Hello wymaga zaufanego platformy sprzętowej

Hello wymaga zaufanego platformy sprzętowej wskazuje na wymagany moduł TPM oraz Secure Boot — bez nich pełna funkcjonalność biometrycznego uwierzytelniania jest niedostępna.

Co oznacza komunikat „Hello wymaga zaufanej platformy sprzętowej”

Komunikat „Hello wymaga zaufanej platformy sprzętowej” pojawia się wtedy, gdy system Windows nie może potwierdzić obecności lub prawidłowego działania elementów zabezpieczających potrzebnych do konfiguracji Windows Hello. Funkcja ta służy do logowania za pomocą kodu PIN, rozpoznawania twarzy albo odcisku palca, jednak dane uwierzytelniające nie powinny być przechowywane i obsługiwane wyłącznie w zwykłej pamięci systemowej. Do ich ochrony wykorzystywane są mechanizmy sprzętowe, przede wszystkim moduł TPM, firmware komputera oraz ustawienia bezpiecznego rozruchu.

„Zaufana platforma sprzętowa” nie oznacza osobnego konta użytkownika ani programu instalowanego z internetu. Jest to zestaw funkcji płyty głównej i oprogramowania układowego, który pozwala systemowi zweryfikować stan urządzenia i bezpieczniej przechowywać klucze kryptograficzne. Jeśli moduł TPM jest wyłączony, wyczyszczony, niedostępny dla systemu albo działa z błędną konfiguracją, Windows Hello może odmówić utworzenia nowego kodu PIN lub użycia wcześniej skonfigurowanej metody logowania.

Rola TPM, UEFI i Secure Boot w Windows Hello

Moduł TPM, występujący między innymi jako TPM 2.0, wykonuje operacje związane z ochroną kluczy i potwierdzaniem integralności środowiska uruchomieniowego. Nie zastępuje hasła w każdej sytuacji, ale ogranicza ryzyko przejęcia danych uwierzytelniających przez skopiowanie ich z dysku. Windows może powiązać informacje potrzebne do logowania z konkretnym urządzeniem, dlatego zmiana ustawień firmware, reset modułu zabezpieczającego lub wymiana niektórych podzespołów może spowodować konieczność ponownej konfiguracji PIN-u.

Znaczenie ma również tryb UEFI oraz funkcja Secure Boot. Secure Boot pozwala firmware sprawdzać podpisy składników uruchamianych przed systemem operacyjnym, co utrudnia załadowanie zmodyfikowanego oprogramowania jeszcze przed startem Windows. Włączenie lub wyłączenie tej funkcji powinno być wykonywane świadomie, ponieważ przełączenie między trybem UEFI a starszym trybem zgodności może wpłynąć na sposób uruchamiania systemu, widoczność dysku oraz działanie szyfrowania urządzenia.

Podobny komunikat może wystąpić po aktualizacji BIOS-u lub UEFI, przywróceniu ustawień fabrycznych firmware, zmianie konfiguracji płyty głównej, odtworzeniu kopii systemu albo aktualizacji Windows. Sam fakt, że komputer uruchamia system, nie potwierdza jeszcze poprawnej współpracy wszystkich mechanizmów bezpieczeństwa. Należy sprawdzić, czy moduł TPM jest wykrywany, czy nie zgłasza błędnego stanu oraz czy ustawienia rozruchu odpowiadają konfiguracji zainstalowanego systemu.

Typowe przyczyny i błędy prowadzące do problemu - Hello wymaga zaufanego platformy sprzętowej

Jedną z częstszych przyczyn jest wyłączony moduł zabezpieczający w UEFI. W zależności od producenta płyty głównej może być oznaczony jako TPM, fTPM, PTT albo Security Device Support. Różne nazwy nie zawsze oznaczają osobny układ montowany na płycie, ponieważ w części komputerów funkcję tę realizuje rozwiązanie zintegrowane z firmware lub platformą procesora. Zmiana przypadkowej opcji bez zapisania bieżącej konfiguracji może doprowadzić do problemów z uruchomieniem albo utraty dostępu do zaszyfrowanych danych.

Innym źródłem błędu jest uszkodzona baza kluczy TPM lub niespójność pomiędzy stanem modułu a profilem użytkownika Windows. W takiej sytuacji wylogowanie i ponowne zalogowanie może nie wystarczyć. Czasem pomaga ponowne utworzenie kodu PIN, aktualizacja sterowników platformy, instalacja poprawki systemowej albo naprawa składników zabezpieczeń. Przed wyczyszczeniem TPM trzeba jednak sprawdzić, czy na komputerze działa szyfrowanie urządzenia lub BitLocker. Usunięcie kluczy bez przygotowania klucza odzyskiwania może spowodować zablokowanie dostępu do danych.

Problem bywa także mylony z awarią czytnika linii papilarnych lub kamery. Jeżeli system nie widzi modułu TPM, niesprawna biometria jest tylko objawem szerszego problemu z zaufanym środowiskiem platformy. Z kolei gdy TPM działa prawidłowo, a błąd dotyczy wyłącznie jednej metody logowania, należy sprawdzić usługę Windows Biometric Service, sterownik urządzenia, uprawnienia konta oraz zasady bezpieczeństwa skonfigurowane lokalnie lub przez organizację.

Nie powinno się pochopnie wybierać opcji czyszczenia modułu TPM, usuwać wszystkich danych logowania ani zmieniać trybu startowego bez ustalenia, jak został zainstalowany Windows. W pierwszej kolejności warto zanotować treść komunikatu, sprawdzić stan zabezpieczeń w systemie, zabezpieczyć klucz odzyskiwania oraz ustalić, czy problem pojawił się po konkretnej aktualizacji lub zmianie ustawień firmware.

Kiedy warto oddać urządzenie do diagnozy - Hello wymaga zaufanego platformy sprzętowej

Zgłoszenie do serwisu jest uzasadnione, gdy moduł TPM nie pojawia się w narzędziach systemowych, UEFI nie zapisuje zmienionych ustawień, po aktualizacji firmware występują problemy z logowaniem albo Windows Hello przestał działać mimo prawidłowego sterownika kamery i czytnika. Pomoc może być potrzebna również wtedy, gdy włączone jest szyfrowanie danych i nie ma pewności, czy reset zabezpieczeń nie spowoduje utraty dostępu do plików.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji TPM, UEFI, Secure Boot, sterowników oraz stanu systemu Windows. Przed wykonaniem zmian można ustalić, czy problem wynika z ustawień, aktualizacji, uszkodzenia oprogramowania układowego czy usterki płyty głównej. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala rozpocząć ocenę problemu bez pochopnego kasowania kluczy zabezpieczających.

Do zgłoszenia warto dołączyć informację o modelu urządzenia, wersji Windows, momencie pojawienia się komunikatu oraz ewentualnych zmianach wykonanych w BIOS-ie lub UEFI. Jeżeli używane jest szyfrowanie dysku, należy przygotować klucz odzyskiwania, ale nie przekazywać haseł w treści publicznego zgłoszenia. Takie dane ułatwiają bezpieczne rozróżnienie problemu z konfiguracją Windows Hello od awarii sprzętowej i ograniczają ryzyko nieodwracalnej utraty dostępu do plików.