ACPI niezgodny z aktualnym trybem TPM/Secure Boot

Nowsze wymagania Secure Boot i TPM 2.0 zakładają konkretną wersję tablicy ACPI (m.in. obecność TPM2 ACPI table) — starszy firmware bez jej aktualizacji zgłasza niezgodność, blokując pełną funkcjonalność zabezpieczeń sprzętowych.

ACPI niezgodny z aktualnym trybem TPM/Secure Boot – co oznacza ten komunikat

Komunikat o niezgodności ACPI z aktualnym trybem TPM lub Secure Boot wskazuje na problem na styku firmware’u płyty głównej, konfiguracji zabezpieczeń UEFI oraz systemu operacyjnego. ACPI, czyli zestaw tabel opisujących sposób współpracy systemu z podzespołami, przekazuje systemowi informacje dotyczące między innymi zarządzania energią, urządzeń zabezpieczających i mechanizmów uruchamiania. Jeżeli zapisane w firmware dane nie odpowiadają wymaganiom aktywnego trybu TPM albo Secure Boot, system może uznać konfigurację za niespójną.

Nie zawsze oznacza to uszkodzenie modułu TPM. Przyczyną może być nieaktualny BIOS lub UEFI, zmiana ustawień trybu uruchamiania, przywrócenie ustawień fabrycznych, błędna kolejność przełączania opcji bezpieczeństwa albo aktualizacja systemu, która zaczęła wymagać prawidłowo opisanych elementów ACPI. W praktyce problem może pojawić się dopiero po włączeniu Secure Boot, zmianie ustawienia TPM z ukrytego na aktywne lub po przygotowaniu komputera do instalacji nowszej wersji systemu.

Znaczenie ACPI, TPM i Secure Boot w konfiguracji komputera

ACPI nie jest pojedynczym przełącznikiem dostępnym w ustawieniach systemu, lecz warstwą informacji dostarczanych przez firmware. System korzysta z tych danych, aby rozpoznać urządzenia, obsłużyć stany uśpienia, zarządzać zasilaniem oraz komunikować się z wybranymi funkcjami płyty głównej. W kontekście zabezpieczeń szczególne znaczenie mają informacje opisujące obecność i sposób obsługi modułu TPM, w tym odpowiedniej tabeli ACPI związanej z TPM.

TPM przechowuje i udostępnia dane używane do weryfikacji integralności środowiska uruchomieniowego, natomiast Secure Boot sprawdza, czy elementy startowe systemu są podpisane i zgodne z zaufanym łańcuchem uruchamiania. Oba mechanizmy mogą działać poprawnie tylko wtedy, gdy firmware, ustawienia UEFI i system operacyjny posługują się spójnymi informacjami. Sama obecność modułu TPM nie gwarantuje więc prawidłowego działania całej konfiguracji.

Warto odróżnić tryb UEFI od starszego trybu zgodności uruchamiania. Secure Boot wymaga uruchamiania w środowisku UEFI, a przełączenie trybu po instalacji systemu może spowodować problemy z rozruchem, jeśli dysk korzysta z innego sposobu zapisu tablicy partycji. Z tego powodu zmiana opcji bezpieczeństwa powinna być poprzedzona sprawdzeniem bieżącej konfiguracji, kopią ważnych danych i ustaleniem, czy system został zainstalowany w sposób zgodny z planowanym trybem pracy.

Typowe przyczyny i objawy niezgodności - ACPI niezgodny z aktualnym trybem TPM/Secure Boot

Jednym z częstszych powodów jest firmware, w którym nie uwzględniono poprawnej obsługi wymaganych tabel ACPI albo zastosowano ich starszą wersję. Zdarza się również, że aktualizacja BIOS-u lub UEFI została wykonana niepełnie, przywróciła ustawienia domyślne albo pozostawiła niespójne wartości dotyczące kluczy rozruchowych i modułu TPM. Podobny efekt może wystąpić po wymianie płyty głównej, wyzerowaniu pamięci ustawień firmware’u lub zmianie trybu zgodności uruchamiania.

Objawy nie ograniczają się do jednego komunikatu. Możliwe jest odrzucenie uruchomienia systemu, ostrzeżenie o niespełnieniu wymagań bezpieczeństwa, brak możliwości włączenia Secure Boot, niewykrywanie TPM w ustawieniach systemu albo żądanie klucza odzyskiwania szyfrowania po zmianie konfiguracji rozruchowej. Czasem komputer uruchamia się normalnie, lecz narzędzie diagnostyczne zgłasza brak wymaganej tabeli lub nieprawidłowy stan zabezpieczeń.

Przed zmianą ustawień nie powinno się bez rozpoznania kasować danych TPM ani usuwać kluczy Secure Boot. Takie działania mogą doprowadzić do utraty dostępu do zaszyfrowanego dysku, wymusić odzyskiwanie systemu lub usunąć zapisane zaufane wpisy rozruchowe. Bezpieczniejsze jest zebranie informacji o wersji BIOS-u lub UEFI, bieżącym trybie uruchamiania, stanie TPM, sposobie partycjonowania dysku oraz dokładnym brzmieniu komunikatu.

W jakich sytuacjach warto zgłosić sprzęt do serwisu - ACPI niezgodny z aktualnym trybem TPM/Secure Boot

Zgłoszenie do serwisu jest uzasadnione, gdy błąd pojawił się po aktualizacji firmware’u, zmianie ustawień UEFI, wymianie podzespołu lub próbie włączenia Secure Boot, a samodzielne przywrócenie wcześniejszej konfiguracji nie rozwiązało problemu. Szczególnej ostrożności wymaga sytuacja, w której na dysku znajduje się szyfrowanie, ważne dane albo system przestał się uruchamiać po zmianie ustawień TPM. Wtedy najpierw powinno się ustalić, czy problem dotyczy firmware’u, kluczy rozruchowych, instalacji systemu, czy fizycznej awarii płyty głównej.

W ramach diagnostyki sprawdza się wersję i stan firmware’u, dostępność właściwej aktualizacji, konfigurację TPM, tryb UEFI, wpisy Secure Boot, strukturę dysku oraz zgodność tabel ACPI z wymaganiami systemu. Następnie dobiera się kolejność działań: od bezpiecznego odtworzenia prawidłowych ustawień, przez aktualizację firmware’u, po naprawę konfiguracji rozruchu. Każda zmiana powinna uwzględniać możliwość odzyskania dostępu do danych i działanie mechanizmów szyfrowania.

W Warszawie takie przypadki obsługuje Warszawskie Pogotowie Komputerowe 24/7, gdzie można przekazać komputer do sprawdzenia spójności firmware’u, TPM, Secure Boot i ACPI. Szczególnie wskazane jest zgłoszenie wtedy, gdy komunikat powraca po restarcie, pojawia się razem z problemem z uruchamianiem systemu albo towarzyszy mu utrata dostępu do ustawień zabezpieczeń.