Hva er TPM 2.0, og hvorfor er det nå obligatorisk i Windows 11?

Informatec Digital » Ressurser » Hva er TPM 2.0, og hvorfor er det nå obligatorisk i Windows 11?

Hvis du vurderer å oppgradere til Windows 11, har du sannsynligvis kommet over den fryktede meldingen om at datamaskinen din trenger TPM 2.0 aktivert for å installere systemet . Og selvfølgelig er det naturlige spørsmålet: hva er det, hvorfor er det nå obligatorisk, og hva skjer hvis PC-en min ikke har det eller det ikke er oppført noe sted?

I de nyeste versjonene av Windows har denne lille komponenten gått fra å være nesten ukjent til å bli en viktig del av sikkerheten og et essensielt teknisk krav . Det høres kanskje veldig teknisk ut, men den underliggende ideen er ganske enkel: det er en slags safe inni datamaskinen din som inneholder nøklene til alt viktig.

Hva er TPM, og hvilken rolle spiller det på datamaskinen din?

Forkortelsen TPM står for Trusted Platform Module , som er en brikke eller integrert funksjonalitet i prosessoren som fungerer som en sikker kryptoprosessor – en miniprosessor dedikert utelukkende til sikkerhets- og krypteringsoperasjoner.

Denne modulen er ansvarlig for å opprette, lagre og beskytte kryptografiske nøkler, passord, sertifikater og andre sensitive data som operativsystemet trenger for å sikre at ingen kan få tilgang til informasjonen din uten tillatelse, selv om de har fysisk tilgang til datamaskinen.

TPM er ikke en ny oppfinnelse: det har blitt brukt i årevis i profesjonelle miljøer for å styrke maskinvaresikkerheten, spesielt i bedrifter og offentlige forvaltninger . Med ankomsten av Windows 11 har det imidlertid kommet i forgrunnen fordi Microsoft har gjort det til et obligatorisk krav for offisiell installasjon av systemet.

Fra et fysisk synspunkt kan TPM være en separat brikke loddet til hovedkortet eller en modul som kobles til en bestemt kontakt . I mange moderne enheter, spesielt bærbare datamaskiner, er TPM-funksjonalitet allerede integrert i CPU-en (Intel PTT, AMD fTPM), selv om den noen ganger er deaktivert som standard og må aktiveres via UEFI/BIOS.

Hva gjør egentlig TPM, og hvorfor er det så viktig?

Det mest interessante aspektet ved TPM er at den fungerer som et sikkert og isolert arkiv for kryptografiske nøkler og autentiseringsinformasjon . Nøklene som er lagret i den er ikke direkte tilgjengelige for operativsystemet eller applikasjoner; de kan bare nås via spesifikke kommandoer på selve brikken.

Hver TPM har sine egne kryptografiske nøkler, knyttet til den spesifikke enheten . En av disse er Endorsement Key (EK), et unikt RSA-nøkkelpar som genereres på fabrikken og lagres i brikken, utilgjengelig for programvare. Andre nøkler genereres fra denne EK, for eksempel Storage Root Key , som brukes som grunnlag for å kryptere de gjenværende nøklene som er lagret i modulen.

I tillegg kan TPM generere en Attestation Identity Key (AIK) , som pålitelig verifiserer systemets oppstartsstatus. Brikken beregner hash-verdier eller målinger av fastvaren, UEFI og kritiske deler av operativsystemet under oppstart , og kan sende disse målingene til en server som sjekker om alt samsvarer med forventningene. Hvis mistenkelige endringer oppdages, anses enheten som potensielt kompromittert.

Takket være denne designen er TPM svært nyttig for å beskytte mot moderne trusler som firmwareangrep, avansert ransomware , oppstartsmanipulasjon eller datatyveri gjennom fysisk tilgang . En angriper kan ha harddisken i hendene, men uten nøklene som er lagret i TPM, vil de krypterte dataene forbli ubrukelige.

TPM-standarden definerer ikke bare brikken, men også et helt sett med spesifikasjoner og kommandoer som vedlikeholdes av Trusted Computing Group (TCG) , en ideell organisasjon som er ansvarlig for å oppdatere og utvide disse standardene for å tilpasse dem til nye sikkerhetsbehov.

TPM 1.2 vs. TPM 2.0: Hvorfor Windows 11 krever den nye versjonen

I mange år var den mest utbredte versjonen TPM 1.2, til og med standardisert som den internasjonale standarden ISO/IEC 11889. Denne versjonen tillot allerede nøkkelbeskyttelse, datakryptering og verifisering av systemintegritet, men den var mer begrenset i krypteringsalgoritmene og funksjonene den kunne tilby.

Overgangen til TPM 2.0 medførte en betydelig oppgradering av muligheter og fleksibilitet . Blant andre forbedringer tillater den nye standarden bruk av forskjellige kryptografiske algoritmer om hverandre, i stedet for å være praktisk knyttet til SHA-1 slik tilfellet var med TPM 1.2, som er viktig for bedre motstand mot moderne angrep.

TPM 2.0 inkluderer også forbedringer i nøkkelhåndtering, biometrisk databeskyttelse og signaturverifisering , og er utviklet for å fungere ikke bare på stasjonære og bærbare PC-er, men også på enheter med mer begrensede ressurser, for eksempel nettbrett eller innebygde systemer.

Derfor bestemte Microsoft at det minste akseptable maskinvaresikkerhetsnivået for Windows 11 skulle være TPM 2.0 . Selv om Windows teknisk sett kan fungere med TPM 1.2, er de mest avanserte sikkerhetsfunksjonene og fremtidige plattformforbedringer avhengige av de utvidede funksjonene i versjon 2.0.

I praksis betyr dette at en datamaskin med TPM 1.2 kanskje kan kjøre Windows 11 ytelsesmessig, men den vil ikke oppfylle de offisielle systemsikkerhetskravene , og installasjonen vil falle utenfor Microsofts støttede metoder.

Hva bruker Windows TPM til daglig?

I Windows 10, og spesielt i Windows 11, er TPM integrert med en rekke sikkerhetsfunksjoner. Det er ikke noe du ser hele tiden, men det jobber i bakgrunnen for å beskytte dataene og identiteten din.

En av de mest synlige funksjonene er BitLocker , Windows' diskkrypteringssystem . Når BitLocker er aktivert, krypteres diskens innhold, og dekrypteringsnøkkelen lagres (eller beskyttes) av TPM (Target Memory Module). På denne måten, hvis noen stjeler harddisken eller den bærbare datamaskinen uten nøklene som er lagret i modulen, vil de ikke kunne få tilgang til dataene, selv om de kobler disken til en annen datamaskin.

TPM brukes også i Windows Hello, påloggingssystemet som bruker ansiktsgjenkjenning, fingeravtrykk eller PIN . De biometriske dataene og tilhørende nøkler er koblet til datamaskinens maskinvare via brikken, noe som gjør dem mye vanskeligere å stjele eller gjenbruke på en annen enhet.

Et annet viktig element er forholdet til Secure Boot og Measured Boot . Secure Boot sikrer at bare signert og klarert programvare lastes inn under de første oppstartsfasene, mens Measured Boot registrerer målinger av hver kjørende komponent i TPM. Dette gjør det mulig å oppdage forsøk på å injisere skadelig programvare i systemets oppstartsprosess.

Videre kan Windows kombinere TPM med teknologier som Credential Guard eller virtualiseringsbasert legitimasjonsbeskyttelse . I dette scenariet isoleres passord og tilgangstokener i et beskyttet miljø, og TPM fungerer som en kryptografisk tillitsrot, noe som gjør det mye vanskeligere for angripere å stjele legitimasjon.

Andre vanlige bruksområder inkluderer virtuelle smartkort for autentisering til bedriftsressurser , beskyttelse mot ordboksangrep ved forsøk på å knekke passord, eller sikker lagring av sertifikater og nøkler for VPN-tilkoblinger, digitalt signert e-post og sikker surfing.

Ulike typer TPM-implementering

Selv om vi alltid refererer til TPM som om det var én enkelt brikke, finnes det faktisk flere måter å implementere den på, hver med sine egne sikkerhetsfunksjoner . Alle overholder TCG-spesifikasjonene, men er forskjellige på det fysiske eller logiske nivået.

På den ene siden finnes det separate TPM-er, som er dedikerte, spesifikke brikker loddet fast på hovedkortet. I teorien er de det sikreste alternativet, ettersom de er designet for å være motstandsdyktige mot fysisk manipulering og redusere sjansene for feil som følge av deling av plass med andre komponenter.

Et annet utbredt alternativ er TPM integrert i hoved-CPU-en , som har sine egne sikkerhetsmekanismer og tilbyr et beskyttelsesnivå som ligner på den separate brikken, men som reduserer kostnader og gir produsentene større bekvemmelighet.

Det finnes også fastvarebaserte TPM-er , som kjører i CPU-ens pålitelige utførelsesmiljø . De forblir ganske sikre og tilbyr tilstrekkelig beskyttelse for daglig og profesjonell bruk for den gjennomsnittlige brukeren.

I den mindre sikre enden finner vi programvarebaserte TPM-er , som i utgangspunktet emulerer modulens oppførsel, men uten en sterk tillitsroot i maskinvaren, noe som gjør dem utsatt for eksterne angrep eller sårbarheter i selve operativsystemet.

Til slutt, i virtualiseringsmiljøer er det vanlig å bruke virtuelle TPM-er levert av hypervisoren , som lar virtuelle maskiner ha lignende funksjoner uten å trenge en separat fysisk brikke for hver enkelt.

Hvorfor Windows 11 gjør TPM 2.0 obligatorisk

Den store endringen med Windows 11 er at Microsoft ikke lenger ser på TPM som et valgfritt tillegg, men gjør det til et sentralt sikkerhetskrav . Tanken er at alle datamaskiner som kjører systemet vil ha en maskinvarenivåbasert tillitsmekanisme for å bedre motstå det nåværende trussellandskapet.

I dag er angrep ikke lenger begrenset til enkle virus; vi snakker om sofistikert ransomware, skadelig programvare som fester seg til fastvare, forsøk på å stjele legitimasjon og ekstern tilgang som utnytter feilkonfigurasjoner . I denne sammenhengen er det ikke lenger nok å bare stole på sikkerhetsprogramvare, og det er derfor Microsoft er forpliktet til å integrere beskyttelse direkte i maskinvaren.

Ved å kreve TPM 2.0 sikrer Windows 11 at funksjoner som BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard og andre virtualiseringsbaserte teknologier kan aktiveres som standard , uten å avhenge av om hver produsent eller bruker bestemmer seg for å aktivere dem eller ikke.

I mange enheter produsert fra 2016 og utover, spesielt bærbare datamaskiner og PC-er beregnet for forretningsbruk, var TPM 2.0 allerede inkludert fra fabrikken, men noen ganger deaktivert . I andre tilfeller, spesielt i spesialbygde datamaskiner eller hovedkort i mellom- og lavprissegmentet fra noen år tilbake, var ikke modulen integrert som standard og måtte legges til via en spesifikk kontakt.

Dette er kilden til mange klager fra brukere som har svært kraftige datamaskiner, fullt kapable til å kjøre Windows 11 , men som opplever at de ikke består filteret fordi de mangler TPM 2.0 eller har det deaktivert i UEFI/BIOS.

Slik finner du ut om PC-en din har TPM 2.0 fra Windows

Før du antar at PC-en din ikke er kompatibel med Windows 11, er det verdt å sjekke om den faktisk har TPM 2.0, og i så fall hvilken versjon som er aktiv . Windows tilbyr flere måter å gjøre dette på uten å installere noe.

En av de enkleste er å bruke Microsoft Management Console for TPM :

1. Trykk på tastekombinasjonen Windows + R for å åpne dialogboksen «Kjør».
2. Skriv tpm.msc (uten anførselstegn) og trykk Enter.
3. Administrasjonsvinduet for Secure Platform Module åpnes.

Hvis en melding som «Fant ikke kompatibel TPM» eller «Ingen kompatibel TPM funnet» vises i det vinduet , kan det bety to ting: enheten din har ikke denne modulen, eller den er deaktivert i fastvareinnstillingene. I det andre tilfellet må du få tilgang til UEFI/BIOS for å aktivere den.

Hvis konsollen derimot indikerer at «TPM er klar til bruk» og viser produsentinformasjon , må du se på feltet «Spesifikasjonsversjon». Hvis det viser 2.0, oppfyller PC-en din dette kravet for Windows 11. Hvis tallet er lavere (for eksempel 1.2), vil ikke enheten nå det nødvendige sikkerhetsnivået.

Et annet alternativ er å bruke PowerShell med administratorrettigheterÅpne PowerShell som administrator, skriv inn kommandoen get-tpm og trykk Enter. Se på verdien blant dataene som vises TpmPresentHvis den vises som «Falsk», er ikke modulen tilstede på hovedkortet. Hvis den er «Sann», er den tilstede, og du kan også sjekke statusen og egenskapene.

Du kan også sjekke Windows-sikkerhetsappen, spesielt delene «Enhetssikkerhet» og «Sikkerhetsprosessor» . Hvis denne delen ikke er synlig, mangler eller er TPM sannsynligvis deaktivert. Hvis den er synlig, kan du gå til «Detaljer om sikkerhetsprosessor» for å se spesifikasjonsversjonen.

Slik aktiverer du TPM 2.0 fra UEFI/BIOS

Hvis kontrollene dine indikerer at TPM ikke er tilgjengelig, men du mistenker at datamaskinen din er relativt ny, kan det hende at modulen ganske enkelt er deaktivert i fastvareinnstillingene . På mange brukerbygde PC-er eller hovedkort for forbrukere er den deaktivert som standard.

For å endre dette må du gå til datamaskinens UEFI/BIOS og finne alternativet relatert til TPM eller plattformsikkerhet . Den nøyaktige banen varierer avhengig av produsenten, men i Windows kan du gå til Innstillinger > Oppdatering og sikkerhet > Gjenoppretting og bruke alternativet «Start på nytt nå» under Avansert oppstart.

Etter omstart velger du Feilsøking > Avanserte alternativer > UEFI-fastvareinnstillinger > Omstart . Dette tar deg til fastvaremenyen, der du bør se etter alternativer som sikkerhet, avanserte innstillinger eller lignende. Hver produsent bruker litt forskjellige navn, så ta deg god tid.

På systemer med Intel-prosessorer er funksjonen vanligvis oppført som «Intel PTT» eller «Intel Platform Trust Technology ». For AMD finnes den ofte som «AMD fTPM» eller «AMD PSP fTPM ». Du kan også se den oppført under etiketter som «Sikkerhetsenhet», «Støtte for sikkerhetsenhet», «TPM-status» eller «Tillitsbasert databehandling».

Når du har funnet alternativet, må du endre statusen til Aktivert, lagre endringene og starte datamaskinen på nytt . Deretter, når du går tilbake til Windows, skal du kunne se TPM i tpm.msc eller Windows-sikkerhetsappen og bekrefte at den oppfyller 2.0-spesifikasjonen.

Merk også at TPM fungerer sammen med Secure Boot-systemet på mange enheter . Hvis Secure Boot er deaktivert, kan det hende at alternativene knyttet til modulen ikke vises eller ikke fungerer som de skal. I slike tilfeller anbefales det å først aktivere Secure Boot og deretter sjekke TPM-statusen på nytt.

Hvilke datamaskiner har vanligvis TPM 2.0, og hva er de tilhørende kravene?

Generelt sett anses de fleste datamaskiner produsert fra 2018 og utover å ha integrert TPM 2.0 eller tilsvarende . Hvis PC-en din er mindre enn fem eller seks år gammel, er det ganske stor sannsynlighet for at den har denne funksjonen, selv om den er slått av.

En annen ledetråd kommer fra prosessorene: Intel-prosessorer fra åttende generasjon og utover leveres vanligvis klare til å bruke TPM 2.0 gjennom Intel PTT , mens det i AMD-økosystemet er vanlig at Ryzen-prosessorer fra andre generasjon og utover integrerer fTPM med støtte for denne versjonen.

TPM er imidlertid ikke det eneste kravet for Windows 11. Systemet krever også en 64-bits CPU med minst to kjerner på 1 GHz, 4 GB RAM og 64 GB lagringsplass . Selv om dette er beskjedne spesifikasjoner etter dagens standarder, utelukker de en god del eldre datamaskiner som fortsatt kjører rimelig bra med Windows 10.

I mange brukerbygde stasjonære PC-er inkluderte hovedkort i mellomklassen og lavprissegmentet fra noen år siden ikke minnemodulen som standard, men bare en kontakt for å legge den til separat . Dette har skapt en ganske merkelig situasjon: svært kraftige maskiner når det gjelder CPU og grafikk, men hemmet av fraværet av en liten brikke.

De som ikke vil eller kan installere den ekstra modulen, må vurdere om de skal holde seg til Windows 10 til den offisielle støtten er over, eller vurdere en maskinvareoppgradering . Støtten for Windows 10 varer til oktober 2025, så det er fortsatt litt tid til å ta en avgjørelse i ro og mak.

Hva skjer hvis datamaskinen din ikke har TPM 2.0

Hvis du etter alle kontrollene bekrefter at PC-en din ikke har TPM 2.0, og det ikke er noen realistisk mulighet for å legge det til , er alternativene dine redusert. Offisielt oppfyller ikke den datamaskinen kravene til Windows 11, og derfor vil du ikke kunne installere den gjennom Microsofts standardkanaler.

Det finnes uoffisielle metoder for å omgå systemkravkontroller under installasjon av Windows 11 , for eksempel å endre konfigurasjonsfiler eller bruke tredjepartsverktøy. Dette betyr imidlertid at man må gi avkall på noe støtte, og enda viktigere, at man må kjøre systemet uten det minimumsnivået av sikkerhet som Microsoft anser som essensielt.

På enheter som ikke har TPM 2.0, er det viktig å vurdere om det er mer verdt å bruke Windows 10 til slutten av livssyklusen, utforske alternativer som andre operativsystemer, eller investere i en mer moderne datamaskin . Alt avhenger av hvordan du bruker datamaskinen og hvor viktig integrert maskinvaresikkerhet er for deg.

For mange hjemmebrukere kan dette være en god mulighet til å velge nylig oppussede datamaskiner som allerede leveres med TPM 2.0 aktivert , og som kan kjøre Windows 11 problemfritt og til en lavere kostnad enn en helt ny PC.

Selv om TPM i utgangspunktet kan virke som bare et krav, er hovedformålet å bedre beskytte dataene, passordene og den digitale påloggingsinformasjonen din . Du samhandler kanskje ikke direkte med den, men den er der som en stille vokter av alt som betyr noe på datamaskinen din.