Brak możliwości włączenia TPM/Secure Boot

Brak możliwości włączenia TPM/Secure Boot w BIOS-ie wskazuje na ograniczenie konkretnej platformy sprzętowej — starsze płyty główne mogą w ogóle nie mieć modułu TPM lub wsparcia dla Secure Boot.

Brak możliwości włączenia TPM lub Secure Boot oznacza, że komputer nie pozwala aktywować jednej albo obu funkcji zabezpieczeń dostępnych z poziomu UEFI/BIOS-u. Nie zawsze wskazuje to na awarię. Przyczyną może być ograniczenie płyty głównej, nieaktualne oprogramowanie układowe, niewłaściwy tryb uruchamiania systemu albo konfiguracja, w której ustawienia bezpieczeństwa są ukryte, zablokowane lub zależne od innych opcji. TPM odpowiada za bezpieczne przechowywanie kluczy kryptograficznych i może być zrealizowany jako osobny moduł albo funkcja wbudowana w firmware platformy. Secure Boot natomiast sprawdza podpis cyfrowy elementów uruchamianych przed systemem operacyjnym, aby ograniczyć ryzyko startu nieautoryzowanego oprogramowania.

Czym jest problem z aktywacją TPM i Secure Boot

TPM, czyli moduł zaufanej platformy, jest wykorzystywany między innymi do ochrony kluczy szyfrowania, poświadczeń oraz danych potrzebnych do potwierdzenia integralności uruchamianego środowiska. W zależności od konstrukcji komputera może występować jako fizyczny układ na płycie głównej lub jako rozwiązanie sprzętowo-firmware’owe, którego nazwa w ustawieniach różni się między producentami. Spotykane są między innymi określenia związane z bezpieczeństwem platformy, obsługą urządzeń zabezpieczających albo wbudowanym modułem zaufania.

Secure Boot jest mechanizmem UEFI, który weryfikuje podpisy składników uruchamianych podczas startu komputera. Jego prawidłowe działanie wymaga trybu UEFI, odpowiednich kluczy platformy oraz nośnika przygotowanego w sposób zgodny z tym trybem. Jeżeli komputer działa w trybie zgodności ze starszym BIOS-em, opcja Secure Boot może być niewidoczna, nieaktywna albo niemożliwa do zapisania. Czasami trzeba najpierw wyłączyć tryb zgodności, a dopiero później zmienić ustawienia bezpiecznego uruchamiania.

Problem może przyjmować różne formy. Ustawienie TPM może być dostępne, ale nie da się go włączyć. Opcja Secure Boot może być wyszarzona, powracać do poprzedniej wartości po ponownym uruchomieniu albo powodować komunikat o braku aktywnych kluczy. W innych przypadkach system operacyjny informuje o braku TPM, mimo że odpowiednia funkcja znajduje się w firmware. Zdarza się również, że zmiana ustawień prowadzi do utraty możliwości uruchomienia istniejącej instalacji, jeśli sposób startu systemu nie odpowiada nowej konfiguracji.

Kontekst techniczny i porównanie trybów uruchamiania - Brak możliwości włączenia TPM/Secure Boot

W starszych komputerach start systemu może odbywać się z wykorzystaniem klasycznego trybu zgodności, natomiast nowsze instalacje korzystają z UEFI. Nie są to wyłącznie dwie nazwy tego samego rozwiązania. Tryb uruchamiania wpływa na sposób odczytu informacji z dysku, strukturę partycji rozruchowej oraz możliwość użycia Secure Boot. Instalacja przygotowana dla jednego trybu może nie wystartować po przełączeniu na drugi, nawet jeśli wszystkie pliki systemowe pozostają na dysku.

Secure Boot można porównać do kontroli tożsamości składników startowych. Przed przekazaniem kontroli systemowi sprawdzane jest, czy używany program rozruchowy i powiązane elementy pochodzą z zaufanego źródła oraz czy ich podpis jest zgodny z zapisanymi kluczami. TPM działa na innym poziomie. Nie zastępuje bezpiecznego uruchamiania, lecz przechowuje lub potwierdza informacje potrzebne do ochrony procesu startowego i danych kryptograficznych. Obie funkcje mogą się uzupełniać, ale ich obecność, sposób konfiguracji i zakres zależą od płyty głównej, firmware’u oraz systemu operacyjnego.

W menu UEFI można znaleźć ustawienia dotyczące między innymi trybu uruchamiania, kluczy Secure Boot, przywracania kluczy fabrycznych, modułu zaufania, obsługi urządzeń zabezpieczających oraz zgodności ze starszym sposobem startu. Nazewnictwo nie jest jednolite. To samo rozwiązanie może być opisane inaczej na komputerze przenośnym, inaczej na płycie głównej do komputera stacjonarnego, a jeszcze inaczej po aktualizacji firmware’u. Dlatego mechaniczne wyszukanie jednej konkretnej nazwy nie zawsze prowadzi do właściwego ustawienia.

Znaczenie ma także stan dysku systemowego. Przełączenie z trybu zgodności na UEFI może wymagać wcześniejszej konwersji schematu partycji lub przygotowania partycji rozruchowej. Niewłaściwa kolejność czynności może spowodować komunikat o braku urządzenia startowego. Z tego powodu zmiany powinny być poprzedzone ustaleniem aktualnego trybu uruchamiania, sposobu partycjonowania dysku i możliwości powrotu do poprzedniej konfiguracji.

Typowe problemy, błędy i objawy - Brak możliwości włączenia TPM/Secure Boot

Jedną z częstych przyczyn jest brak obsługi TPM na danej platformie. W starszych płytach głównych może nie być odpowiedniego układu ani funkcji firmware’owej, a dostępne gniazdo na dodatkowy moduł nie musi oznaczać, że każdy moduł będzie zgodny. Wymagana bywa zgodność z konkretną wersją płyty, odpowiednim firmware’em i właściwym standardem komunikacji. Samo fizyczne podłączenie elementu nie gwarantuje pojawienia się funkcji w menu.

Inny scenariusz występuje wtedy, gdy TPM jest obecny, ale pozostaje wyłączony. W ustawieniach może być pokazany jako urządzenie zabezpieczające, moduł zaufania albo funkcja platformy. Po aktywacji system może wymagać ponownego uruchomienia i przeprowadzić proces inicjalizacji. Należy zachować ostrożność przy poleceniach dotyczących czyszczenia TPM, ponieważ usunięcie zapisanych danych może wpłynąć na dostęp do zaszyfrowanych zasobów, kluczy odzyskiwania lub chronionych poświadczeń.

Secure Boot często nie daje się uruchomić, gdy aktywny jest tryb zgodności ze starszym BIOS-em. Problemem może być również brak kluczy platformy, uszkodzona baza podpisów, niestandardowy program rozruchowy albo instalacja systemu przygotowana poza trybem UEFI. W takim przypadku samo przełączenie jednej opcji może nie wystarczyć. Konieczne może być przywrócenie domyślnych kluczy, sprawdzenie kolejności rozruchu, aktualizacja firmware’u lub naprawa środowiska startowego.

Do charakterystycznych objawów należą komunikaty o niezgodności trybu rozruchu, brak dysku na liście startowej, powrót do ustawień po restarcie, automatyczne wejście do UEFI, pętla naprawy systemu oraz ostrzeżenie o zmianie konfiguracji bezpieczeństwa. Wystąpienie takich objawów po zmianie TPM lub Secure Boot nie musi oznaczać uszkodzenia dysku. Może wskazywać na niespójność między ustawieniami firmware’u, strukturą partycji i sposobem, w jaki zainstalowano system.

Ryzyko błędnej konfiguracji zwiększa się po aktualizacji firmware’u, wymianie płyty głównej, klonowaniu dysku, przywróceniu obrazu systemu albo zmianie ustawień szyfrowania. Przed modyfikacją warto ustalić, czy są dostępne klucze odzyskiwania, kopia ważnych danych oraz informacje pozwalające odtworzyć wcześniejszy sposób uruchamiania. Nie należy wykonywać czyszczenia modułu zaufania ani przywracania kluczy bez rozpoznania, jakie mechanizmy ochrony danych są aktywne.

Kiedy trzeba przekazać urządzenie do naprawy - Brak możliwości włączenia TPM/Secure Boot

Pomoc serwisowa jest uzasadniona, gdy opcje TPM lub Secure Boot są niedostępne mimo sprawdzenia dokumentacji płyty głównej, po zmianie ustawień komputer przestał uruchamiać system albo pojawiły się ostrzeżenia dotyczące kluczy i szyfrowania. Weryfikacji wymaga również sytuacja, w której system nie widzi modułu zaufania, firmware nie zapisuje wybranych wartości lub po każdej zmianie następuje powrót do poprzedniej konfiguracji. Szczególnej ostrożności wymaga komputer zawierający dane chronione szyfrowaniem, ponieważ pochopne czyszczenie TPM może utrudnić ich odblokowanie.

W ramach sprawdzenia można ustalić model płyty głównej, wersję firmware’u, dostępność obsługi TPM, aktywny tryb rozruchu, stan kluczy Secure Boot oraz sposób przygotowania dysku systemowego. Następnie dobierana jest kolejność czynności: od odczytu bieżącej konfiguracji, przez wykonanie kopii istotnych danych i zabezpieczenie kluczy odzyskiwania, po zmianę ustawień lub przygotowanie środowiska startowego. Jeżeli ograniczenie wynika z konstrukcji platformy, można jasno wskazać, że dana funkcja nie jest dostępna programowo i nie powinna być wymuszana przypadkowymi ustawieniami.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie komputera, który nie pozwala aktywować TPM albo Secure Boot, zwłaszcza gdy zmiana ustawień spowodowała problemy z uruchamianiem systemu. Najpierw analizowana jest konfiguracja sprzętowa i firmware, a dopiero potem podejmowane są czynności naprawcze adekwatne do przyczyny. Pozwala to odróżnić brak obsługi danej funkcji od błędu ustawień, niezgodności trybu uruchamiania lub problemu z kluczami bezpieczeństwa.