Что такое TPM 2.0 и почему он теперь является обязательным в Windows 11?

Информатек Диджитал » Ресурсы » Что такое TPM 2.0 и почему он теперь является обязательным в Windows 11?

Если вы подумываете об обновлении до Windows 11, вы, вероятно, сталкивались с неприятным сообщением о том, что для установки системы вашему компьютеру необходимо включить TPM 2.0 . И, конечно же, возникает естественный вопрос: что это такое, почему это теперь обязательно, и что произойдет, если на моем компьютере его нет или он нигде не указан?

В последних версиях Windows этот небольшой компонент, ранее практически неизвестный, превратился в ключевой элемент безопасности и необходимое техническое требование . Звучит очень технически, но основная идея довольно проста: это своего рода сейф внутри вашего компьютера, хранящий ключи ко всему важному.

Что такое TPM и какую роль он играет в вашем компьютере?

Аббревиатура TPM расшифровывается как Trusted Platform Module (доверенный платформенный модуль ) и представляет собой микросхему или интегрированный функциональный компонент в процессоре, который действует как защищенный криптопроцессор — мини-процессор, предназначенный исключительно для операций обеспечения безопасности и шифрования.

Этот модуль отвечает за создание, хранение и защиту криптографических ключей, паролей, сертификатов и других конфиденциальных данных , необходимых операционной системе для обеспечения невозможности несанкционированного доступа к вашей информации, даже при наличии физического доступа к компьютеру.

TPM — не новое изобретение: он уже много лет используется в профессиональной среде для повышения безопасности оборудования, особенно в компаниях и государственных учреждениях . Однако с появлением Windows 11 он вышел на первый план, поскольку Microsoft сделала его обязательным требованием для официальной установки системы.

С физической точки зрения, TPM может представлять собой отдельный чип, припаянный к материнской плате, или модуль, подключаемый к специальному разъему . Во многих современных устройствах, особенно в ноутбуках, функциональность TPM уже интегрирована в процессор (Intel PTT, AMD fTPM), хотя иногда она отключена по умолчанию и должна быть включена через UEFI/BIOS.

Что на самом деле делает TPM и почему это так важно?

Наиболее интересным аспектом TPM является то, что он выступает в качестве безопасного и изолированного хранилища криптографических ключей и информации для аутентификации . Ключи, хранящиеся в нем, недоступны напрямую операционной системе или приложениям; доступ к ним возможен только с помощью специальных команд на самом чипе.

Каждый модуль TPM содержит собственные криптографические ключи, привязанные к конкретному устройству . Один из них — ключ подтверждения (EK), уникальная пара ключей RSA, генерируемая на заводе и хранящаяся внутри чипа, недоступная для программного обеспечения. Другие ключи генерируются на основе этого EK, например, корневой ключ хранилища (Storage Root Key ), который используется в качестве основы для шифрования остальных ключей, хранящихся в модуле.

Кроме того, TPM может генерировать ключ аттестации (AIK) , который надежно проверяет состояние загрузки системы. Чип вычисляет хеши или измерения прошивки, UEFI и критически важных частей операционной системы во время загрузки и может отправлять эти измерения на сервер, который проверяет, соответствует ли все ожиданиям. Если обнаруживаются подозрительные изменения, устройство считается потенциально скомпрометированным.

Благодаря такой конструкции, TPM очень полезен для защиты от современных угроз, таких как атаки на встроенное ПО, сложные программы-вымогатели , манипуляции с загрузкой или кража данных путем физического доступа . Злоумышленник может получить доступ к жесткому диску, но без ключей, хранящихся в TPM, зашифрованные данные останутся непригодными для использования.

Стандарт TPM определяет не только сам чип, но и целый набор спецификаций и команд, поддерживаемых Trusted Computing Group (TCG) , некоммерческой организацией, ответственной за обновление и расширение этих стандартов для адаптации их к новым потребностям в области безопасности.

TPM 1.2 против TPM 2.0: почему Windows 11 требует новую версию

В течение многих лет наиболее распространенной версией была TPM 1.2, даже стандартизированная как международный стандарт ISO/IEC 11889. Эта версия уже позволяла защищать ключи, шифровать данные и проверять целостность системы, но она была более ограничена в своих алгоритмах шифрования и предлагаемых функциях.

Переход на TPM 2.0 значительно расширил возможности и повысил гибкость . Среди прочих улучшений, новый стандарт позволяет взаимозаменяемо использовать различные криптографические алгоритмы, вместо того чтобы быть практически привязанным к SHA-1, как это было в случае с TPM 1.2, что крайне важно для повышения устойчивости к современным атакам.

TPM 2.0 также включает в себя улучшения в управлении ключами, защите биометрических данных и проверке подписи , и предназначен для работы не только на настольных и портативных ПК, но и на устройствах с более ограниченными ресурсами, таких как планшеты или встроенные системы.

Именно поэтому Microsoft решила, что для Windows 11 минимально приемлемым уровнем аппаратной безопасности будет TPM 2.0 . Хотя Windows технически может работать и с TPM 1.2, самые передовые функции безопасности и будущие улучшения платформы зависят от расширенных возможностей версии 2.0.

На практике это означает, что компьютер с TPM 1.2 может работать под управлением Windows 11 с точки зрения производительности, но он не будет соответствовать официальным требованиям безопасности системы , и установка будет осуществляться не по методам, поддерживаемым Microsoft.

Для чего Windows использует TPM в повседневной работе?

В Windows 10 и, особенно, в Windows 11 модуль TPM интегрирован с рядом функций безопасности. Это не то, что вы видите постоянно, но он работает в фоновом режиме, защищая ваши данные и вашу личность.

Одна из наиболее заметных функций — BitLocker , система шифрования дисков Windows . При включении BitLocker содержимое диска шифруется, а ключ расшифровки хранится (или защищается) модулем целевой памяти (TPM). Таким образом, если кто-то украдет жесткий диск или ноутбук без ключей, хранящихся в модуле, он не сможет получить доступ к данным, даже если подключит диск к другому компьютеру.

Модуль TPM также используется в Windows Hello, системе входа в систему, использующей распознавание лиц, отпечатков пальцев или PIN-код . Биометрические данные и связанные с ними ключи привязываются к аппаратному обеспечению вашего компьютера через чип, что значительно затрудняет их кражу или повторное использование на другом устройстве.

Ещё одним ключевым элементом является его связь с Secure Boot и Measured Boot . Secure Boot гарантирует загрузку только подписанного и доверенного программного обеспечения на начальных этапах загрузки, в то время как Measured Boot записывает измерения каждого работающего компонента в TPM. Это позволяет обнаруживать попытки внедрения вредоносного ПО в процесс запуска системы.

Кроме того, Windows может комбинировать TPM с такими технологиями, как Credential Guard или защита учетных данных на основе виртуализации . В этом сценарии пароли и токены доступа изолируются в защищенной среде, а TPM выступает в качестве криптографического корня доверия, что значительно затрудняет кражу учетных данных злоумышленниками.

Среди других распространенных применений — виртуальные смарт-карты для аутентификации при доступе к корпоративным ресурсам , защита от словарных атак при попытке взлома паролей, а также безопасное хранение сертификатов и ключей для VPN-соединений, электронной почты с цифровой подписью и безопасного просмотра веб-страниц.

Различные типы внедрения TPM

Хотя мы всегда говорим о TPM как о едином чипе, на самом деле существует несколько способов его реализации, каждый из которых имеет свои особенности безопасности . Все они соответствуют спецификациям TCG, но различаются на физическом или логическом уровне.

С одной стороны, существуют дискретные TPM-модули, представляющие собой специализированные микросхемы, припаянные к материнской плате. Теоретически, это самый безопасный вариант, поскольку они разработаны таким образом, чтобы быть устойчивыми к физическому вмешательству и снижать вероятность ошибок, возникающих из-за совместного использования пространства с другими компонентами.

Еще один распространенный вариант — это модуль TPM, интегрированный в основной процессор , который включает в себя собственные механизмы безопасности и обеспечивает уровень защиты, близкий к уровню дискретного чипа, но при этом снижает затраты и повышает удобство для производителей.

Существуют также модули TPM на основе встроенного программного обеспечения , работающие в доверенной среде выполнения процессора . Они остаются достаточно безопасными и для обычного пользователя обеспечивают достаточную защиту для повседневного и профессионального использования.

К менее защищенным относятся программные TPM-модули , которые, по сути, имитируют поведение модуля, но без надежного источника доверия к оборудованию, что делает их уязвимыми для внешних атак или уязвимостей в самой операционной системе.

Наконец, в средах виртуализации часто используются виртуальные TPM-модули, предоставляемые гипервизором , что позволяет виртуальным машинам выполнять схожие функции без необходимости в отдельном физическом чипе для каждой из них.

Почему Windows 11 делает TPM 2.0 обязательным

Главное изменение в Windows 11 заключается в том, что Microsoft больше не рассматривает TPM как необязательную опцию и делает его ключевым требованием безопасности . Идея состоит в том, что все компьютеры, работающие под управлением этой системы, будут иметь аппаратный корень доверия, чтобы лучше противостоять современным угрозам.

Сегодня атаки уже не ограничиваются простыми вирусами; речь идёт о сложных программах-вымогателях, вредоносном ПО, внедряющемся в микропрограммы, попытках кражи учётных данных и удалённом доступе с использованием неправильных настроек . В этом контексте полагаться исключительно на программное обеспечение безопасности уже недостаточно, поэтому Microsoft стремится интегрировать защиту непосредственно в оборудование.

Требование использования TPM 2.0 гарантирует, что такие функции, как BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard и другие технологии виртуализации, могут быть включены по умолчанию , независимо от того, решит ли каждый производитель или пользователь активировать их или нет.

Во многих устройствах, выпущенных начиная с 2016 года, особенно в ноутбуках и ПК, предназначенных для корпоративного использования, модуль TPM 2.0 уже был установлен на заводе, хотя иногда и отключен . В других случаях, особенно в компьютерах, собранных на заказ, или в материнских платах среднего и низкого ценового сегмента, выпущенных несколько лет назад, модуль не был интегрирован по умолчанию и его приходилось добавлять через специальный разъем.

Это является причиной многочисленных жалоб от пользователей, имеющих очень мощные компьютеры, вполне способные запускать Windows 11 , но обнаруживающих, что они не проходят фильтр из-за отсутствия TPM 2.0 или его отключения в UEFI/BIOS.

Как определить наличие модуля TPM 2.0 в вашем ПК через Windows

Прежде чем считать, что ваш компьютер несовместим с Windows 11, стоит проверить, есть ли в нём TPM 2.0 и, если да, то какая версия активна . Windows предлагает несколько способов сделать это без установки каких-либо дополнительных программ.

Один из самых простых способов — использовать консоль управления Microsoft для TPM :

1. Нажмите комбинацию клавиш. Windows + R чтобы открыть диалоговое окно «Выполнить».
2. Напишите tpm.msc (без кавычек) и нажмите Enter.
3. Откроется окно администрирования модуля защищенной платформы.

Если в этом окне появляется сообщение типа «Совместимый TPM не найден» или «Совместимый TPM не найден» , это может означать две вещи: в вашем устройстве отсутствует этот модуль, или он отключен в настройках прошивки. Во втором случае вам потребуется получить доступ к UEFI/BIOS, чтобы включить его.

Если же консоль показывает, что «TPM готов к использованию» и отображает информацию от производителя , вам нужно посмотреть на поле «Версия спецификации». Если отображается 2.0, ваш ПК соответствует этому требованию для Windows 11; если число ниже (например, 1.2), устройство не достигнет требуемого уровня безопасности.

Другой альтернативой является использование PowerShell с правами администратораОткройте PowerShell от имени администратора и введите команду. get-tpm и нажмите Enter. Среди отображаемых данных обратите внимание на значение. ТпмпрезентЕсли отображается «False», модуль отсутствует на материнской плате; если «True», он присутствует, и вы также можете проверить его состояние и характеристики.

Вы также можете проверить приложение «Безопасность Windows», в частности разделы «Безопасность устройства» и «Процессор безопасности» . Если этот раздел не отображается, скорее всего, отсутствует или отключен модуль TPM; если он отображается, вы можете перейти в раздел «Подробности о процессоре безопасности», чтобы увидеть версию спецификации.

Как активировать TPM 2.0 через UEFI/BIOS

Если проверка показывает, что модуль TPM недоступен, но вы подозреваете, что ваш компьютер относительно новый, возможно, этот модуль просто отключен в настройках прошивки . На многих компьютерах, собранных пользователями, или потребительских материнских платах он отключен по умолчанию.

Чтобы это изменить, вам потребуется получить доступ к UEFI/BIOS вашего компьютера и найти параметр, связанный с TPM или безопасностью платформы . Точный путь зависит от производителя, но в Windows вы можете перейти в «Параметры» > «Обновление и безопасность» > «Восстановление» и использовать параметр «Перезагрузить сейчас» в разделе «Дополнительные параметры запуска».

После перезагрузки выберите «Устранение неполадок» > «Дополнительные параметры» > «Параметры прошивки UEFI» > «Перезагрузка» . Это переведет вас в меню прошивки, где вам следует найти такие параметры, как безопасность, дополнительные настройки или аналогичные. У каждого производителя используются немного разные названия, поэтому не торопитесь.

В системах с процессорами Intel эта функция обычно обозначается как «Intel PTT» или «Intel Platform Trust Technology ». В системах AMD она часто обозначается как «AMD fTPM» или «AMD PSP fTPM ». Также она может быть указана под такими метками, как «Устройство безопасности», «Поддержка устройства безопасности», «Статус TPM» или «Доверенные вычисления».

Найдя нужную опцию, измените её статус на «Включено», сохраните изменения и перезагрузите компьютер . После этого, вернувшись в Windows, вы сможете увидеть TPM в tpm.msc или в приложении «Безопасность Windows» и убедиться, что он соответствует спецификации 2.0.

Также следует отметить, что на многих устройствах TPM работает совместно с системой Secure Boot . Если Secure Boot отключен, параметры, связанные с модулем, могут не отображаться или работать некорректно. В таких случаях рекомендуется сначала включить Secure Boot, а затем снова проверить состояние TPM.

Какие компьютеры обычно оснащены модулем TPM 2.0 и каковы соответствующие требования?

В целом, большинство компьютеров, выпущенных с 2018 года, считаются оснащенными встроенным модулем TPM 2.0 или его аналогом . Если вашему ПК меньше пяти-шести лет, высока вероятность того, что он имеет эту функцию, даже если она отключена.

Ещё одна подсказка исходит от процессоров: процессоры Intel, начиная с восьмого поколения, обычно готовы к использованию TPM 2.0 через Intel PTT , в то время как в экосистеме AMD процессоры Ryzen, начиная со второго поколения, часто интегрируют fTPM с поддержкой этой версии.

Однако TPM — не единственное требование для Windows 11. Система также требует 64-битный процессор как минимум с двумя ядрами, работающий на частоте 1 ГГц, 4 ГБ оперативной памяти и 64 ГБ дискового пространства . Хотя по сегодняшним меркам это скромные характеристики, они исключают из списка необходимых компонентов значительное количество старых компьютеров, которые всё ещё неплохо работают с Windows 10.

Во многих собранных пользователями настольных ПК материнские платы среднего и низкого ценового сегмента, выпущенные несколько лет назад, не включали модуль памяти в стандартную комплектацию, а только разъем для его отдельной установки . Это создало довольно любопытную ситуацию: очень мощные машины с точки зрения процессора и графики, но ограниченные в своих возможностях из-за отсутствия небольшого чипа.

Тем, кто не хочет или не может установить этот дополнительный модуль, следует подумать, оставаться ли с Windows 10 до окончания её официальной поддержки или рассмотреть возможность обновления оборудования . Поддержка Windows 10 продлится до октября 2025 года, так что ещё есть время спокойно принять решение.

Что произойдет, если в вашем компьютере нет модуля TPM 2.0?

Если после всех проверок вы подтвердите, что ваш компьютер не имеет TPM 2.0 и нет реальной возможности его добавить , ваши возможности сузятся. Официально этот компьютер не соответствует требованиям Windows 11, и поэтому вы не сможете установить её через стандартные каналы Microsoft.

Существуют неофициальные методы обхода проверок системных требований во время установки Windows 11 , такие как изменение конфигурационных файлов или использование сторонних инструментов. Однако это означает отказ от некоторой поддержки и, что более важно, запуск системы без минимального уровня безопасности, который Microsoft считает необходимым.

На устройствах, не поддерживающих TPM 2.0, важно решить, стоит ли использовать Windows 10 до конца её жизненного цикла, изучить альтернативы, такие как другие операционные системы, или инвестировать в более современный компьютер . Всё зависит от того, как вы используете свой компьютер и насколько важна для вас встроенная аппаратная безопасность.

Для многих домашних пользователей это может стать хорошей возможностью выбрать недавно восстановленные компьютеры, которые уже оснащены модулем TPM 2.0 , способны плавно запускать Windows 11 и стоят дешевле, чем новый ПК.

Хотя TPM на первый взгляд может показаться просто еще одним обязательным требованием, его основная цель — обеспечить лучшую защиту ваших данных, паролей и цифровых учетных данных . Возможно, вы не взаимодействуете с ним напрямую, но он выступает в роли молчаливого хранителя всего важного на вашем компьютере.