menjadi keutamaan kerana Microsoft telah menjadikannya sebagai keperluan mandatori untuk memasang sistem secara rasmi.

Dari sudut fizikal, TPM boleh menjadi cip berasingan yang dipateri pada papan induk atau modul yang dipasang pada penyambung tertentu . Dalam kebanyakan peranti moden, terutamanya komputer riba, fungsi TPM telah disepadukan ke dalam CPU (Intel PTT, AMD fTPM), walaupun kadangkala ia dinyahdayakan secara lalai dan mesti diaktifkan melalui UEFI/BIOS.

Apakah sebenarnya fungsi TPM dan mengapa ia begitu penting?

Aspek TPM yang paling menarik ialah ia bertindak sebagai repositori yang selamat dan terpencil untuk kunci kriptografi dan maklumat pengesahan . Kunci yang disimpan di dalamnya tidak boleh diakses secara langsung oleh sistem pengendalian atau aplikasi; ia hanya boleh diakses melalui arahan tertentu pada cip itu sendiri.

Setiap TPM menggabungkan kunci kriptografinya sendiri, yang dipautkan ke peranti tertentu . Salah satunya ialah Kunci Pengesahan (EK), pasangan kunci RSA unik yang dijana di kilang dan disimpan di dalam cip, tidak boleh diakses oleh perisian. Kunci lain dijana daripada EK ini, seperti Kunci Akar Penyimpanan , yang digunakan sebagai asas untuk menyulitkan kunci selebihnya yang disimpan dalam modul.

Di samping itu, TPM boleh menjana Kunci Identiti Pengesahan (AIK) dengan andal, yang mengesahkan keadaan but sistem. Cip tersebut mengira hash atau ukuran firmware, UEFI dan bahagian penting sistem pengendalian semasa but dan boleh menghantar ukuran ini ke pelayan yang menyemak sama ada semuanya sepadan dengan jangkaan. Jika perubahan yang mencurigakan dikesan, peranti tersebut dianggap berpotensi dikompromi.

Hasil reka bentuk ini, TPM sangat berguna untuk melindungi daripada ancaman moden seperti serangan firmware, ransomware canggih , manipulasi but atau kecurian data melalui akses fizikal . Penyerang mungkin memegang cakera keras, tetapi tanpa kunci yang disimpan dalam TPM, data yang disulitkan tidak akan dapat digunakan.

Piawaian TPM bukan sahaja mentakrifkan cip, tetapi juga satu set spesifikasi dan arahan yang diselenggarakan oleh Trusted Computing Group (TCG) , sebuah organisasi bukan untung yang bertanggungjawab untuk mengemas kini dan mengembangkan piawaian ini untuk menyesuaikannya dengan keperluan keselamatan baharu.

TPM 1.2 vs TPM 2.0: Mengapa Windows 11 Memerlukan Versi Baharu

Selama bertahun-tahun, versi yang paling meluas ialah TPM 1.2, malah telah diseragamkan sebagai piawaian antarabangsa ISO/IEC 11889. Versi ini telah pun membenarkan perlindungan kunci, penyulitan data dan pengesahan integriti sistem, tetapi ia lebih terhad dalam algoritma penyulitan dan fungsi yang boleh ditawarkannya.

Peralihan kepada TPM 2.0 membawa peningkatan keupayaan dan fleksibiliti yang ketara . Antara penambahbaikan lain, piawaian baharu ini membolehkan penggunaan algoritma kriptografi yang berbeza secara bergantian, dan bukannya terikat secara praktikal dengan SHA-1 seperti yang berlaku dengan TPM 1.2, yang penting untuk ketahanan yang lebih baik terhadap serangan moden.

TPM 2.0 juga menggabungkan penambahbaikan dalam pengurusan kunci, perlindungan data biometrik dan pengesahan tandatangan , dan direka bentuk untuk berfungsi bukan sahaja pada PC desktop dan komputer riba, tetapi juga pada peranti dengan sumber yang lebih terhad, seperti tablet atau sistem terbenam.

Itulah sebabnya Microsoft memutuskan bahawa, untuk Windows 11, tahap keselamatan perkakasan minimum yang boleh diterima ialah TPM 2.0 . Walaupun Windows secara teknikalnya boleh berfungsi dengan TPM 1.2, ciri keselamatan paling canggih dan penambahbaikan platform masa hadapan bergantung pada keupayaan lanjutan versi 2.0.

Dalam praktiknya, ini bermakna komputer dengan TPM 1.2 mungkin dapat menjalankan Windows 11 dari segi prestasi, tetapi ia tidak akan memenuhi keperluan keselamatan sistem rasmi dan pemasangannya akan berada di luar kaedah yang disokong oleh Microsoft.

Apakah kegunaan TPM oleh Windows setiap hari?

Dalam Windows 10 dan terutamanya dalam Windows 11, TPM disepadukan dengan beberapa ciri keselamatan. Ia bukan sesuatu yang anda lihat sentiasa, tetapi ia berfungsi di latar belakang untuk melindungi data dan identiti anda.

Salah satu ciri yang paling ketara ialah BitLocker , sistem penyulitan pemacu Windows . Apabila BitLocker diaktifkan, kandungan cakera disulitkan dan kunci penyahsulitan disimpan (atau dilindungi) oleh TPM (Modul Memori Sasaran). Dengan cara ini, jika seseorang mencuri cakera keras atau komputer riba, tanpa kunci yang disimpan dalam modul, mereka tidak akan dapat mengakses data tersebut, walaupun mereka menyambungkan pemacu ke komputer lain.

TPM juga digunakan dalam Windows Hello, sistem log masuk yang menggunakan pengecaman wajah, cap jari atau PIN . Data biometrik dan kekunci yang berkaitan dikaitkan dengan perkakasan komputer anda melalui cip, menjadikannya lebih sukar untuk dicuri atau digunakan semula pada peranti lain.

Satu lagi elemen penting ialah hubungannya dengan But Selamat dan But Terukur . But Selamat memastikan bahawa hanya perisian yang ditandatangani dan dipercayai dimuatkan semasa fasa but awal, manakala But Terukur merekodkan ukuran setiap komponen yang berjalan dalam TPM. Ini membolehkan pengesanan percubaan untuk menyuntik perisian hasad ke dalam proses permulaan sistem.

Tambahan pula, Windows boleh menggabungkan TPM dengan teknologi seperti Credential Guard atau perlindungan kelayakan berasaskan virtualisasi . Dalam senario ini, kata laluan dan token akses diasingkan dalam persekitaran yang dilindungi, dan TPM bertindak sebagai akar kepercayaan kriptografi, menjadikannya lebih sukar bagi penyerang untuk mencuri kelayakan.

Kegunaan biasa yang lain termasuk kad pintar maya untuk pengesahan sumber korporat , perlindungan daripada serangan kamus apabila cuba memecahkan kata laluan atau penyimpanan sijil dan kunci yang selamat untuk sambungan VPN, e-mel yang ditandatangani secara digital dan pelayaran yang selamat.

Pelbagai jenis pelaksanaan TPM

Walaupun kita sentiasa merujuk kepada TPM seolah-olah ia adalah cip tunggal, sebenarnya terdapat beberapa cara untuk melaksanakannya, setiap satunya dengan ciri keselamatannya sendiri . Kesemuanya mematuhi spesifikasi TCG, tetapi berbeza pada tahap fizikal atau logik.

Di satu pihak, terdapat TPM diskret, iaitu cip khusus yang dipateri pada papan induk. Secara teorinya, ia adalah pilihan paling selamat, kerana ia direka bentuk untuk tahan terhadap gangguan fizikal dan mengurangkan kemungkinan ralat yang terhasil daripada perkongsian ruang dengan komponen lain.

Satu lagi pilihan yang meluas ialah TPM yang disepadukan ke dalam CPU utama , yang menggabungkan mekanisme keselamatannya sendiri dan menawarkan tahap perlindungan yang hampir dengan cip diskret, tetapi mengurangkan kos dan memberikan kemudahan kepada pengeluar.

TPM berasaskan firmware juga wujud , yang berjalan dalam persekitaran pelaksanaan CPU yang dipercayai . Ia kekal agak selamat dan, bagi pengguna biasa, menawarkan perlindungan yang mencukupi untuk kegunaan harian dan profesional.

Pada bahagian yang kurang selamat ialah TPM perisian sahaja , yang pada asasnya meniru tingkah laku modul tetapi tanpa kepercayaan yang kukuh terhadap perkakasan, menjadikannya mudah terdedah kepada serangan luaran atau kelemahan dalam sistem pengendalian itu sendiri.

Akhir sekali, dalam persekitaran virtualisasi, adalah perkara biasa untuk menggunakan TPM maya yang disediakan oleh hipervisor , yang membolehkan mesin maya mempunyai fungsi yang serupa tanpa memerlukan cip fizikal yang berasingan untuk setiap satunya.

Mengapa Windows 11 mewajibkan TPM 2.0

Perubahan besar dengan Windows 11 ialah Microsoft tidak lagi melihat TPM sebagai tambahan pilihan dan menjadikannya keperluan keselamatan teras . Ideanya ialah semua komputer yang menjalankan sistem akan mempunyai kepercayaan peringkat perkakasan untuk menahan landskap ancaman semasa dengan lebih baik.

Hari ini, serangan tidak lagi terhad kepada virus mudah; kita bercakap tentang ransomware yang canggih, perisian hasad yang melekat pada firmware, percubaan untuk mencuri kelayakan dan akses jauh yang mengeksploitasi salah konfigurasi . Dalam konteks ini, bergantung sepenuhnya pada perisian keselamatan tidak lagi mencukupi, itulah sebabnya Microsoft komited untuk mengintegrasikan perlindungan terus ke dalam perkakasan.

Dengan memerlukan TPM 2.0, Windows 11 memastikan bahawa ciri-ciri seperti BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard dan teknologi berasaskan virtualisasi lain boleh diaktifkan secara lalai , tanpa bergantung pada sama ada setiap pengilang atau pengguna memutuskan untuk mengaktifkannya atau tidak.

Dalam banyak peranti yang dikeluarkan dari tahun 2016 dan seterusnya, terutamanya komputer riba dan PC yang bertujuan untuk kegunaan perniagaan, TPM 2.0 telah pun disertakan dari kilang, walaupun kadangkala dinyahdayakan . Dalam kes lain, terutamanya dalam komputer binaan khas atau papan induk julat pertengahan dan rendah dari beberapa tahun yang lalu, modul tersebut tidak disepadukan secara lalai dan terpaksa ditambah melalui penyambung tertentu.

Inilah punca banyak aduan daripada pengguna yang mempunyai komputer yang sangat berkuasa, yang mampu menjalankan Windows 11 dengan sempurna , tetapi mendapati bahawa mereka tidak lulus penapis kerana mereka kekurangan TPM 2.0 atau telah melumpuhkannya dalam UEFI/BIOS.

Cara mengetahui sama ada PC anda mempunyai TPM 2.0 daripada Windows

Sebelum menganggap PC anda tidak serasi dengan Windows 11, adalah wajar untuk menyemak sama ada ia benar-benar mempunyai TPM 2.0 dan, jika ya, versi mana yang aktif . Windows menawarkan beberapa cara untuk melakukan ini tanpa memasang apa-apa.

Salah satu yang paling mudah ialah menggunakan Konsol Pengurusan Microsoft untuk TPM :

1. Tekan kombinasi kekunci Windows + R untuk membuka kotak dialog “Jalankan”.
2. Tulis tpm.msc (tanpa tanda petikan) dan tekan Enter.
3. Tetingkap pentadbiran Modul Platform Selamat akan dibuka.

Jika mesej seperti “TPM Serasi tidak dijumpai” atau “Tiada TPM serasi ditemui” muncul dalam tetingkap tersebut , ia mungkin bermaksud dua perkara: peranti anda tidak mempunyai modul ini atau ia telah dinyahdayakan dalam tetapan perisian tegar. Dalam kes kedua, anda perlu mengakses UEFI/BIOS untuk mendayakannya.

Sebaliknya, jika konsol menunjukkan bahawa "TPM sedia untuk digunakan" dan memaparkan maklumat pengilang , anda perlu melihat medan "Versi Spesifikasi". Jika ia menunjukkan 2.0, PC anda memenuhi keperluan ini untuk Windows 11; jika nombornya lebih rendah (contohnya, 1.2), peranti tidak akan mencapai tahap keselamatan yang diperlukan.

Alternatif lain ialah menggunakan PowerShell dengan kebenaran pentadbirBuka PowerShell sebagai pentadbir, taip arahan get-tpm dan tekan Enter. Antara data yang dipaparkan, lihat nilai TpmPresentJika ia muncul sebagai "Palsu", modul tersebut tidak terdapat pada papan induk; jika ia "Benar", ia wujud, dan anda juga boleh menyemak status dan ciri-cirinya.

Anda juga boleh menyemak aplikasi Keselamatan Windows, khususnya bahagian "Keselamatan peranti" dan "Pemproses keselamatan" . Jika bahagian ini tidak kelihatan, TPM mungkin hilang atau dilumpuhkan; jika ia kelihatan, anda boleh pergi ke "Butiran pemproses keselamatan" untuk melihat versi spesifikasi.

Cara mengaktifkan TPM 2.0 daripada UEFI/BIOS

Jika semakan anda menunjukkan bahawa TPM tidak tersedia tetapi anda mengesyaki komputer anda agak baharu, modul tersebut mungkin dinyahdayakan dalam tetapan perisian tegar . Pada kebanyakan PC binaan pengguna atau papan induk pengguna, ia dinyahdayakan secara lalai.

Untuk menukar ini, anda perlu mengakses UEFI/BIOS komputer anda dan mencari pilihan yang berkaitan dengan TPM atau keselamatan platform . Laluan yang tepat berbeza-beza bergantung pada pengilang, tetapi pada Windows, anda boleh pergi ke Tetapan > Kemas Kini & Keselamatan > Pemulihan dan menggunakan pilihan "Mulakan semula sekarang" di bawah Permulaan lanjutan.

Selepas memulakan semula, pilih Penyelesaian Masalah > Pilihan lanjutan > Tetapan Perisian Tegar UEFI > But Semula . Ini akan membawa anda ke menu perisian tegar, di mana anda harus mencari pilihan seperti keselamatan, tetapan lanjutan atau yang serupa. Setiap pengeluar menggunakan nama yang sedikit berbeza, jadi luangkan masa anda.

Pada sistem dengan pemproses Intel, ciri ini biasanya disenaraikan sebagai “Intel PTT” atau “Intel Platform Trust Technology .” Bagi AMD, ia sering dijumpai sebagai “AMD fTPM” atau “AMD PSP fTPM .” Anda juga mungkin melihatnya disenaraikan di bawah label seperti “Peranti Keselamatan,” “Sokongan Peranti Keselamatan,” “Status TPM,” atau “Pengkomputeran Dipercayai.”

Sebaik sahaja anda menemui pilihan tersebut, anda perlu menukar statusnya kepada Diaktifkan, simpan perubahan dan mulakan semula komputer anda . Selepas itu, apabila anda kembali ke Windows, anda sepatutnya dapat melihat TPM dalam tpm.msc atau aplikasi Keselamatan Windows dan mengesahkan bahawa ia memenuhi spesifikasi 2.0.

Perhatikan juga bahawa pada banyak peranti, TPM berfungsi bersama-sama dengan sistem But Selamat . Jika But Selamat dinyahdayakan, pilihan yang berkaitan dengan modul mungkin tidak dipaparkan atau mungkin tidak berfungsi dengan betul. Dalam kes sedemikian, adalah dinasihatkan untuk mendayakan But Selamat terlebih dahulu dan kemudian semak status TPM sekali lagi.

Komputer manakah yang biasanya disertakan dengan TPM 2.0 dan apakah keperluan yang disertakan?

Secara amnya, kebanyakan komputer yang dikeluarkan dari tahun 2018 dan seterusnya dianggap mempunyai TPM 2.0 bersepadu atau yang setaraf dengannya . Jika PC anda berusia kurang daripada lima atau enam tahun, kemungkinan besar ia mempunyai ciri ini, walaupun ia dimatikan.

Satu lagi petunjuk diberikan oleh pemproses: Pemproses Intel dari generasi kelapan dan seterusnya biasanya sedia untuk menggunakan TPM 2.0 melalui Intel PTT , manakala dalam ekosistem AMD, adalah perkara biasa bagi pemproses Ryzen dari generasi kedua dan seterusnya untuk mengintegrasikan fTPM dengan sokongan untuk versi ini.

Walau bagaimanapun, TPM bukanlah satu-satunya keperluan untuk Windows 11. Sistem ini juga memerlukan CPU 64-bit dengan sekurang-kurangnya dua teras pada 1 GHz, RAM 4 GB dan storan 64 GB . Walaupun ini adalah spesifikasi sederhana mengikut piawaian hari ini, ia tidak termasuk sebilangan besar komputer lama yang masih berfungsi dengan baik dengan Windows 10.

Dalam kebanyakan PC desktop binaan pengguna, papan induk julat pertengahan dan rendah dari beberapa tahun yang lalu tidak menyertakan modul memori sebagai standard, tetapi hanya penyambung untuk menambahkannya secara berasingan . Ini telah mewujudkan situasi yang agak pelik: mesin yang sangat berkuasa dari segi CPU dan grafik, tetapi terhalang oleh ketiadaan cip kecil.

Mereka yang tidak mahu atau tidak boleh memasang modul tambahan itu perlu mempertimbangkan sama ada untuk kekal dengan Windows 10 sehingga tamat sokongan rasminya atau mempertimbangkan peningkatan perkakasan . Sokongan Windows 10 dilanjutkan sehingga Oktober 2025, jadi masih ada sedikit masa untuk membuat keputusan dengan tenang.

Apa yang berlaku jika komputer anda tidak mempunyai TPM 2.0

Jika, selepas semua semakan, anda mengesahkan bahawa PC anda tidak mempunyai TPM 2.0 dan tiada kemungkinan realistik untuk menambahkannya , pilihan anda akan dikurangkan. Secara rasmi, komputer tersebut tidak memenuhi keperluan Windows 11, dan oleh itu anda tidak akan dapat memasangnya melalui saluran standard Microsoft.

Terdapat kaedah tidak rasmi untuk memintas semakan keperluan sistem semasa pemasangan Windows 11 , seperti mengubah suai fail konfigurasi atau menggunakan alat pihak ketiga. Walau bagaimanapun, ini bermakna melepaskan beberapa sokongan dan, yang lebih penting, menjalankan sistem tanpa tahap keselamatan minimum yang dianggap penting oleh Microsoft.

Pada peranti yang tidak dapat menampung TPM 2.0, adalah penting untuk mempertimbangkan sama ada lebih berbaloi untuk menggunakan Windows 10 sehingga akhir kitaran hayatnya, meneroka alternatif seperti sistem pengendalian lain atau melabur dalam komputer yang lebih moden . Semuanya bergantung pada cara anda menggunakan komputer anda dan betapa pentingnya keselamatan perkakasan bersepadu bagi anda.

Bagi kebanyakan pengguna di rumah, ini boleh menjadi peluang yang baik untuk memilih komputer yang baru diubah suai yang telah didatangkan dengan TPM 2.0 yang mampu menjalankan Windows 11 dengan lancar dan pada kos yang lebih rendah berbanding PC baharu.

Walaupun TPM pada mulanya mungkin kelihatan seperti satu lagi keperluan, tujuan utamanya adalah untuk melindungi data, kata laluan dan kelayakan digital anda dengan lebih baik . Anda mungkin tidak berinteraksi dengannya secara langsung, tetapi ia berada di sana sebagai penjaga senyap bagi semua yang penting pada komputer anda.