Vad är TPM 2.0 och varför är det nu obligatoriskt i Windows 11?

Informatec Digital » Resurser » Vad är TPM 2.0 och varför är det nu obligatoriskt i Windows 11?

Om du funderar på att uppgradera till Windows 11 har du förmodligen stött på det fruktade meddelandet att din dator behöver TPM 2.0 aktiverat för att installera systemet . Och naturligtvis är den naturliga frågan: vad är det, varför är det nu obligatoriskt, och vad händer om min dator inte har det eller om det inte finns med i listan någonstans?

I de senaste versionerna av Windows har denna lilla komponent gått från att vara nästan okänd till att bli en viktig säkerhetskomponent och ett väsentligt tekniskt krav . Det kanske låter väldigt tekniskt, men den underliggande idén är ganska enkel: det är ett slags kassaskåp inuti din dator som innehåller nycklarna till allt viktigt.

Vad är TPM och vilken roll spelar det i din dator?

Förkortningen TPM står för Trusted Platform Module , vilket är ett chip eller en integrerad funktion i processorn som fungerar som en säker kryptoprocessor – en miniprocessor som uteslutande är avsedd för säkerhets- och krypteringsoperationer.

Den här modulen ansvarar för att skapa, lagra och skydda kryptografiska nycklar, lösenord, certifikat och annan känslig information som operativsystemet behöver för att säkerställa att ingen kan komma åt din information utan tillstånd, även om de har fysisk åtkomst till datorn.

TPM är inte en ny uppfinning: det har använts i åratal i professionella miljöer för att stärka hårdvarusäkerheten, särskilt inom företag och offentliga förvaltningar . Men med ankomsten av Windows 11 har det hamnat i förgrunden eftersom Microsoft har gjort det till ett obligatoriskt krav för att officiellt installera systemet.

Ur ett fysiskt perspektiv kan TPM vara ett separat chip som är fastlött på moderkortet eller en modul som ansluts till en specifik kontakt . I många moderna enheter, särskilt bärbara datorer, är TPM-funktionen redan integrerad i processorn (Intel PTT, AMD fTPM), även om den ibland är inaktiverad som standard och måste aktiveras via UEFI/BIOS.

Vad gör TPM egentligen och varför är det så viktigt?

Den mest intressanta aspekten av TPM är att den fungerar som en säker och isolerad lagringsplats för kryptografiska nycklar och autentiseringsinformation . Nycklarna som lagras i den är inte direkt åtkomliga för operativsystemet eller applikationer; de kan bara nås via specifika kommandon på själva chipet.

Varje TPM innehåller sina egna kryptografiska nycklar, kopplade till den specifika enheten . En av dessa är Endorsement Key (EK), ett unikt RSA-nyckelpar som genereras på fabriken och lagras i chipet, oåtkomligt för programvara. Andra nycklar genereras från denna EK, till exempel Storage Root Key , som används som grund för att kryptera de återstående nycklarna som lagras i modulen.

Dessutom kan TPM generera en Attestation Identity Key (AIK) , som tillförlitligt verifierar systemets starttillstånd. Chipet beräknar hashvärden eller mätningar av firmware, UEFI och kritiska delar av operativsystemet under start , och kan skicka dessa mätningar till en server som kontrollerar om allt matchar förväntningarna. Om misstänkta förändringar upptäcks anses enheten vara potentiellt komprometterad.

Tack vare denna design är TPM mycket användbart för att skydda mot moderna hot som firmwareattacker, avancerad ransomware , startmanipulation eller datastöld genom fysisk åtkomst . En angripare kan ha hårddisken i sina händer, men utan nycklarna som lagras i TPM:n kommer den krypterade informationen att förbli oanvändbar.

TPM-standarden definierar inte bara chipet, utan också en hel uppsättning specifikationer och kommandon som underhålls av Trusted Computing Group (TCG) , en ideell organisation som ansvarar för att uppdatera och utöka dessa standarder för att anpassa dem till nya säkerhetsbehov.

TPM 1.2 vs TPM 2.0: Varför Windows 11 kräver den nya versionen

Under många år var den mest spridda versionen TPM 1.2, till och med standardiserad som den internationella standarden ISO/IEC 11889. Denna version möjliggjorde redan nyckelskydd, datakryptering och verifiering av systemintegritet, men den var mer begränsad i sina krypteringsalgoritmer och de funktioner den kunde erbjuda.

Övergången till TPM 2.0 medförde en betydande uppgradering av funktioner och flexibilitet . Bland andra förbättringar tillåter den nya standarden användning av olika kryptografiska algoritmer omväxlande, istället för att praktiskt taget vara knuten till SHA-1 som var fallet med TPM 1.2, vilket är avgörande för bättre motståndskraft mot moderna attacker.

TPM 2.0 innehåller även förbättringar inom nyckelhantering, biometriskt dataskydd och signaturverifiering , och är utformad för att fungera inte bara på stationära och bärbara datorer, utan även på enheter med mer begränsade resurser, såsom surfplattor eller inbyggda system.

Därför beslutade Microsoft att den lägsta acceptabla hårdvarusäkerhetsnivån för Windows 11 skulle vara TPM 2.0 . Även om Windows tekniskt sett kan fungera med TPM 1.2, är de mest avancerade säkerhetsfunktionerna och framtida plattformsförbättringar beroende av de utökade funktionerna i version 2.0.

I praktiken innebär detta att en dator med TPM 1.2 kanske kan köra Windows 11 prestandamässigt, men den kommer inte att uppfylla de officiella systemsäkerhetskraven , och installationen kommer att falla utanför Microsofts stödda metoder.

Vad använder Windows TPM till dagligen?

I Windows 10 och särskilt i Windows 11 är TPM integrerat med ett antal säkerhetsfunktioner. Det är inte något du ser hela tiden, men det arbetar i bakgrunden för att skydda dina data och din identitet.

En av de mest synliga funktionerna är BitLocker , Windows hårddiskkrypteringssystem . När BitLocker är aktiverat krypteras diskens innehåll och dekrypteringsnyckeln lagras (eller skyddas) av TPM (Target Memory Module). På så sätt kan någon, om de stjäl hårddisken eller den bärbara datorn utan nycklarna lagrade i modulen, inte komma åt informationen, även om de ansluter disken till en annan dator.

TPM används också i Windows Hello, inloggningssystemet som använder ansiktsigenkänning, fingeravtryck eller PIN-kod . De biometriska uppgifterna och tillhörande nycklar är länkade till datorns hårdvara via chipet, vilket gör dem mycket svårare att stjäla eller återanvända på en annan enhet.

En annan viktig del är dess samband med Secure Boot och Measured Boot . Secure Boot säkerställer att endast signerad och betrodd programvara laddas under de inledande startfaserna, medan Measured Boot registrerar mätningar av varje komponent som körs i TPM. Detta möjliggör upptäckt av försök att injicera skadlig kod i systemets startprocess.

Dessutom kan Windows kombinera TPM med tekniker som Credential Guard eller virtualiseringsbaserat autentiseringsskydd . I det här scenariot isoleras lösenord och åtkomsttokens i en skyddad miljö, och TPM fungerar som en kryptografisk rot för förtroende, vilket gör det mycket svårare för angripare att stjäla autentiseringsuppgifter.

Andra vanliga användningsområden inkluderar virtuella smartkort för autentisering mot företagsresurser , skydd mot ordboksattacker vid försök att knäcka lösenord eller säker lagring av certifikat och nycklar för VPN-anslutningar, digitalt signerad e-post och säker surfning.

Olika typer av TPM-implementering

Även om vi alltid refererar till TPM som om det vore ett enda chip, finns det faktiskt flera sätt att implementera det, vart och ett med sina egna säkerhetsfunktioner . Alla följer TCG-specifikationerna, men skiljer sig åt på den fysiska eller logiska nivån.

Å ena sidan finns det diskreta TPM:er, vilka är dedikerade, specifika chip som är lödda på moderkortet. I teorin är de det säkraste alternativet, eftersom de är utformade för att vara motståndskraftiga mot fysisk manipulering och minska risken för fel som uppstår genom att dela utrymme med andra komponenter.

Ett annat vanligt alternativ är TPM integrerat i huvudprocessorn , som har sina egna säkerhetsmekanismer och erbjuder en skyddsnivå som ligger nära den hos det separata chipet, men som minskar kostnaderna och ökar bekvämligheten för tillverkarna.

Det finns också firmware-baserade TPM :er som körs inom processorns betrodda exekveringsmiljö . De förblir ganska säkra och erbjuder, för den genomsnittliga användaren, tillräckligt skydd för både vardaglig och professionell användning.

I den mindre säkra änden finns programvarubaserade TPM:er , som i princip emulerar modulens beteende men utan ett starkt förtroende för hårdvaran, vilket gör dem mottagliga för externa attacker eller sårbarheter i själva operativsystemet.

Slutligen är det i virtualiseringsmiljöer vanligt att använda virtuella TPM:er som tillhandahålls av hypervisorn , vilket gör att virtuella maskiner kan ha liknande funktioner utan att behöva ett separat fysiskt chip för var och en.

Varför Windows 11 gör TPM 2.0 obligatoriskt

Den stora förändringen med Windows 11 är att Microsoft inte längre ser TPM som ett valfritt tillägg och gör det till ett centralt säkerhetskrav. Tanken är att alla datorer som kör systemet kommer att ha en rot av förtroende på hårdvarunivå för att bättre kunna motstå det nuvarande hotbilden.

Idag är attacker inte längre begränsade till enkla virus; vi pratar om sofistikerad ransomware, skadlig kod som fäster sig vid firmware, försök att stjäla inloggningsuppgifter och fjärråtkomst som utnyttjar felkonfigurationer . I detta sammanhang räcker det inte längre att enbart förlita sig på säkerhetsprogramvara, vilket är anledningen till att Microsoft har åtagit sig att integrera skydd direkt i hårdvaran.

Genom att kräva TPM 2.0 säkerställer Windows 11 att funktioner som BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard och andra virtualiseringsbaserade tekniker kan aktiveras som standard , utan att det är beroende av om varje tillverkare eller användare väljer att aktivera dem eller inte.

I många enheter tillverkade från och med 2016, särskilt bärbara datorer och PC avsedda för företagsbruk, var TPM 2.0 redan inkluderat från fabriken, även om det ibland var inaktiverat . I andra fall, särskilt i specialbyggda datorer eller moderkort i mellan- och enklare prisklasser från några år tillbaka, var modulen inte integrerad som standard och måste läggas till via en specifik kontakt.

Detta är källan till många klagomål från användare som har mycket kraftfulla datorer, fullt kapabla att köra Windows 11 , men som upptäcker att de inte klarar filtret eftersom de saknar TPM 2.0 eller har det inaktiverat i UEFI/BIOS.

Så här tar du reda på om din dator har TPM 2.0 från Windows

Innan du antar att din dator inte är kompatibel med Windows 11 är det värt att kontrollera om den faktiskt har TPM 2.0 och, i så fall, vilken version som är aktiv . Windows erbjuder flera sätt att göra detta utan att installera något.

En av de enklaste är att använda Microsoft Management Console för TPM :

1. Tryck på tangentkombinationen Windows + R för att öppna dialogrutan ”Kör”.
2. Skriv tpm.msc (utan citattecken) och tryck på Enter.
3. Administrationsfönstret för Secure Platform Module öppnas.

Om ett meddelande som "Kompatibel TPM hittades inte" eller "Ingen kompatibel TPM hittades" visas i det fönstret kan det betyda två saker: din enhet har inte den här modulen, eller så är den inaktiverad i firmwareinställningarna. I det andra fallet måste du komma åt UEFI/BIOS för att aktivera den.

Om konsolen däremot indikerar att "TPM är redo för användning" och visar tillverkarinformation , måste du titta i fältet "Specifikationsversion". Om det visar 2.0 uppfyller din dator detta krav för Windows 11; om siffran är lägre (till exempel 1.2) kommer enheten inte att uppnå den erforderliga säkerhetsnivån.

Ett annat alternativ är att tillgripa PowerShell med administratörsbehörigheterÖppna PowerShell som administratör, skriv kommandot get-tpm och tryck på Enter. Titta på värdet bland de data som visas TpmPresentOm den visas som "False" finns modulen inte på moderkortet; om den är "Sant" finns den, och du kan även kontrollera dess status och egenskaper.

Du kan också kontrollera Windows-säkerhetsappen, särskilt avsnitten "Enhetssäkerhet" och "Säkerhetsprocessor" . Om det här avsnittet inte syns saknas eller är TPM troligtvis inaktiverad. Om det syns kan du gå till "Information om säkerhetsprocessor" för att se specifikationsversionen.

Så här aktiverar du TPM 2.0 från UEFI/BIOS

Om dina kontroller visar att TPM inte är tillgängligt men du misstänker att din dator är relativt ny, kan modulen helt enkelt vara inaktiverad i firmwareinställningarna . På många användarbyggda datorer eller konsumentmoderkort är den inaktiverad som standard.

För att ändra detta måste du komma åt datorns UEFI/BIOS och leta reda på alternativet relaterat till TPM eller plattformssäkerhet. Den exakta sökvägen varierar beroende på tillverkare, men i Windows kan du gå till Inställningar > Uppdatering och säkerhet > Återställning och använda alternativet "Starta om nu" under Avancerad start.

Efter omstart väljer du Felsök > Avancerade alternativ > UEFI Firmware-inställningar > Omstart . Detta tar dig till firmware-menyn där du ska leta efter alternativ som säkerhet, avancerade inställningar eller liknande. Varje tillverkare använder lite olika namn, så ta god tid på dig.

På system med Intel-processorer listas funktionen vanligtvis som ”Intel PTT” eller ”Intel Platform Trust Technology ”. För AMD finns den ofta som ”AMD fTPM” eller ”AMD PSP fTPM ”. Du kan också se den listad under etiketter som ”Säkerhetsenhet”, ”Stöd för säkerhetsenhet”, ”TPM-status” eller ”Tillförlitlig databehandling”.

När du har hittat alternativet måste du ändra dess status till Aktiverad, spara ändringarna och starta om datorn . När du sedan återgår till Windows bör du kunna se TPM i tpm.msc eller i Windows-säkerhetsappen och bekräfta att den uppfyller 2.0-specifikationen.

Observera också att TPM på många enheter fungerar tillsammans med Secure Boot-systemet . Om Secure Boot är inaktiverat kanske alternativen relaterade till modulen inte visas eller inte fungerar korrekt. I sådana fall är det lämpligt att först aktivera Secure Boot och sedan kontrollera TPM-statusen igen.

Vilka datorer har vanligtvis TPM 2.0 och vilka är de tillhörande kraven?

Generellt sett anses de flesta datorer tillverkade från och med 2018 ha integrerad TPM 2.0 eller motsvarande . Om din dator är mindre än fem eller sex år gammal är chansen ganska stor att den har den här funktionen, även om den är avstängd.

En annan ledtråd kommer från processorerna: Intel-processorer från åttonde generationen och framåt levereras vanligtvis redo att använda TPM 2.0 via Intel PTT , medan det i AMD-ekosystemet är vanligt att Ryzen-processorer från andra generationen och framåt integrerar fTPM med stöd för denna version.

TPM är dock inte det enda kravet för Windows 11. Systemet kräver också en 64-bitars processor med minst två kärnor på 1 GHz, 4 GB RAM och 64 GB lagringsutrymme . Även om dessa är blygsamma specifikationer med dagens mått mätt, utesluter de ett stort antal äldre datorer som fortfarande fungerar relativt bra med Windows 10.

I många stationära datorer som byggts av användare inkluderade moderkort i mellan- och enklare prisklasser från några år sedan inte minnesmodulen som standard, utan bara en kontakt för att lägga till den separat . Detta har skapat en ganska märklig situation: mycket kraftfulla maskiner vad gäller processor och grafik, men begränsade av avsaknaden av ett litet chip.

De som inte vill eller kan installera den extra modulen behöver överväga om de ska fortsätta med Windows 10 tills dess officiella stöd upphör eller överväga en hårdvaruuppgradering . Windows 10-stödet sträcker sig till oktober 2025, så det finns fortfarande lite tid att fatta ett beslut i lugn och ro.

Vad händer om din dator inte har TPM 2.0

Om du efter alla kontroller bekräftar att din dator inte har TPM 2.0 och det inte finns någon realistisk möjlighet att lägga till det, är dina alternativ begränsade. Officiellt uppfyller den datorn inte kraven för Windows 11, och därför kommer du inte att kunna installera den via Microsofts standardkanaler.

Det finns inofficiella metoder för att kringgå systemkravskontroller under installationen av Windows 11 , till exempel att ändra konfigurationsfiler eller använda verktyg från tredje part. Detta innebär dock att man avstår från viss support och, ännu viktigare, att man kör systemet utan den lägsta säkerhetsnivå som Microsoft anser vara nödvändig.

På enheter som inte klarar TPM 2.0 är det viktigt att överväga om det är mer värt att använda Windows 10 till slutet av dess livscykel, utforska alternativ som andra operativsystem eller investera i en modernare dator. Allt beror på hur du använder din dator och hur viktig integrerad hårdvarusäkerhet är för dig.

För många hemanvändare kan detta vara ett bra tillfälle att välja nyrenoverade datorer som redan har TPM 2.0-aktiverat , och som kan köra Windows 11 smidigt och till en lägre kostnad än en helt ny dator.

Även om TPM till en början kan verka som bara ett krav, är dess huvudsakliga syfte att bättre skydda dina data, lösenord och digitala inloggningsuppgifter . Du kanske inte interagerar med det direkt, men det finns där som en tyst väktare av allt som är viktigt på din dator.