Kaj je TPM 2.0 in zakaj je zdaj obvezen v sistemu Windows 11?

Informatec Digital » Viri » Kaj je TPM 2.0 in zakaj je zdaj obvezen v sistemu Windows 11?

Če razmišljate o nadgradnji na Windows 11, ste verjetno že naleteli na grozljivo sporočilo, da mora biti v računalniku za namestitev sistema omogočen TPM 2.0 . In seveda se postavlja naravno vprašanje: kaj je to, zakaj je zdaj obvezno in kaj se zgodi, če ga moj računalnik nima ali ni nikjer naveden?

V najnovejših različicah sistema Windows se je ta majhna komponenta iz skoraj neznane spremenila v ključni varnostni element in bistveno tehnično zahtevo . Morda se sliši zelo tehnično, vendar je osnovna ideja precej preprosta: gre za nekakšen sef v računalniku, ki hrani ključe do vsega pomembnega.

Kaj je TPM in kakšno vlogo ima v vašem računalniku?

Kratica TPM pomeni Trusted Platform Module (modul zaupanja vredne platforme) , ki je čip ali integrirana funkcionalnost znotraj procesorja, ki deluje kot varen kriptoprocesor – mini procesor, namenjen izključno varnostnim in šifrirnim operacijam.

Ta modul je odgovoren za ustvarjanje, shranjevanje in zaščito kriptografskih ključev, gesel, potrdil in drugih občutljivih podatkov , ki jih operacijski sistem potrebuje za zagotovitev, da nihče ne more dostopati do vaših podatkov brez dovoljenja, tudi če ima fizični dostop do računalnika.

TPM ni nov izum: v profesionalnem okolju se uporablja že leta za krepitev varnosti strojne opreme, zlasti v podjetjih in javni upravi . Vendar pa je s prihodom sistema Windows 11 prišel v ospredje, saj ga je Microsoft uvedel kot obvezno zahtevo za uradno namestitev sistema.

S fizičnega vidika je TPM lahko ločen čip, prispajkan na matično ploščo, ali modul, ki se priključi na določen priključek . V mnogih sodobnih napravah, zlasti prenosnikih, je funkcionalnost TPM že integrirana v procesor (Intel PTT, AMD fTPM), čeprav je včasih privzeto onemogočena in jo je treba omogočiti prek UEFI/BIOS.

Kaj TPM pravzaprav počne in zakaj je tako pomemben?

Najbolj zanimiv vidik TPM-a je, da deluje kot varno in izolirano skladišče kriptografskih ključev in podatkov za preverjanje pristnosti . Ključi, shranjeni v njem, niso neposredno dostopni operacijskemu sistemu ali aplikacijam; do njih je mogoče dostopati le z določenimi ukazi na samem čipu.

Vsak TPM ima svoje kriptografske ključe, povezane s specifično napravo . Eden od teh je potrditveni ključ (EK), edinstven par ključev RSA, ustvarjen v tovarni in shranjen v čipu, do katerega programska oprema ne more dostopati. Iz tega EK se ustvarijo drugi ključi, kot je korenski ključ shrambe , ki se uporablja kot osnova za šifriranje preostalih ključev, shranjenih v modulu.

Poleg tega lahko TPM ustvari potrditveni identitetni ključ (AIK) , ki zanesljivo preveri stanje zagona sistema. Čip med zagonom izračuna zgoščene vrednosti ali meritve vdelane programske opreme, UEFI in kritičnih delov operacijskega sistema ter lahko te meritve pošlje strežniku, ki preveri, ali se vse ujema s pričakovanji. Če se zaznajo sumljive spremembe, se naprava šteje za potencialno ogroženo.

Zahvaljujoč tej zasnovi je TPM zelo uporaben za zaščito pred sodobnimi grožnjami, kot so napadi na vdelano programsko opremo, napredna izsiljevalska programska oprema , manipulacija zagona ali kraja podatkov s fizičnim dostopom . Napadalec ima morda trdi disk v rokah, vendar bodo brez ključev, shranjenih v TPM, šifrirani podatki ostali neuporabni.

Standard TPM ne opredeljuje le čipa, temveč tudi celoten niz specifikacij in ukazov, ki jih vzdržuje Trusted Computing Group (TCG) , neprofitna organizacija, odgovorna za posodabljanje in širjenje teh standardov, da bi jih prilagodila novim varnostnim potrebam.

TPM 1.2 proti TPM 2.0: Zakaj Windows 11 zahteva novo različico

Dolga leta je bila najbolj razširjena različica TPM 1.2, celo standardizirana kot mednarodni standard ISO/IEC 11889. Ta različica je že omogočala zaščito ključev, šifriranje podatkov in preverjanje integritete sistema, vendar je bila bolj omejena v svojih algoritmih šifriranja in funkcijah, ki jih je lahko ponudila.

Prehod na TPM 2.0 je prinesel znatno nadgradnjo zmogljivosti in prilagodljivosti . Med drugimi izboljšavami novi standard omogoča izmenično uporabo različnih kriptografskih algoritmov, namesto da bi bil praktično vezan na SHA-1, kot je bilo to pri TPM 1.2, kar je bistveno za boljšo odpornost na sodobne napade.

TPM 2.0 vključuje tudi izboljšave pri upravljanju ključev, zaščiti biometričnih podatkov in preverjanju podpisa ter je zasnovan tako, da deluje ne le na namiznih in prenosnih računalnikih, temveč tudi na napravah z omejenejšimi viri, kot so tablični računalniki ali vgrajeni sistemi.

Zato se je Microsoft odločil, da bo za Windows 11 minimalna sprejemljiva raven varnosti strojne opreme TPM 2.0 . Čeprav lahko Windows tehnično deluje s TPM 1.2, se najnaprednejše varnostne funkcije in prihodnje izboljšave platforme zanašajo na razširjene zmogljivosti različice 2.0.

V praksi to pomeni, da bo računalnik s TPM 1.2 morda lahko zagnal Windows 11 z vidika zmogljivosti, vendar ne bo izpolnjeval uradnih varnostnih zahtev sistema in namestitev ne bo ustrezala Microsoftovim podprtim metodam.

Za kaj Windows vsakodnevno uporablja TPM?

V sistemu Windows 10 in še posebej v sistemu Windows 11 je TPM integriran s številnimi varnostnimi funkcijami. Ni nekaj, kar bi nenehno videli, vendar deluje v ozadju, da zaščiti vaše podatke in vašo identiteto.

Ena najbolj vidnih funkcij je BitLocker , sistem za šifriranje pogonov v sistemu Windows . Ko je BitLocker omogočen, je vsebina diska šifrirana, ključ za dešifriranje pa shrani (ali zaščiti) TPM (Target Memory Module). Na ta način, če nekdo ukrade trdi disk ali prenosnik, brez ključev, shranjenih v modulu, ne bo mogel dostopati do podatkov, tudi če pogon priključi na drug računalnik.

TPM se uporablja tudi v sistemu Windows Hello, sistemu za prijavo, ki uporablja prepoznavanje obraza, prstnega odtisa ali PIN . Biometrični podatki in z njimi povezani ključi so prek čipa povezani s strojno opremo vašega računalnika, zaradi česar jih je veliko težje ukrasti ali ponovno uporabiti v drugi napravi.

Drug ključni element je njegova povezava z varnim zagonom (Secure Boot) in merjenim zagonom (Measured Boot) . Varni zagon (Secure Boot) zagotavlja, da se med začetnimi fazami zagona naloži samo podpisana in zaupanja vredna programska oprema, medtem ko merjeni zagon beleži meritve vsake delujoče komponente v modulu TPM. To omogoča zaznavanje poskusov vstavljanja zlonamerne programske opreme v postopek zagona sistema.

Poleg tega lahko Windows kombinira TPM s tehnologijami, kot sta Credential Guard ali zaščita poverilnic na osnovi virtualizacije . V tem primeru so gesla in žetoni za dostop izolirani v zaščitenem okolju, TPM pa deluje kot kriptografski koren zaupanja, zaradi česar je napadalcem veliko težje ukrasti poverilnice.

Druge pogoste uporabe vključujejo virtualne pametne kartice za preverjanje pristnosti v korporativnih virih , zaščito pred slovarskimi napadi pri poskusu razbijanja gesel ali varno shranjevanje potrdil in ključev za povezave VPN, digitalno podpisano e-pošto in varno brskanje.

Različne vrste implementacije TPM

Čeprav se na TPM vedno sklicujemo, kot da bi šlo za en sam čip, obstaja v resnici več načinov za njegovo izvedbo, vsak s svojimi varnostnimi funkcijami . Vsi se držijo specifikacij TCG, vendar se razlikujejo na fizični ali logični ravni.

Po eni strani obstajajo diskretni TPM-ji, ki so namenski, specifični čipi, prispajkani na matično ploščo. Teoretično so najvarnejša možnost, saj so zasnovani tako, da so odporni na fizične posege in zmanjšujejo možnost napak, ki nastanejo zaradi deljenja prostora z drugimi komponentami.

Druga razširjena možnost je TPM, integriran v glavni procesor , ki vključuje lastne varnostne mehanizme in ponuja raven zaščite, ki je blizu ravni diskretnega čipa, hkrati pa zmanjšuje stroške in povečuje udobje za proizvajalce.

Obstajajo tudi TPM-ji , ki temeljijo na vdelani programski opremi in delujejo znotraj zaupanja vrednega izvajalnega okolja procesorja . Ostajajo precej varni in povprečnemu uporabniku ponujajo zadostno zaščito za vsakodnevno in profesionalno uporabo.

Na manj varnem koncu so programsko delujoči TPM-ji , ki v bistvu posnemajo vedenje modula, vendar brez močnega zaupanja v strojno opremo, zaradi česar so dovzetni za zunanje napade ali ranljivosti v samem operacijskem sistemu.

Končno je v virtualizacijskih okoljih običajno uporabljati virtualne TPM-je, ki jih zagotavlja hipervizor , kar omogoča virtualnim strojem, da imajo podobne funkcije, ne da bi za vsakega potrebovali ločen fizični čip.

Zakaj je TPM 2.0 v sistemu Windows 11 obvezen

Velika sprememba v sistemu Windows 11 je, da Microsoft TPM ne obravnava več kot izbirno dodatno funkcijo, temveč ga uvaja kot osnovno varnostno zahtevo . Ideja je, da bodo vsi računalniki, ki poganjajo sistem, imeli strojno opremo, ki zagotavlja koren zaupanja, da se bodo bolje spopadli s trenutnimi grožnjami.

Danes napadi niso več omejeni na preproste viruse; govorimo o sofisticirani izsiljevalski programski opremi, zlonamerni programski opremi, ki se pripne na vdelano programsko opremo, poskusih kraje poverilnic in oddaljenem dostopu, ki izkorišča napačne konfiguracije . V tem kontekstu zanašanje zgolj na varnostno programsko opremo ni več dovolj, zato se Microsoft zavezuje k integraciji zaščite neposredno v strojno opremo.

Z zahtevo po TPM 2.0 sistem Windows 11 zagotavlja, da so funkcije, kot so BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard in druge tehnologije, ki temeljijo na virtualizaciji, privzeto omogočene , ne glede na to, ali se posamezni proizvajalec ali uporabnik odloči, da jih bo aktiviral ali ne.

V mnogih napravah, izdelanih od leta 2016 naprej, zlasti v prenosnikih in osebnih računalnikih, namenjenih poslovni uporabi, je bil TPM 2.0 že tovarniško vključen, čeprav včasih onemogočen . V drugih primerih, zlasti v računalnikih po meri ali matičnih ploščah srednjega in nižjega cenovnega razreda izpred nekaj let, modul ni bil privzeto integriran in ga je bilo treba dodati prek posebnega priključka.

To je vir številnih pritožb uporabnikov, ki imajo zelo zmogljive računalnike, na katerih je mogoče brez težav poganjati Windows 11 , vendar ugotovijo, da ne prestanejo filtra, ker nimajo TPM 2.0 ali pa je ta onemogočen v UEFI/BIOS.

Kako ugotoviti, ali ima vaš računalnik TPM 2.0 v sistemu Windows

Preden domnevate, da vaš računalnik ni združljiv z operacijskim sistemom Windows 11, je vredno preveriti, ali ima dejansko nameščen TPM 2.0 in če je, katera različica je aktivna . Windows ponuja več načinov za to, ne da bi karkoli nameščali.

Eden najpreprostejših načinov je uporaba Microsoftove konzole za upravljanje TPM :

1. Pritisnite kombinacijo tipk Windows + R , da odprete pogovorno okno »Zaženi«.
2. Napišite tpm mag (brez narekovajev) in pritisnite Enter.
3. Odpre se okno za skrbništvo modula Secure Platform.

Če se v tem oknu prikaže sporočilo, kot je »Združljivega TPM-ja ni bilo mogoče najti« ali »Združljivega TPM-ja ni bilo mogoče najti« , lahko to pomeni dve stvari: vaša naprava nima tega modula ali pa je onemogočen v nastavitvah vdelane programske opreme. V drugem primeru boste morali dostopati do UEFI/BIOS-a, da ga omogočite.

Če pa konzola pokaže, da je »TPM pripravljen za uporabo« in prikaže podatke proizvajalca , morate pogledati polje »Različica specifikacije«. Če prikazuje 2.0, vaš računalnik izpolnjuje to zahtevo za Windows 11; če je številka nižja (na primer 1.2), naprava ne bo dosegla zahtevane ravni varnosti.

Druga možnost je uporaba PowerShell s skrbniškimi dovoljenjiOdprite PowerShell kot skrbnik in vnesite ukaz get-tpm in pritisnite Enter. Med prikazanimi podatki poiščite vrednost TpmPresentČe je prikazano kot »Napačno«, modul ni prisoten na matični plošči; če je prikazano kot »True«, je prisoten in lahko preverite tudi njegovo stanje in značilnosti.

Preverite lahko tudi aplikacijo Varnost sistema Windows, natančneje razdelka »Varnost naprave« in »Varnostni procesor« . Če ta razdelek ni viden, TPM verjetno manjka ali je onemogočen; če je viden, si lahko ogledate različico specifikacij v razdelku »Podrobnosti o varnostnem procesorju«.

Kako aktivirati TPM 2.0 iz UEFI/BIOS

Če vaši pregledi pokažejo, da TPM ni na voljo, vendar sumite, da je vaš računalnik relativno nov, je modul morda preprosto onemogočen v nastavitvah vdelane programske opreme . Na mnogih uporabniško sestavljenih računalnikih ali matičnih ploščah za potrošnike je privzeto onemogočen.

Če želite to spremeniti, boste morali dostopati do UEFI/BIOS-a računalnika in poiskati možnost, povezano s TPM ali varnostjo platforme . Natančna pot se razlikuje glede na proizvajalca, v sistemu Windows pa lahko odprete Nastavitve > Posodobitev in varnost > Obnovitev in v razdelku Napredni zagon uporabite možnost »Ponovni zagon«.

Po ponovnem zagonu izberite Odpravljanje težav > Napredne možnosti > Nastavitve vdelane programske opreme UEFI > Ponovni zagon . To vas bo preusmerilo v meni vdelane programske opreme, kjer poiščite možnosti, kot so varnost, napredne nastavitve ali podobno. Vsak proizvajalec uporablja nekoliko drugačna imena, zato si vzemite čas.

V sistemih z Intelovimi procesorji je funkcija običajno navedena kot »Intel PTT« ali »Intel Platform Trust Technology «. Pri AMD jo pogosto najdemo kot »AMD fTPM« ali »AMD PSP fTPM «. Morda jo boste videli tudi pod oznakami, kot so »Varnostna naprava«, »Podpora za varnostne naprave«, »Stanje TPM« ali »Zaupanja vredno računalništvo«.

Ko najdete možnost, morate spremeniti njeno stanje v Omogočeno, shraniti spremembe in znova zagnati računalnik . Po tem bi morali ob vrnitvi v sistem Windows videti TPM v datoteki tpm.msc ali aplikaciji Varnost sistema Windows in potrditi, da ustreza specifikaciji 2.0.

Upoštevajte tudi, da v mnogih napravah TPM deluje skupaj s sistemom Secure Boot . Če je Secure Boot onemogočen, možnosti, povezane z modulom, morda ne bodo prikazane ali pa ne bodo delovale pravilno. V takih primerih je priporočljivo, da najprej omogočite Secure Boot in nato znova preverite stanje TPM.

Kateri računalniki običajno vključujejo TPM 2.0 in kakšne so spremljajoče zahteve?

Na splošno velja, da ima večina računalnikov, izdelanih od leta 2018 naprej, vgrajen TPM 2.0 ali njegov ekvivalent . Če je vaš računalnik star manj kot pet ali šest let, je precej velika verjetnost, da ima to funkcijo, tudi če je izklopljena.

Drug namig nam ponujajo procesorji: Intelovi procesorji od osme generacije naprej so običajno pripravljeni za uporabo TPM 2.0 prek Intel PTT , medtem ko je v ekosistemu AMD za procesorje Ryzen od druge generacije naprej običajno, da integrirajo fTPM s podporo za to različico.

Vendar pa TPM ni edina zahteva za Windows 11. Sistem zahteva tudi 64-bitni procesor z vsaj dvema jedroma s frekvenco 1 GHz, 4 GB RAM-a in 64 GB prostora za shranjevanje . Čeprav so to po današnjih standardih skromne specifikacije, izključujejo kar nekaj starejših računalnikov, ki še vedno delujejo razmeroma dobro z operacijskim sistemom Windows 10.

V mnogih uporabniško sestavljenih namiznih računalnikih, matičnih ploščah srednjega in nižjega cenovnega razreda izpred nekaj let pomnilniški modul ni bil standardno vgrajen, temveč le priključek za ločeno dodajanje . To je ustvarilo precej nenavadno situacijo: zelo zmogljivi stroji glede procesorja in grafike, vendar jih je ovirala odsotnost majhnega čipa.

Tisti, ki ne želijo ali ne morejo namestiti tega dodatnega modula, morajo razmisliti, ali naj ostanejo pri sistemu Windows 10 do konca uradne podpore ali pa naj razmislijo o nadgradnji strojne opreme . Podpora za Windows 10 traja do oktobra 2025, zato je še nekaj časa za mirno odločitev.

Kaj se zgodi, če vaš računalnik nima TPM 2.0

Če po vseh preverjanjih potrdite, da vaš računalnik nima TPM 2.0 in ni realne možnosti, da bi ga dodali , so vaše možnosti zmanjšane. Uradno ta računalnik ne izpolnjuje zahtev sistema Windows 11 in ga zato ne boste mogli namestiti prek Microsoftovih standardnih kanalov.

Obstajajo neuradni načini za izogibanje preverjanju sistemskih zahtev med namestitvijo sistema Windows 11 , kot je spreminjanje konfiguracijskih datotek ali uporaba orodij drugih proizvajalcev. Vendar to pomeni, da se je treba odpovedati določeni podpori in, kar je še pomembneje, zagnati sistem brez minimalne ravni varnosti, ki jo Microsoft šteje za bistveno.

V napravah, ki ne podpirajo TPM 2.0, je pomembno pretehtati, ali se splača uporabljati Windows 10 do konca njegovega življenjskega cikla, raziskati alternative, kot so drugi operacijski sistemi, ali investirati v sodobnejši računalnik . Vse je odvisno od tega, kako uporabljate računalnik in kako pomembna vam je integrirana strojna varnost.

Za mnoge domače uporabnike je to lahko dobra priložnost, da se odločijo za nedavno prenovljene računalnike, ki že imajo omogočen TPM 2.0 , kar omogoča nemoteno delovanje sistema Windows 11 po nižji ceni kot povsem nov računalnik.

Čeprav se TPM sprva morda zdi le še ena zahteva, je njegov glavni namen boljša zaščita vaših podatkov, gesel in digitalnih poverilnic . Morda z njim ne komunicirate neposredno, vendar je tam kot tihi varuh vsega, kar je pomembno v vašem računalniku.