Čo je TPM 2.0 a prečo je teraz povinný v systéme Windows 11?

Informatec Digital » Zdroje » Čo je TPM 2.0 a prečo je teraz povinný v systéme Windows 11?

Ak uvažujete o aktualizácii na systém Windows 11, pravdepodobne ste narazili na obávanú správu, že váš počítač potrebuje na inštaláciu systému povolený modul TPM 2.0 . A samozrejme, prirodzená otázka znie: čo to je, prečo je to teraz povinné a čo sa stane, ak ho môj počítač nemá alebo nie je nikde uvedený?

V najnovších verziách systému Windows sa tento malý komponent zmenil z takmer neznámeho na kľúčový prvok zabezpečenia a základnú technickú požiadavku . Môže to znieť veľmi technicky, ale základná myšlienka je celkom jednoduchá: je to akýsi trezor vo vašom počítači, ktorý uchováva kľúče ku všetkému dôležitému.

Čo je TPM a akú úlohu hrá vo vašom počítači?

Skratka TPM je skratka pre Trusted Platform Module (Modul dôveryhodnej platformy) , čo je čip alebo integrovaná funkcia v procesore, ktorá funguje ako bezpečný kryptoprocesor – miniprocesor určený výhradne na bezpečnostné a šifrovacie operácie.

Tento modul je zodpovedný za vytváranie, ukladanie a ochranu kryptografických kľúčov, hesiel, certifikátov a iných citlivých údajov , ktoré operačný systém potrebuje na zabezpečenie toho, aby nikto nemal prístup k vašim informáciám bez povolenia, a to ani v prípade, že má fyzický prístup k počítaču.

TPM nie je nový vynález: v profesionálnom prostredí sa používa už roky na posilnenie hardvérovej bezpečnosti, najmä v spoločnostiach a verejnej správe . S príchodom systému Windows 11 sa však dostal do popredia, pretože spoločnosť Microsoft ho stanovila ako povinnú požiadavku pre oficiálnu inštaláciu systému.

Z fyzického hľadiska môže byť TPM samostatný čip prispájkovaný k základnej doske alebo modul, ktorý sa zapája do špecifického konektora . V mnohých moderných zariadeniach, najmä v notebookoch, je funkcia TPM už integrovaná do procesora (Intel PTT, AMD fTPM), hoci niekedy je štandardne vypnutá a musí sa povoliť prostredníctvom UEFI/BIOS.

Čo TPM vlastne robí a prečo je taký dôležitý?

Najzaujímavejším aspektom TPM je, že funguje ako bezpečné a izolované úložisko kryptografických kľúčov a autentifikačných informácií . Kľúče uložené v ňom nie sú priamo prístupné operačnému systému ani aplikáciám; je možné k nim pristupovať iba prostredníctvom špecifických príkazov na samotnom čipe.

Každý TPM obsahuje vlastné kryptografické kľúče, ktoré sú prepojené s konkrétnym zariadením . Jedným z nich je overovací kľúč (EK), jedinečný pár kľúčov RSA vygenerovaný vo výrobe a uložený v čipe, ku ktorému softvér nemá prístup. Z tohto EK sa generujú ďalšie kľúče, ako napríklad koreňový kľúč úložiska , ktorý sa používa ako základ pre šifrovanie zostávajúcich kľúčov uložených v module.

Okrem toho dokáže TPM vygenerovať overovací identifikačný kľúč (AIK) , ktorý spoľahlivo overuje stav bootovania systému. Čip počas bootovania vypočítava haše alebo merania firmvéru, UEFI a kritických častí operačného systému a môže tieto merania odoslať na server, ktorý kontroluje, či všetko zodpovedá očakávaniam. Ak sa zistia podozrivé zmeny, zariadenie sa považuje za potenciálne kompromitované.

Vďaka tomuto dizajnu je TPM veľmi užitočný na ochranu pred modernými hrozbami, ako sú útoky na firmvér, pokročilý ransomvér , manipulácia so zavádzaním systému alebo krádež údajov prostredníctvom fyzického prístupu . Útočník môže mať pevný disk v rukách, ale bez kľúčov uložených v TPM zostanú šifrované údaje nepoužiteľné.

Štandard TPM nedefinuje len čip, ale aj celú sadu špecifikácií a príkazov, ktoré spravuje Trusted Computing Group (TCG) , nezisková organizácia zodpovedná za aktualizáciu a rozširovanie týchto štandardov s cieľom prispôsobiť ich novým bezpečnostným potrebám.

TPM 1.2 vs TPM 2.0: Prečo Windows 11 vyžaduje novú verziu

Po mnoho rokov bola najrozšírenejšou verziou TPM 1.2, dokonca štandardizovaná ako medzinárodná norma ISO/IEC 11889. Táto verzia už umožňovala ochranu kľúčov, šifrovanie údajov a overovanie integrity systému, ale bola obmedzenejšia v šifrovacích algoritmoch a funkciách, ktoré mohla ponúkať.

Prechod na TPM 2.0 priniesol významné zlepšenie možností a flexibility . Okrem iných vylepšení nový štandard umožňuje zameniteľne používať rôzne kryptografické algoritmy namiesto toho, aby bol prakticky viazaný na SHA-1, ako to bolo v prípade TPM 1.2, čo je nevyhnutné pre lepšiu odolnosť voči moderným útokom.

TPM 2.0 tiež zahŕňa vylepšenia v správe kľúčov, ochrane biometrických údajov a overovaní podpisov a je navrhnutý tak, aby fungoval nielen na stolných a prenosných počítačoch, ale aj na zariadeniach s obmedzenejšími zdrojmi, ako sú tablety alebo vstavané systémy.

Preto sa spoločnosť Microsoft rozhodla, že pre systém Windows 11 bude minimálnou prijateľnou úrovňou hardvérového zabezpečenia TPM 2.0 . Hoci systém Windows technicky môže fungovať s TPM 1.2, najpokročilejšie bezpečnostné funkcie a budúce vylepšenia platformy sa spoliehajú na rozšírené možnosti verzie 2.0.

V praxi to znamená, že počítač s TPM 1.2 môže byť schopný spustiť systém Windows 11 z hľadiska výkonu, ale nebude spĺňať oficiálne požiadavky na zabezpečenie systému a inštalácia bude mimo podporovaných metód spoločnosti Microsoft.

Na čo systém Windows denne používa TPM?

V systéme Windows 10 a najmä v systéme Windows 11 je modul TPM integrovaný s množstvom bezpečnostných funkcií. Nie je to niečo, čo vidíte neustále, ale pracuje na pozadí, aby chránil vaše údaje a vašu identitu.

Jednou z najviditeľnejších funkcií je BitLocker , systém šifrovania diskov v systéme Windows . Keď je BitLocker povolený, obsah disku je zašifrovaný a dešifrovací kľúč je uložený (alebo chránený) modulom TPM (Target Memory Module). Týmto spôsobom, ak niekto ukradne pevný disk alebo notebook, bez kľúčov uložených v module nebude mať prístup k údajom, a to ani v prípade, že disk pripojí k inému počítaču.

Modul TPM sa používa aj v systéme Windows Hello, prihlasovacom systéme, ktorý využíva rozpoznávanie tváre, odtlačkov prstov alebo PIN kód . Biometrické údaje a súvisiace kľúče sú prepojené s hardvérom vášho počítača prostredníctvom čipu, čo výrazne sťažuje ich krádež alebo opätovné použitie na inom zariadení.

Ďalším kľúčovým prvkom je jeho vzťah k funkciám Secure Boot a Measured Boot . Secure Boot zabezpečuje, že počas počiatočných fáz spúšťania sa načíta iba podpísaný a dôveryhodný softvér, zatiaľ čo Measured Boot zaznamenáva merania každého spusteného komponentu v module TPM. To umožňuje detekciu pokusov o vloženie škodlivého softvéru do procesu spúšťania systému.

Systém Windows môže navyše kombinovať TPM s technológiami, ako je Credential Guard alebo ochrana poverení založená na virtualizácii . V tomto scenári sú heslá a prístupové tokeny izolované v chránenom prostredí a TPM funguje ako kryptografický koreň dôvery, čo útočníkom výrazne sťažuje krádež poverení.

Medzi ďalšie bežné použitia patria virtuálne inteligentné karty na autentifikáciu do firemných zdrojov , ochrana pred slovníkovými útokmi pri pokuse o prelomenie hesiel alebo bezpečné uloženie certifikátov a kľúčov pre VPN pripojenia, digitálne podpísané e-maily a bezpečné prehliadanie.

Rôzne typy implementácie TPM

Hoci sa o TPM vždy hovorí, akoby išlo o jeden čip, v skutočnosti existuje niekoľko spôsobov jeho implementácie, pričom každý má svoje vlastné bezpečnostné funkcie . Všetky sa riadia špecifikáciami TCG, ale líšia sa na fyzickej alebo logickej úrovni.

Na jednej strane existujú diskrétne TPM, čo sú špecializované čipy prispájkované na základnej doske. Teoreticky sú najbezpečnejšou možnosťou, pretože sú navrhnuté tak, aby boli odolné voči fyzickej manipulácii a znižovali riziko chýb vyplývajúcich zo zdieľania priestoru s inými komponentmi.

Ďalšou rozšírenou možnosťou je TPM integrovaný do hlavného procesora , ktorý obsahuje vlastné bezpečnostné mechanizmy a ponúka úroveň ochrany blízku úrovni samostatného čipu, pričom znižuje náklady a prináša pohodlie pre výrobcov.

Existujú aj TPM založené na firmvéri , ktoré bežia v dôveryhodnom prostredí CPU . Zostávajú pomerne bezpečné a pre priemerného používateľa ponúkajú dostatočnú ochranu pre každodenné aj profesionálne použitie.

Na menej bezpečnom konci sú softvérové ​​TPM , ktoré v podstate emulujú správanie modulu, ale bez silného základu dôvery v hardvér, čo ich robí náchylnými na externé útoky alebo zraniteľnosti v samotnom operačnom systéme.

Nakoniec, vo virtualizačných prostrediach je bežné používať virtuálne TPM poskytované hypervízorom , ktoré umožňujú virtuálnym strojom vykonávať podobné funkcie bez toho, aby pre každý z nich bolo potrebné samostatné fyzické čipy.

Prečo je v systéme Windows 11 TPM 2.0 povinný

Veľkou zmenou v systéme Windows 11 je, že spoločnosť Microsoft už nepovažuje TPM za voliteľný doplnok a robí z neho základnú bezpečnostnú požiadavku . Myšlienkou je, že všetky počítače so systémom budú mať hardvérový koreň dôveryhodnosti, aby lepšie odolali súčasným hrozbám.

Dnes sa útoky už neobmedzujú len na jednoduché vírusy; hovoríme o sofistikovanom ransomvéri, malvéri, ktorý sa pripája k firmvéru, pokusoch o krádež prihlasovacích údajov a vzdialenom prístupe zneužívajúcom nesprávne konfigurácie . V tejto súvislosti už nestačí spoliehať sa výlučne na bezpečnostný softvér, a preto sa spoločnosť Microsoft zaviazala integrovať ochranu priamo do hardvéru.

Vyžadovaním TPM 2.0 systém Windows 11 zabezpečuje, že funkcie ako BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard a ďalšie technológie založené na virtualizácii môžu byť predvolene povolené bez ohľadu na to, či sa ich každý výrobca alebo používateľ rozhodne aktivovať alebo nie.

V mnohých zariadeniach vyrobených od roku 2016, najmä v notebookoch a počítačoch určených na firemné použitie, bol modul TPM 2.0 už od výroby zahrnutý, hoci niekedy bol vypnutý . V iných prípadoch, najmä v počítačoch vyrobených na mieru alebo v základných doskách strednej a nižšej triedy spred niekoľkých rokov, nebol modul štandardne integrovaný a musel byť pridaný cez špeciálny konektor.

Toto je zdroj mnohých sťažností od používateľov, ktorí majú veľmi výkonné počítače, na ktorých je bez problémov možné spustiť systém Windows 11 , ale zistia, že neprejdú filtrom, pretože im chýba modul TPM 2.0 alebo ho majú vypnutý v rozhranie UEFI/BIOS.

Ako zistiť, či má váš počítač TPM 2.0 v systéme Windows

Predtým, ako predpokladáme, že váš počítač nie je kompatibilný so systémom Windows 11, je vhodné skontrolovať, či má skutočne nainštalovaný modul TPM 2.0 a ak áno, ktorá verzia je aktívna . Systém Windows ponúka niekoľko spôsobov, ako to urobiť bez inštalácie čohokoľvek.

Jedným z najjednoduchších je použitie konzoly Microsoft Management Console pre TPM :

1. Stlačte kombináciu klávesov Windows + R otvorte dialógové okno „Spustiť“.
2. Napíš tpm. msc (bez úvodzoviek) a stlačte kláves Enter.
3. Otvorí sa okno správy modulu Secure Platform Module.

Ak sa v tomto okne zobrazí správa ako „Kompatibilný modul TPM sa nenašiel“ alebo „Nenašiel sa žiadny kompatibilný modul TPM“ , môže to znamenať dve veci: vaše zariadenie tento modul nemá alebo je zakázaný v nastaveniach firmvéru. V druhom prípade budete musieť prejsť do rozhrania UEFI/BIOS, aby ste ho povolili.

Ak sa na druhej strane v konzole zobrazí hlásenie „TPM je pripravený na použitie“ a informácie o výrobcovi , budete sa musieť pozrieť do poľa „Verzia špecifikácie“. Ak sa zobrazuje hodnota 2.0, váš počítač spĺňa túto požiadavku pre systém Windows 11; ak je číslo nižšie (napríklad 1.2), zariadenie nedosiahne požadovanú úroveň zabezpečenia.

Ďalšou alternatívou je použitie PowerShell s oprávneniami správcuOtvorte PowerShell ako správca a zadajte príkaz get-tpm a stlačte kláves Enter. Medzi zobrazenými údajmi si pozrite hodnotu TpmPresentAk sa zobrazí ako „False“, modul nie je na základnej doske; ak je „True“, je prítomný a môžete tiež skontrolovať jeho stav a vlastnosti.

Môžete tiež skontrolovať aplikáciu Zabezpečenie systému Windows, konkrétne sekcie „Zabezpečenie zariadenia“ a „Bezpečnostný procesor“ . Ak táto sekcia nie je viditeľná, modul TPM pravdepodobne chýba alebo je zakázaný. Ak je viditeľná, môžete prejsť do časti „Podrobnosti o bezpečnostnom procesore“ a zobraziť verziu špecifikácie.

Ako aktivovať TPM 2.0 z UEFI/BIOS

Ak vaše kontroly naznačujú, že modul TPM nie je k dispozícii, ale máte podozrenie, že váš počítač je relatívne nový, modul môže byť jednoducho vypnutý v nastaveniach firmvéru . Na mnohých počítačoch zostavených používateľmi alebo spotrebiteľských základných doskách je predvolene vypnutý.

Ak to chcete zmeniť, budete musieť prejsť do rozhrania UEFI/BIOS počítača a nájsť možnosť súvisiacu s modulom TPM alebo zabezpečením platformy . Presná cesta sa líši v závislosti od výrobcu, ale v systéme Windows môžete prejsť do časti Nastavenia > Aktualizácia a zabezpečenie > Obnovenie a v časti Rozšírené spustenie použiť možnosť „Reštartovať teraz“.

Po reštarte vyberte Riešenie problémov > Rozšírené možnosti > Nastavenia firmvéru UEFI > Reštartovať . Týmto sa dostanete do ponuky firmvéru, kde by ste mali hľadať možnosti ako zabezpečenie, rozšírené nastavenia alebo podobné. Každý výrobca používa mierne odlišné názvy, takže si dajte načas.

V systémoch s procesormi Intel je táto funkcia zvyčajne uvedená ako „Intel PTT“ alebo „Technológia dôveryhodnosti platformy Intel “. V prípade systémov AMD sa často nachádza ako „AMD fTPM“ alebo „AMD PSP fTPM “. Môže byť uvedená aj pod označeniami ako „Bezpečnostné zariadenie“, „Podpora bezpečnostných zariadení“, „Stav TPM“ alebo „Dôveryhodné výpočty“.

Keď nájdete túto možnosť, budete musieť zmeniť jej stav na Povolené, uložiť zmeny a reštartovať počítač . Potom, keď sa vrátite do systému Windows, mali by ste vidieť modul TPM v súbore tpm.msc alebo v aplikácii Zabezpečenie systému Windows a mali by ste potvrdiť, že spĺňa špecifikáciu 2.0.

Upozorňujeme tiež, že na mnohých zariadeniach funguje TPM v spojení so systémom Secure Boot . Ak je Secure Boot vypnutý, možnosti súvisiace s modulom sa nemusia zobraziť alebo nemusia fungovať správne. V takýchto prípadoch je vhodné najprv povoliť Secure Boot a potom znova skontrolovať stav TPM.

Ktoré počítače zvyčajne obsahujú TPM 2.0 a aké sú súvisiace požiadavky?

Vo všeobecnosti sa väčšina počítačov vyrobených od roku 2018 považuje za počítače s integrovaným modulom TPM 2.0 alebo jeho ekvivalentom . Ak má váš počítač menej ako päť alebo šesť rokov, je dosť vysoká pravdepodobnosť, že túto funkciu má, aj keď je vypnutá.

Ďalšiu indíciu poskytujú procesory: procesory Intel od ôsmej generácie sa zvyčajne dodávajú pripravené na používanie TPM 2.0 prostredníctvom Intel PTT , zatiaľ čo v ekosystéme AMD je bežné, že procesory Ryzen od druhej generácie integrujú fTPM s podporou tejto verzie.

TPM však nie je jedinou požiadavkou pre Windows 11. Systém tiež vyžaduje 64-bitový procesor s aspoň dvoma jadrami na frekvencii 1 GHz, 4 GB RAM a 64 GB úložiska . Aj keď sú to podľa dnešných štandardov skromné ​​špecifikácie, vylučujú značný počet starších počítačov, ktoré stále fungujú pomerne dobre so systémom Windows 10.

V mnohých stolových počítačoch zostavených používateľmi, základných doskách strednej a nižšej triedy spred niekoľkých rokov nebol pamäťový modul štandardne vybavený, ale iba konektor na jeho samostatné pripojenie . To vytvorilo dosť kurióznu situáciu: veľmi výkonné počítače z hľadiska CPU a grafiky, ale brzdené absenciou malého čipu.

Tí, ktorí nechcú alebo nemôžu nainštalovať tento dodatočný modul, by mali zvážiť, či zostanú pri systéme Windows 10 až do konca jeho oficiálnej podpory, alebo zvážia upgrade hardvéru . Podpora systému Windows 10 trvá do októbra 2025, takže je ešte čas na pokojné rozhodnutie.

Čo sa stane, ak váš počítač nemá TPM 2.0

Ak po všetkých kontrolách potvrdíte, že váš počítač nemá TPM 2.0 a neexistuje reálna možnosť jeho pridania , vaše možnosti sú obmedzené. Oficiálne daný počítač nespĺňa požiadavky systému Windows 11, a preto ho nebudete môcť nainštalovať prostredníctvom štandardných kanálov spoločnosti Microsoft.

Existujú neoficiálne metódy na obídenie kontrol systémových požiadaviek počas inštalácie systému Windows 11 , ako je napríklad úprava konfiguračných súborov alebo použitie nástrojov tretích strán. To však znamená vzdať sa určitej podpory a, čo je dôležitejšie, spustiť systém bez minimálnej úrovne zabezpečenia, ktorú spoločnosť Microsoft považuje za nevyhnutnú.

Na zariadeniach, ktoré nedokážu nainštalovať TPM 2.0, je dôležité zvážiť, či sa oplatí používať systém Windows 10 až do konca jeho životného cyklu, preskúmať alternatívy, ako sú iné operačné systémy, alebo investovať do modernejšieho počítača . Všetko závisí od toho, ako počítač používate a aké dôležité je pre vás integrované hardvérové ​​zabezpečenie.

Pre mnohých domácich používateľov to môže byť dobrá príležitosť zvoliť si nedávno repasované počítače, ktoré už majú povolený modul TPM 2.0 a dokážu bezproblémovo spúšťať systém Windows 11 za nižšie náklady ako úplne nový počítač.

Aj keď sa TPM môže spočiatku zdať len ako ďalšia požiadavka, jeho hlavným účelom je lepšie chrániť vaše údaje, heslá a digitálne prihlasovacie údaje . Možno s ním priamo neinteragujete, ale je tam ako tichý strážca všetkého, čo je vo vašom počítači dôležité.