O que é o TPM 2.0 e por que ele agora é obrigatório no Windows 11?

Informatec Digital » Recursos » O que é o TPM 2.0 e por que ele agora é obrigatório no Windows 11?

Se você está pensando em atualizar para o Windows 11, provavelmente já se deparou com a temida mensagem de que seu computador precisa do TPM 2.0 ativado para instalar o sistema . E, claro, a pergunta natural é: o que é isso, por que agora é obrigatório e o que acontece se meu PC não o tiver ou se ele não estiver listado em lugar nenhum?

Nas versões mais recentes do Windows, esse pequeno componente passou de quase desconhecido a peça-chave de segurança e requisito técnico essencial . Pode parecer muito técnico, mas a ideia básica é bastante simples: é uma espécie de cofre dentro do seu computador que guarda as chaves de tudo o que é importante.

O que é TPM e qual o seu papel no seu computador?

A sigla TPM significa Trusted Platform Module (Módulo de Plataforma Confiável) , que é um chip ou funcionalidade integrada dentro do processador que atua como um criptoprocessador seguro — um miniprocessador dedicado exclusivamente a operações de segurança e criptografia.

Este módulo é responsável por criar, armazenar e proteger chaves criptográficas, senhas, certificados e outros dados sensíveis que o sistema operacional precisa para garantir que ninguém possa acessar suas informações sem permissão, mesmo que tenha acesso físico ao computador.

O TPM não é uma invenção nova: ele é usado há anos em ambientes profissionais para reforçar a segurança do hardware, principalmente em empresas e administrações públicas . No entanto, com a chegada do Windows 11, ele ganhou destaque porque a Microsoft o tornou um requisito obrigatório para a instalação oficial do sistema.

Do ponto de vista físico, o TPM pode ser um chip separado soldado à placa-mãe ou um módulo que se conecta a um conector específico . Em muitos dispositivos modernos, especialmente laptops, a funcionalidade TPM já está integrada à CPU (Intel PTT, AMD fTPM), embora às vezes esteja desativada por padrão e precise ser ativada por meio da UEFI/BIOS.

O que o TPM realmente faz e por que é tão importante?

O aspecto mais interessante do TPM é que ele funciona como um repositório seguro e isolado para chaves criptográficas e informações de autenticação . As chaves armazenadas nele não são diretamente acessíveis pelo sistema operacional ou pelos aplicativos; elas só podem ser acessadas por meio de comandos específicos no próprio chip.

Cada TPM incorpora suas próprias chaves criptográficas, vinculadas ao dispositivo específico . Uma delas é a Chave de Endosso (EK), um par de chaves RSA exclusivo gerado na fábrica e armazenado dentro do chip, inacessível ao software. Outras chaves são geradas a partir dessa EK, como a Chave Raiz de Armazenamento , que é usada como base para criptografar as demais chaves armazenadas no módulo.

Além disso, o TPM pode gerar uma Chave de Identidade de Atestado (AIK) , que verifica de forma confiável o estado de inicialização do sistema. O chip calcula hashes ou medições do firmware, UEFI e partes críticas do sistema operacional durante a inicialização e pode enviar essas medições para um servidor que verifica se tudo corresponde ao esperado. Se forem detectadas alterações suspeitas, o dispositivo é considerado potencialmente comprometido.

Graças a esse design, o TPM é muito útil para proteger contra ameaças modernas, como ataques de firmware, ransomware avançado , manipulação de inicialização ou roubo de dados por meio de acesso físico . Um invasor pode ter o disco rígido em mãos, mas sem as chaves armazenadas no TPM, os dados criptografados permanecerão inutilizáveis.

O padrão TPM não define apenas o chip, mas também todo um conjunto de especificações e comandos mantidos pelo Trusted Computing Group (TCG) , uma organização sem fins lucrativos responsável por atualizar e expandir esses padrões para adaptá-los às novas necessidades de segurança.

TPM 1.2 vs TPM 2.0: Por que o Windows 11 exige a nova versão?

Durante muitos anos, a versão mais difundida foi o TPM 1.2, inclusive padronizado como a norma internacional ISO/IEC 11889. Essa versão já permitia proteção de chaves, criptografia de dados e verificação da integridade do sistema, mas era mais limitada em seus algoritmos de criptografia e nas funções que podia oferecer.

A transição para o TPM 2.0 trouxe uma atualização significativa em termos de recursos e flexibilidade . Entre outras melhorias, o novo padrão permite o uso intercambiável de diferentes algoritmos criptográficos, em vez de ficar praticamente vinculado ao SHA-1, como era o caso do TPM 1.2, o que é essencial para uma melhor resistência a ataques modernos.

O TPM 2.0 também incorpora melhorias no gerenciamento de chaves, proteção de dados biométricos e verificação de assinaturas , e foi projetado para funcionar não apenas em computadores desktop e laptops, mas também em dispositivos com recursos mais limitados, como tablets ou sistemas embarcados.

Por isso, a Microsoft decidiu que, para o Windows 11, o nível mínimo aceitável de segurança de hardware seria o TPM 2.0 . Embora o Windows possa tecnicamente funcionar com o TPM 1.2, os recursos de segurança mais avançados e as futuras melhorias da plataforma dependem das capacidades ampliadas da versão 2.0.

Na prática, isso significa que um computador com TPM 1.2 pode até conseguir executar o Windows 11 em termos de desempenho, mas não atenderá aos requisitos oficiais de segurança do sistema , e a instalação ficará fora dos métodos suportados pela Microsoft.

Para que o Windows usa o TPM no dia a dia?

No Windows 10 e, principalmente, no Windows 11, o TPM está integrado a diversos recursos de segurança. Não é algo que você veja constantemente, mas está funcionando em segundo plano para proteger seus dados e sua identidade.

Uma das funcionalidades mais visíveis é o BitLocker , o sistema de criptografia de disco do Windows . Quando o BitLocker está ativado, o conteúdo do disco é criptografado e a chave de descriptografia é armazenada (ou protegida) pelo TPM (Módulo de Memória de Destino). Dessa forma, se alguém roubar o disco rígido ou o laptop, sem as chaves armazenadas no módulo, não conseguirá acessar os dados, mesmo que conecte o disco a outro computador.

O TPM também é usado no Windows Hello, o sistema de login que utiliza reconhecimento facial, impressão digital ou PIN . Os dados biométricos e as chaves associadas são vinculados ao hardware do seu computador por meio do chip, tornando-os muito mais difíceis de roubar ou reutilizar em outro dispositivo.

Outro elemento fundamental é a sua relação com o Secure Boot e o Measured Boot . O Secure Boot garante que apenas software assinado e confiável seja carregado durante as fases iniciais de inicialização, enquanto o Measured Boot registra as medições de cada componente em execução no TPM. Isso permite a detecção de tentativas de injeção de malware no processo de inicialização do sistema.

Além disso, o Windows pode combinar o TPM com tecnologias como o Credential Guard ou a proteção de credenciais baseada em virtualização . Nesse cenário, as senhas e os tokens de acesso são isolados em um ambiente protegido, e o TPM atua como uma raiz de confiança criptográfica, tornando muito mais difícil para os invasores roubarem credenciais.

Outros usos comuns incluem cartões inteligentes virtuais para autenticação em recursos corporativos , proteção contra ataques de dicionário ao tentar quebrar senhas ou armazenamento seguro de certificados e chaves para conexões VPN, e-mails com assinatura digital e navegação segura.

Diferentes tipos de implementação de TPM

Embora sempre nos refiramos ao TPM como se fosse um único chip, existem, na verdade, várias maneiras de implementá-lo, cada uma com seus próprios recursos de segurança . Todas elas seguem as especificações do TCG, mas diferem no nível físico ou lógico.

Por um lado, existem os TPMs discretos, que são chips dedicados e específicos soldados à placa-mãe. Em teoria, eles são a opção mais segura, pois são projetados para resistir a adulterações físicas e reduzir as chances de erros resultantes do compartilhamento de espaço com outros componentes.

Outra opção bastante comum é o TPM integrado à CPU principal , que incorpora seus próprios mecanismos de segurança e oferece um nível de proteção próximo ao do chip discreto, porém reduzindo custos e proporcionando mais conveniência aos fabricantes.

Existem também TPMs baseados em firmware , que funcionam dentro do ambiente de execução confiável da CPU . Eles permanecem bastante seguros e, para o usuário médio, oferecem proteção suficiente para o uso diário e profissional.

Na extremidade menos segura estão os TPMs puramente de software , que basicamente emulam o comportamento do módulo, mas sem uma forte base de confiança no hardware, tornando-os suscetíveis a ataques externos ou vulnerabilidades no próprio sistema operacional.

Por fim, em ambientes de virtualização, é comum usar TPMs virtuais fornecidos pelo hipervisor , o que permite que as máquinas virtuais tenham funções semelhantes sem a necessidade de um chip físico separado para cada uma.

Por que o Windows 11 torna o TPM 2.0 obrigatório

A grande mudança no Windows 11 é que a Microsoft deixou de considerar o TPM um recurso opcional e passou a considerá-lo um requisito fundamental de segurança . A ideia é que todos os computadores que executam o sistema tenham uma raiz de confiança em nível de hardware para melhor resistir ao cenário atual de ameaças.

Hoje, os ataques não se limitam mais a simples vírus; estamos falando de ransomware sofisticado, malware que se instala no firmware, tentativas de roubo de credenciais e acesso remoto que explora falhas de configuração . Nesse contexto, confiar apenas em software de segurança já não é suficiente, e é por isso que a Microsoft está empenhada em integrar a proteção diretamente no hardware.

Ao exigir o TPM 2.0, o Windows 11 garante que recursos como BitLocker, Windows Hello, Inicialização Segura, Inicialização Medida, Credential Guard e outras tecnologias baseadas em virtualização possam ser ativados por padrão , sem depender da decisão de cada fabricante ou usuário em ativá-los ou não.

Em muitos dispositivos fabricados a partir de 2016, especialmente laptops e PCs destinados ao uso empresarial, o TPM 2.0 já vinha incluído de fábrica, embora às vezes desativado . Em outros casos, particularmente em computadores personalizados ou placas-mãe de gama média e baixa de alguns anos atrás, o módulo não era integrado por padrão e precisava ser adicionado por meio de um conector específico.

Essa é a origem de muitas reclamações de usuários que possuem computadores muito potentes, perfeitamente capazes de executar o Windows 11 , mas que descobrem que não passam pelo filtro porque não possuem TPM 2.0 ou o têm desativado na UEFI/BIOS.

Como verificar se o seu PC possui TPM 2.0 no Windows

Antes de presumir que seu PC não é compatível com o Windows 11, vale a pena verificar se ele realmente possui TPM 2.0 e, em caso afirmativo, qual versão está ativa . O Windows oferece várias maneiras de fazer isso sem instalar nada.

Uma das maneiras mais simples é usar o Console de Gerenciamento da Microsoft para TPM :

1. Pressione a combinação de teclas Windows + R Para abrir a caixa de diálogo “Executar”.
2. Escreva tpm.msc (sem aspas) e pressione Enter.
3. A janela de administração do Módulo de Plataforma Segura será aberta.

Se uma mensagem como “TPM compatível não encontrado” ou “Nenhum TPM compatível encontrado” aparecer nessa janela , pode significar duas coisas: seu dispositivo não possui esse módulo ou ele está desativado nas configurações do firmware. No segundo caso, você precisará acessar a UEFI/BIOS para ativá-lo.

Se, por outro lado, o console indicar que "TPM está pronto para uso" e exibir informações do fabricante , você precisará verificar o campo "Versão da especificação". Se mostrar 2.0, seu PC atende a esse requisito para o Windows 11; se o número for menor (por exemplo, 1.2), o dispositivo não atingirá o nível de segurança necessário.

Outra alternativa é usar PowerShell com permissões de administradorAbra o PowerShell como administrador e digite o comando. get-tpm e pressione Enter. Entre os dados exibidos, observe o valor. TpmPresenteSe aparecer como “Falso”, o módulo não está presente na placa-mãe; se aparecer como “Verdadeiro”, ele está presente e você também pode verificar seu status e características.

Você também pode verificar o aplicativo Segurança do Windows, especificamente as seções "Segurança do dispositivo" e "Processador de segurança" . Se esta seção não estiver visível, é provável que o TPM esteja ausente ou desativado; se estiver visível, você pode acessar "Detalhes do processador de segurança" para ver a versão da especificação.

Como ativar o TPM 2.0 a partir da UEFI/BIOS

Se suas verificações indicarem que o TPM está indisponível, mas você suspeitar que seu computador seja relativamente novo, o módulo pode simplesmente estar desativado nas configurações do firmware . Em muitos PCs montados pelo usuário ou placas-mãe de consumo, ele vem desativado por padrão.

Para alterar isso, você precisará acessar a UEFI/BIOS do seu computador e localizar a opção relacionada ao TPM ou à segurança da plataforma . O caminho exato varia dependendo do fabricante, mas no Windows, você pode ir em Configurações > Atualização e Segurança > Recuperação e usar a opção "Reiniciar agora" em Inicialização avançada.

Após reiniciar, selecione Solução de problemas > Opções avançadas > Configurações de firmware UEFI > Reiniciar . Isso o levará ao menu do firmware, onde você deverá procurar opções como segurança, configurações avançadas ou similares. Cada fabricante usa nomes ligeiramente diferentes, então não tenha pressa.

Em sistemas com processadores Intel, o recurso geralmente é listado como “Intel PTT” ou “Intel Platform Trust Technology ”. Para AMD, costuma ser encontrado como “AMD fTPM” ou “AMD PSP fTPM ”. Você também pode encontrá-lo listado sob rótulos como “Dispositivo de segurança”, “Suporte a dispositivo de segurança”, “Status do TPM” ou “Computação confiável”.

Depois de localizar a opção, você precisará alterar o status dela para Ativado, salvar as alterações e reiniciar o computador . Em seguida, ao retornar ao Windows, você deverá conseguir visualizar o TPM em tpm.msc ou no aplicativo Segurança do Windows e confirmar que ele atende à especificação 2.0.

Observe também que, em muitos dispositivos, o TPM funciona em conjunto com o sistema Secure Boot . Se o Secure Boot estiver desativado, as opções relacionadas ao módulo podem não ser exibidas ou podem não funcionar corretamente. Nesses casos, é recomendável primeiro ativar o Secure Boot e, em seguida, verificar novamente o status do TPM.

Quais computadores normalmente incluem o TPM 2.0 e quais são os requisitos necessários?

Em geral, considera-se que a maioria dos computadores fabricados a partir de 2018 possui TPM 2.0 integrado ou equivalente . Se o seu PC tem menos de cinco ou seis anos, as chances são bastante altas de que ele tenha esse recurso, mesmo que esteja desativado.

Outra pista é fornecida pelos processadores: os processadores Intel da oitava geração em diante geralmente vêm prontos para usar o TPM 2.0 por meio do Intel PTT , enquanto no ecossistema AMD é comum que os processadores Ryzen da segunda geração em diante integrem o fTPM com suporte para esta versão.

No entanto, o TPM não é o único requisito para o Windows 11. O sistema também requer uma CPU de 64 bits com pelo menos dois núcleos a 1 GHz, 4 GB de RAM e 64 GB de armazenamento . Embora essas sejam especificações modestas para os padrões atuais, elas excluem um bom número de computadores mais antigos que ainda funcionam razoavelmente bem com o Windows 10.

Em muitos computadores desktop montados por usuários, placas-mãe de gama média e baixa de alguns anos atrás não incluíam o módulo de memória como padrão, mas apenas um conector para adicioná-lo separadamente . Isso criou uma situação bastante curiosa: máquinas muito poderosas em termos de CPU e gráficos, mas limitadas pela ausência de um pequeno chip.

Quem não quiser ou não puder instalar esse módulo adicional precisa considerar se deve continuar com o Windows 10 até o fim do suporte oficial ou se deve pensar em atualizar o hardware . O suporte ao Windows 10 vai até outubro de 2025, então ainda há tempo para tomar uma decisão com calma.

O que acontece se o seu computador não tiver TPM 2.0?

Se, após todas as verificações, você confirmar que seu PC não possui TPM 2.0 e não há possibilidade realista de adicioná-lo , suas opções se reduzem. Oficialmente, esse computador não atende aos requisitos do Windows 11 e, portanto, você não poderá instalá-lo pelos canais padrão da Microsoft.

Existem métodos não oficiais para contornar as verificações de requisitos de sistema durante a instalação do Windows 11 , como modificar arquivos de configuração ou usar ferramentas de terceiros. No entanto, isso significa abrir mão de algum suporte e, mais importante, executar o sistema sem o nível mínimo de segurança que a Microsoft considera essencial.

Em dispositivos que não suportam um TPM 2.0, é importante considerar se vale mais a pena usar o Windows 10 até o fim do seu ciclo de vida, explorar alternativas como outros sistemas operacionais ou investir em um computador mais moderno . Tudo depende de como você usa o computador e da importância que a segurança integrada do hardware tem para você.

Para muitos usuários domésticos, esta pode ser uma boa oportunidade para optar por computadores recondicionados recentemente que já vêm com o TPM 2.0 ativado , capazes de executar o Windows 11 sem problemas e a um custo menor do que um PC novo.

Embora o TPM possa inicialmente parecer apenas mais um requisito, seu principal objetivo é proteger melhor seus dados, senhas e credenciais digitais . Você pode não interagir diretamente com ele, mas ele está lá como um guardião silencioso de tudo o que importa em seu computador.