TPM 2.0 là gì và tại sao nó lại trở thành bắt buộc trong Windows 11?

Informatec Digital » Recursos » TPM 2.0 là gì và tại sao nó lại trở thành bắt buộc trong Windows 11?

Nếu bạn đang cân nhắc nâng cấp lên Windows 11, có lẽ bạn đã gặp phải thông báo đáng sợ rằng máy tính của bạn cần bật TPM 2.0 để cài đặt hệ thống . Và tất nhiên, câu hỏi tự nhiên là: TPM 2.0 là gì, tại sao nó lại bắt buộc, và điều gì sẽ xảy ra nếu máy tính của tôi không có hoặc nó không được liệt kê ở bất cứ đâu?

Trong các phiên bản Windows mới nhất, thành phần nhỏ bé này từ chỗ gần như không được biết đến đã trở thành một phần quan trọng của bảo mật và là một yêu cầu kỹ thuật thiết yếu . Nghe có vẻ rất kỹ thuật, nhưng ý tưởng cơ bản khá đơn giản: đó là một loại két sắt bên trong máy tính của bạn, chứa đựng chìa khóa của mọi thứ quan trọng.

TPM là gì và nó đóng vai trò gì trong máy tính của bạn?

Từ viết tắt TPM là viết tắt của Trusted Platform Module (Mô -đun nền tảng đáng tin cậy) , là một con chip hoặc chức năng tích hợp bên trong bộ xử lý hoạt động như một bộ xử lý mã hóa an toàn — một bộ xử lý nhỏ chuyên dụng cho các hoạt động bảo mật và mã hóa.

Mô-đun này chịu trách nhiệm tạo, lưu trữ và bảo vệ các khóa mã hóa, mật khẩu, chứng chỉ và các dữ liệu nhạy cảm khác mà hệ điều hành cần để đảm bảo không ai có thể truy cập thông tin của bạn mà không được phép, ngay cả khi họ có quyền truy cập vật lý vào máy tính.

TPM không phải là một phát minh mới: nó đã được sử dụng trong nhiều năm trong môi trường chuyên nghiệp để tăng cường bảo mật phần cứng, đặc biệt là trong các công ty và cơ quan hành chính nhà nước . Tuy nhiên, với sự ra đời của Windows 11, nó đã trở nên quan trọng hơn bao giờ hết vì Microsoft đã biến nó thành một yêu cầu bắt buộc để cài đặt hệ thống một cách chính thức.

Về mặt vật lý, TPM có thể là một chip riêng biệt được hàn vào bo mạch chủ hoặc một mô-đun cắm vào một đầu nối cụ thể . Trong nhiều thiết bị hiện đại, đặc biệt là máy tính xách tay, chức năng TPM đã được tích hợp vào CPU (Intel PTT, AMD fTPM), mặc dù đôi khi nó bị vô hiệu hóa theo mặc định và phải được kích hoạt thông qua UEFI/BIOS.

TPM thực sự làm gì và tại sao nó lại quan trọng đến vậy?

Điểm thú vị nhất của TPM là nó hoạt động như một kho lưu trữ an toàn và biệt lập cho các khóa mã hóa và thông tin xác thực . Các khóa được lưu trữ bên trong nó không thể truy cập trực tiếp bởi hệ điều hành hoặc các ứng dụng; chúng chỉ có thể được truy cập thông qua các lệnh cụ thể trên chính con chip đó.

Mỗi TPM tích hợp các khóa mã hóa riêng, được liên kết với thiết bị cụ thể . Một trong số đó là Khóa Xác thực (EK), một cặp khóa RSA duy nhất được tạo tại nhà máy và lưu trữ bên trong chip, không thể truy cập được bằng phần mềm. Các khóa khác được tạo ra từ EK này, chẳng hạn như Khóa Gốc Lưu trữ , được sử dụng làm cơ sở để mã hóa các khóa còn lại được lưu trữ trong mô-đun.

Ngoài ra, TPM có thể tạo ra Khóa Xác thực Danh tính (AIK) , giúp xác minh trạng thái khởi động của hệ thống một cách đáng tin cậy. Chip này tính toán các hàm băm hoặc các phép đo của phần mềm cơ sở, UEFI và các thành phần quan trọng của hệ điều hành trong quá trình khởi động , và có thể gửi các phép đo này đến một máy chủ để kiểm tra xem mọi thứ có khớp với kỳ vọng hay không. Nếu phát hiện thấy những thay đổi đáng ngờ, thiết bị được coi là có khả năng bị xâm phạm.

Nhờ thiết kế này, TPM rất hữu ích trong việc bảo vệ chống lại các mối đe dọa hiện đại như tấn công firmware, mã độc tống tiền tiên tiến , thao túng khởi động hoặc đánh cắp dữ liệu thông qua truy cập vật lý . Kẻ tấn công có thể nắm giữ ổ cứng trong tay, nhưng nếu không có các khóa được lưu trữ trong TPM, dữ liệu được mã hóa sẽ không thể sử dụng được.

Tiêu chuẩn TPM không chỉ định nghĩa con chip mà còn cả một bộ thông số kỹ thuật và lệnh được duy trì bởi Nhóm Điện toán Tin cậy (TCG) , một tổ chức phi lợi nhuận chịu trách nhiệm cập nhật và mở rộng các tiêu chuẩn này để thích ứng với các nhu cầu bảo mật mới.

TPM 1.2 so với TPM 2.0: Tại sao Windows 11 yêu cầu phiên bản mới hơn

Trong nhiều năm, phiên bản phổ biến nhất là TPM 1.2, thậm chí còn được chuẩn hóa thành tiêu chuẩn quốc tế ISO/IEC 11889. Phiên bản này đã cho phép bảo vệ khóa, mã hóa dữ liệu và xác minh tính toàn vẹn hệ thống, nhưng nó bị hạn chế hơn về thuật toán mã hóa và các chức năng mà nó có thể cung cấp.

Việc chuyển sang TPM 2.0 đã mang lại sự nâng cấp đáng kể về khả năng và tính linh hoạt . Trong số những cải tiến khác, tiêu chuẩn mới cho phép sử dụng các thuật toán mã hóa khác nhau một cách linh hoạt, thay vì gần như bị ràng buộc với SHA-1 như trường hợp của TPM 1.2, điều này rất cần thiết để tăng khả năng chống lại các cuộc tấn công hiện đại.

TPM 2.0 cũng tích hợp những cải tiến trong quản lý khóa, bảo vệ dữ liệu sinh trắc học và xác minh chữ ký , và được thiết kế để hoạt động không chỉ trên máy tính để bàn và máy tính xách tay, mà còn trên các thiết bị có tài nguyên hạn chế hơn, chẳng hạn như máy tính bảng hoặc hệ thống nhúng.

Đó là lý do tại sao Microsoft quyết định rằng, đối với Windows 11, mức độ bảo mật phần cứng tối thiểu có thể chấp nhận được sẽ là TPM 2.0 . Mặc dù về mặt kỹ thuật, Windows có thể hoạt động với TPM 1.2, nhưng các tính năng bảo mật tiên tiến nhất và những cải tiến nền tảng trong tương lai đều dựa trên khả năng mở rộng của phiên bản 2.0.

Trên thực tế, điều này có nghĩa là một máy tính có TPM 1.2 có thể chạy Windows 11 về mặt hiệu năng, nhưng sẽ không đáp ứng các yêu cầu bảo mật hệ thống chính thức và quá trình cài đặt sẽ nằm ngoài các phương pháp được Microsoft hỗ trợ.

Windows sử dụng TPM cho những mục đích gì trong cuộc sống hàng ngày?

Trong Windows 10 và đặc biệt là Windows 11, TPM được tích hợp với một số tính năng bảo mật. Bạn không thường xuyên nhìn thấy nó, nhưng nó hoạt động ngầm để bảo vệ dữ liệu và danh tính của bạn.

Một trong những tính năng dễ thấy nhất là BitLocker , hệ thống mã hóa ổ đĩa của Windows . Khi BitLocker được kích hoạt, nội dung của ổ đĩa sẽ được mã hóa và khóa giải mã được lưu trữ (hoặc bảo vệ) bởi TPM (Target Memory Module). Bằng cách này, nếu ai đó đánh cắp ổ cứng hoặc máy tính xách tay, mà không có khóa được lưu trữ trong mô-đun, họ sẽ không thể truy cập dữ liệu, ngay cả khi họ kết nối ổ đĩa với một máy tính khác.

TPM cũng được sử dụng trong Windows Hello, hệ thống đăng nhập sử dụng nhận diện khuôn mặt, vân tay hoặc mã PIN . Dữ liệu sinh trắc học và các khóa liên quan được liên kết với phần cứng máy tính của bạn thông qua chip, khiến việc đánh cắp hoặc sử dụng lại chúng trên thiết bị khác trở nên khó khăn hơn nhiều.

Một yếu tố quan trọng khác là mối quan hệ của nó với Secure Boot và Measured Boot . Secure Boot đảm bảo rằng chỉ phần mềm đã được ký và đáng tin cậy mới được tải trong các giai đoạn khởi động ban đầu, trong khi Measured Boot ghi lại các phép đo của từng thành phần đang chạy trong TPM. Điều này cho phép phát hiện các nỗ lực tiêm phần mềm độc hại vào quá trình khởi động hệ thống.

Hơn nữa, Windows có thể kết hợp TPM với các công nghệ như Credential Guard hoặc bảo vệ thông tin xác thực dựa trên ảo hóa . Trong trường hợp này, mật khẩu và mã thông báo truy cập được cách ly trong một môi trường được bảo vệ, và TPM hoạt động như một gốc tin cậy mật mã, khiến kẻ tấn công khó đánh cắp thông tin xác thực hơn nhiều.

Các ứng dụng phổ biến khác bao gồm thẻ thông minh ảo để xác thực quyền truy cập vào tài nguyên doanh nghiệp , bảo vệ chống lại các cuộc tấn công từ điển khi cố gắng bẻ khóa mật khẩu, hoặc lưu trữ an toàn các chứng chỉ và khóa cho kết nối VPN, email được ký điện tử và duyệt web an toàn.

Các loại hình triển khai TPM khác nhau

Mặc dù chúng ta thường coi TPM như một con chip duy nhất, nhưng thực tế có nhiều cách để triển khai nó, mỗi cách đều có các tính năng bảo mật riêng . Tất cả đều tuân thủ các thông số kỹ thuật của TCG, nhưng khác nhau ở cấp độ vật lý hoặc logic.

Một mặt, có các TPM rời rạc, là những chip chuyên dụng được hàn trực tiếp lên bo mạch chủ. Về lý thuyết, đây là lựa chọn an toàn nhất, vì chúng được thiết kế để chống lại sự can thiệp vật lý và giảm thiểu khả năng xảy ra lỗi do chia sẻ không gian với các thành phần khác.

Một lựa chọn phổ biến khác là TPM tích hợp vào CPU chính , tích hợp các cơ chế bảo mật riêng và cung cấp mức độ bảo vệ gần bằng chip TPM rời, nhưng giảm chi phí và mang lại sự tiện lợi cho nhà sản xuất.

Cũng tồn tại các TPM dựa trên firmware , hoạt động trong môi trường thực thi đáng tin cậy của CPU . Chúng vẫn khá an toàn và, đối với người dùng thông thường, cung cấp đủ sự bảo vệ cho việc sử dụng hàng ngày và chuyên nghiệp.

Ở mức độ bảo mật thấp hơn là các TPM chỉ dựa trên phần mềm , về cơ bản chúng mô phỏng hoạt động của mô-đun nhưng không có cơ sở tin cậy vững chắc vào phần cứng, khiến chúng dễ bị tấn công từ bên ngoài hoặc các lỗ hổng trong chính hệ điều hành.

Cuối cùng, trong môi trường ảo hóa, việc sử dụng các TPM ảo do hypervisor cung cấp là rất phổ biến , cho phép các máy ảo có các chức năng tương tự mà không cần chip vật lý riêng cho mỗi máy.

Vì sao Windows 11 yêu cầu TPM 2.0 bắt buộc?

Thay đổi lớn nhất ở Windows 11 là Microsoft không còn coi TPM là một tính năng tùy chọn mà đã biến nó thành một yêu cầu bảo mật cốt lõi . Ý tưởng là tất cả các máy tính chạy hệ thống này sẽ có một gốc tin cậy ở cấp độ phần cứng để chống lại tốt hơn các mối đe dọa hiện nay.

Ngày nay, các cuộc tấn công không còn giới hạn ở các loại virus đơn giản; chúng ta đang nói đến các loại mã độc tống tiền tinh vi, phần mềm độc hại bám vào firmware, các nỗ lực đánh cắp thông tin đăng nhập và truy cập từ xa bằng cách khai thác các lỗi cấu hình . Trong bối cảnh này, chỉ dựa vào phần mềm bảo mật thôi là không đủ, đó là lý do tại sao Microsoft cam kết tích hợp khả năng bảo vệ trực tiếp vào phần cứng.

Bằng cách yêu cầu TPM 2.0, Windows 11 đảm bảo rằng các tính năng như BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard và các công nghệ dựa trên ảo hóa khác có thể được bật theo mặc định , mà không phụ thuộc vào việc nhà sản xuất hoặc người dùng có quyết định kích hoạt chúng hay không.

Trong nhiều thiết bị được sản xuất từ ​​năm 2016 trở đi, đặc biệt là máy tính xách tay và máy tính để bàn dành cho mục đích kinh doanh, TPM 2.0 đã được tích hợp sẵn từ nhà máy, mặc dù đôi khi bị vô hiệu hóa . Trong các trường hợp khác, đặc biệt là ở các máy tính tự lắp ráp hoặc bo mạch chủ tầm trung và cấp thấp từ vài năm trước, mô-đun này không được tích hợp mặc định và phải được thêm vào thông qua một đầu nối chuyên dụng.

Đây là nguồn gốc của nhiều lời phàn nàn từ những người dùng sở hữu máy tính rất mạnh, hoàn toàn có khả năng chạy Windows 11 , nhưng lại không vượt qua được bộ lọc vì thiếu TPM 2.0 hoặc đã tắt chức năng này trong UEFI/BIOS.

Cách kiểm tra xem máy tính của bạn có TPM 2.0 hay không thông qua Windows.

Trước khi cho rằng máy tính của bạn không tương thích với Windows 11, bạn nên kiểm tra xem nó có hỗ trợ TPM 2.0 hay không và nếu có, phiên bản nào đang được kích hoạt . Windows cung cấp một số cách để thực hiện việc này mà không cần cài đặt bất cứ thứ gì.

Một trong những cách đơn giản nhất là sử dụng Microsoft Management Console for TPM :

1. Nhấn tổ hợp phím Windows + R để mở hộp thoại “Chạy”.
2. Viết tpm.msc (không có dấu ngoặc kép) và nhấn Enter.
3. Cửa sổ quản trị Mô-đun Nền tảng Bảo mật sẽ mở ra.

Nếu thông báo như “Không tìm thấy TPM tương thích” hoặc “Không có TPM tương thích” xuất hiện trong cửa sổ đó , điều này có thể có nghĩa là hai điều: thiết bị của bạn không có mô-đun này, hoặc nó đã bị vô hiệu hóa trong cài đặt phần mềm. Trong trường hợp thứ hai, bạn cần truy cập UEFI/BIOS để kích hoạt nó.

Ngược lại, nếu bảng điều khiển hiển thị thông báo "TPM đã sẵn sàng sử dụng" và thông tin nhà sản xuất , bạn cần xem mục "Phiên bản thông số kỹ thuật". Nếu hiển thị 2.0, máy tính của bạn đáp ứng yêu cầu này đối với Windows 11; nếu con số thấp hơn (ví dụ: 1.2), thiết bị sẽ không đạt được mức độ bảo mật cần thiết.

Một cách khác là sử dụng PowerShell với quyền quản trị viênMở PowerShell với quyền quản trị viên, nhập lệnh sau: get-tpm và nhấn Enter. Trong số các dữ liệu được hiển thị, hãy xem giá trị Tpmhiện tạiNếu hiển thị là “False”, mô-đun đó không có trên bo mạch chủ; nếu là “True”, mô-đun đó có mặt và bạn cũng có thể kiểm tra trạng thái cũng như các đặc tính của nó.

Bạn cũng có thể kiểm tra ứng dụng Bảo mật Windows, cụ thể là các mục "Bảo mật thiết bị" và "Bộ xử lý bảo mật" . Nếu mục này không hiển thị, có thể TPM bị thiếu hoặc bị vô hiệu hóa; nếu nó hiển thị, bạn có thể vào "Chi tiết bộ xử lý bảo mật" để xem phiên bản thông số kỹ thuật.

Hướng dẫn cách kích hoạt TPM 2.0 từ UEFI/BIOS

Nếu quá trình kiểm tra cho thấy TPM không khả dụng nhưng bạn nghi ngờ máy tính của mình tương đối mới, thì mô-đun này có thể đơn giản là đã bị vô hiệu hóa trong cài đặt phần mềm . Trên nhiều máy tính tự lắp ráp hoặc bo mạch chủ dành cho người tiêu dùng, nó bị vô hiệu hóa theo mặc định.

Để thay đổi điều này, bạn cần truy cập vào UEFI/BIOS của máy tính và tìm tùy chọn liên quan đến TPM hoặc bảo mật nền tảng . Đường dẫn chính xác có thể khác nhau tùy thuộc vào nhà sản xuất, nhưng trên Windows, bạn có thể vào Cài đặt > Cập nhật & Bảo mật > Khôi phục và sử dụng tùy chọn "Khởi động lại ngay" trong phần Khởi động nâng cao.

Sau khi khởi động lại, chọn Khắc phục sự cố > Tùy chọn nâng cao > Cài đặt phần mềm UEFI > Khởi động lại . Thao tác này sẽ đưa bạn đến menu phần mềm, nơi bạn nên tìm các tùy chọn như bảo mật, cài đặt nâng cao hoặc tương tự. Mỗi nhà sản xuất sử dụng các tên gọi hơi khác nhau, vì vậy hãy dành thời gian tìm hiểu.

Trên các hệ thống sử dụng bộ xử lý Intel, tính năng này thường được liệt kê là “Intel PTT” hoặc “Intel Platform Trust Technology ”. Đối với AMD, nó thường được tìm thấy dưới dạng “AMD fTPM” hoặc “AMD PSP fTPM ”. Bạn cũng có thể thấy nó được liệt kê dưới các nhãn như “Thiết bị bảo mật”, “Hỗ trợ thiết bị bảo mật”, “Trạng thái TPM” hoặc “Điện toán đáng tin cậy”.

Sau khi tìm thấy tùy chọn đó, bạn cần thay đổi trạng thái của nó thành Đã bật, lưu các thay đổi và khởi động lại máy tính . Sau đó, khi quay lại Windows, bạn sẽ có thể thấy TPM trong tpm.msc hoặc ứng dụng Bảo mật Windows và xác nhận rằng nó đáp ứng thông số kỹ thuật 2.0.

Cũng cần lưu ý rằng trên nhiều thiết bị, TPM hoạt động cùng với hệ thống Khởi động An toàn (Secure Boot) . Nếu Khởi động An toàn bị vô hiệu hóa, các tùy chọn liên quan đến mô-đun có thể không được hiển thị hoặc có thể không hoạt động chính xác. Trong trường hợp như vậy, nên bật Khởi động An toàn trước rồi kiểm tra lại trạng thái TPM.

Những loại máy tính nào thường tích hợp TPM 2.0 và các yêu cầu đi kèm là gì?

Nhìn chung, hầu hết các máy tính được sản xuất từ ​​năm 2018 trở đi đều được coi là tích hợp TPM 2.0 hoặc tương đương . Nếu máy tính của bạn chưa đến năm hoặc sáu năm tuổi, khả năng cao là nó có tính năng này, ngay cả khi nó bị tắt.

Một manh mối khác được cung cấp bởi các bộ xử lý: Các bộ xử lý Intel từ thế hệ thứ tám trở đi thường được tích hợp sẵn TPM 2.0 thông qua Intel PTT , trong khi ở hệ sinh thái AMD, các bộ xử lý Ryzen từ thế hệ thứ hai trở đi thường tích hợp fTPM với hỗ trợ phiên bản này.

Tuy nhiên, TPM không phải là yêu cầu duy nhất đối với Windows 11. Hệ thống cũng yêu cầu CPU 64-bit với ít nhất hai lõi tốc độ 1 GHz, 4 GB RAM và 64 GB dung lượng lưu trữ . Mặc dù đây là những thông số kỹ thuật khiêm tốn theo tiêu chuẩn hiện nay, nhưng chúng lại loại trừ một số lượng lớn máy tính cũ vẫn hoạt động khá tốt với Windows 10.

Trong nhiều máy tính để bàn tự lắp ráp, các bo mạch chủ tầm trung và cấp thấp từ vài năm trước không tích hợp sẵn mô-đun bộ nhớ, mà chỉ có một đầu nối để thêm riêng . Điều này đã tạo ra một tình huống khá kỳ lạ: những cỗ máy rất mạnh mẽ về CPU và đồ họa, nhưng lại bị hạn chế bởi sự thiếu vắng của một con chip nhỏ.

Những người không muốn hoặc không thể cài đặt mô-đun bổ sung đó cần cân nhắc xem nên tiếp tục sử dụng Windows 10 cho đến khi kết thúc thời gian hỗ trợ chính thức hay xem xét nâng cấp phần cứng . Windows 10 được hỗ trợ đến tháng 10 năm 2025, vì vậy vẫn còn thời gian để đưa ra quyết định một cách bình tĩnh.

Điều gì sẽ xảy ra nếu máy tính của bạn không có TPM 2.0?

Nếu sau tất cả các bước kiểm tra, bạn xác nhận rằng máy tính của mình không có TPM 2.0 và không có khả năng bổ sung nó , thì các lựa chọn của bạn sẽ bị hạn chế. Về mặt chính thức, máy tính đó không đáp ứng các yêu cầu của Windows 11, và do đó bạn sẽ không thể cài đặt nó thông qua các kênh tiêu chuẩn của Microsoft.

Có những phương pháp không chính thức để bỏ qua việc kiểm tra yêu cầu hệ thống trong quá trình cài đặt Windows 11 , chẳng hạn như sửa đổi các tệp cấu hình hoặc sử dụng các công cụ của bên thứ ba. Tuy nhiên, điều này có nghĩa là bạn sẽ phải từ bỏ một số hỗ trợ và quan trọng hơn là vận hành hệ thống mà không có mức độ bảo mật tối thiểu mà Microsoft coi là cần thiết.

Đối với các thiết bị không hỗ trợ TPM 2.0, điều quan trọng là phải cân nhắc xem liệu việc sử dụng Windows 10 cho đến hết vòng đời của nó, tìm kiếm các lựa chọn thay thế như các hệ điều hành khác, hay đầu tư vào một máy tính hiện đại hơn có đáng giá hơn hay không. Tất cả phụ thuộc vào cách bạn sử dụng máy tính và mức độ quan trọng của bảo mật phần cứng tích hợp đối với bạn.

Đối với nhiều người dùng gia đình, đây có thể là cơ hội tốt để lựa chọn những máy tính đã được tân trang lại, tích hợp sẵn TPM 2.0 , có khả năng chạy Windows 11 mượt mà và với chi phí thấp hơn so với máy tính mới.

Mặc dù thoạt nhìn TPM có vẻ chỉ là một yêu cầu bắt buộc khác, mục đích chính của nó là bảo vệ tốt hơn dữ liệu, mật khẩu và thông tin đăng nhập kỹ thuật số của bạn . Bạn có thể không tương tác trực tiếp với nó, nhưng nó luôn hiện diện như một người bảo vệ thầm lặng cho mọi thứ quan trọng trên máy tính của bạn.