Platform Trust Technology (PTT)

Platform Trust Technology (PTT) to sprzętowa implementacja funkcji zaufanego modułu platformy (fTPM) zintegrowana bezpośrednio w chipsecie lub procesorze Intela.

Platform Trust Technology, określana skrótem PTT, to rozwiązanie firmy Intel służące do realizacji funkcji modułu TPM bez konieczności instalowania oddzielnego układu na płycie głównej. W praktyce PTT udostępnia mechanizmy zaufanego modułu platformy za pomocą elementów zintegrowanych z platformą sprzętową, przede wszystkim chipsetem lub procesorem, zależnie od generacji urządzenia i zastosowanej architektury. Dzięki temu komputer może przechowywać oraz wykorzystywać klucze kryptograficzne, informacje związane z integralnością uruchamiania systemu i dane potrzebne do bezpiecznego uwierzytelniania.

Platform Trust Technology, czyli sprzętowa podstawa zaufania

PTT tworzy tak zwaną podstawę zaufania dla wybranych operacji bezpieczeństwa. Jej zadaniem nie jest samodzielne szyfrowanie całego komputera ani zastępowanie programu antywirusowego, lecz zapewnienie chronionego środowiska dla kluczy i pomiarów używanych przez system operacyjny oraz aplikacje. Informacje przechowywane z użyciem mechanizmów TPM mogą być powiązane z konkretną konfiguracją urządzenia, stanem procesu uruchamiania lub ustawieniami zabezpieczeń.

Włączenie PTT jest często wymagane albo zalecane przy korzystaniu z funkcji dostępnych we współczesnych systemach operacyjnych. Rozwiązanie to może współpracować między innymi z szyfrowaniem dysku, bezpiecznym rozruchem, logowaniem za pomocą kluczy sprzętowych oraz mechanizmami sprawdzającymi, czy środowisko uruchomieniowe nie zostało zmodyfikowane. Samo istnienie opcji PTT w ustawieniach firmware nie oznacza jednak, że wszystkie zabezpieczenia są aktywne. Znaczenie mają również ustawienia UEFI, tryb rozruchu, wersja systemu, konfiguracja dysku oraz sposób zapisania kluczy odzyskiwania.

W dokumentacji płyt głównych i laptopów można spotkać różne nazwy powiązane z tą funkcją. PTT bywa umieszczane w sekcji Security, Trusted Computing, Firmware TPM albo podobnej. Czasami ustawienie jest domyślnie wyłączone, a czasami pozostaje aktywne od początku. Dostępne opcje zależą od producenta urządzenia, modelu procesora, wersji UEFI oraz aktualizacji firmware. Z tego powodu identyczna nazwa funkcji może prowadzić do nieco innego układu menu w dwóch różnych komputerach.

PTT a klasyczny moduł TPM i firmware TPM

Klasyczny TPM jest osobnym układem montowanym na płycie głównej albo instalowanym w postaci dodatkowego modułu przeznaczonego dla konkretnego modelu. PTT pełni podobną rolę funkcjonalną, lecz jego obsługa jest zintegrowana z platformą Intel. W wielu przypadkach użytkownik otrzymuje więc zgodność z wymaganiami TPM 2.0 bez zajmowania dodatkowego gniazda i bez montowania oddzielnego elementu.

PTT można porównać do rozwiązania firmware TPM, ponieważ funkcja zaufanego modułu jest realizowana przez elementy już obecne w platformie, a nie przez odrębny układ dodawany do komputera. Różnice wynikają z konkretnej architektury i sposobu implementacji. Nie należy zakładać, że każda platforma Intel obsługuje PTT w taki sam sposób ani że aktywacja funkcji zawsze będzie możliwa po aktualizacji systemu. Najpierw trzeba potwierdzić zgodność sprzętu i firmware.

Ważnym elementem jest relacja pomiędzy PTT a Secure Boot. PTT może przechowywać lub obsługiwać dane potrzebne do ochrony procesu uruchamiania, natomiast Secure Boot odpowiada za sprawdzanie podpisów wybranych składników startowych. Są to funkcje powiązane, ale nieidentyczne. Wyłączenie jednej z nich nie zawsze wyłącza drugą, a zmiana trybu UEFI, wyczyszczenie kluczy lub przywrócenie ustawień fabrycznych może zmienić zachowanie komputera.

Przed modyfikacją ustawień PTT należy zwrócić uwagę na szyfrowanie dysku. Jeżeli klucz ochronny został powiązany z modułem TPM, zmiana konfiguracji, wyczyszczenie danych modułu albo wymiana płyty głównej może spowodować żądanie klucza odzyskiwania przy następnym uruchomieniu. Samo wyłączenie funkcji nie powinno być traktowane jako rutynowy sposób rozwiązywania problemów z systemem. Najpierw warto sprawdzić, czy klucz odzyskiwania został zapisany i czy użytkownik ma dostęp do danych potrzebnych do odblokowania dysku.

Typowe problemy związane z PTT

Jednym z częstszych problemów jest brak widoczności PTT w ustawieniach UEFI. Przyczyną może być nieobsługiwana generacja platformy, ograniczenie wprowadzone przez producenta, nieaktualne firmware albo używanie innej nazwy dla funkcji TPM. Zdarza się również, że ustawienie znajduje się w podmenu dotyczącym bezpieczeństwa procesora lub zaufanego przetwarzania, dlatego nie jest widoczne w podstawowym widoku konfiguracji.

Inna sytuacja występuje wtedy, gdy system zgłasza brak TPM mimo włączonego PTT. W takim przypadku należy sprawdzić, czy system uruchamia się w trybie UEFI, czy moduł nie został wyczyszczony, czy usługa odpowiedzialna za obsługę zabezpieczeń działa prawidłowo oraz czy firmware poprawnie zapisuje konfigurację. Problem może także wynikać z uszkodzonej aktualizacji, resetu ustawień płyty głównej albo niespójności pomiędzy konfiguracją systemu a stanem kluczy przechowywanych przez moduł.

Do ostrożności skłaniają sytuacje, w których po zmianie PTT pojawia się ekran odzyskiwania szyfrowanego dysku. Nie musi to oznaczać awarii sprzętu. System może rozpoznać zmianę środowiska zaufania i zażądać dodatkowego potwierdzenia. Jeżeli klucz odzyskiwania nie jest dostępny, pochopne czyszczenie modułu, reinstalacja systemu lub reset UEFI może doprowadzić do utraty dostępu do danych. W pierwszej kolejności należy ustalić, czy problem dotyczy samego PTT, konfiguracji Secure Boot, konta użytkownika, nośnika danych czy procesu aktualizacji.

Problemy mogą pojawić się także po wymianie płyty głównej, przywróceniu ustawień domyślnych, zmianie trybu zgodności rozruchu albo aktualizacji firmware. PTT nie przechowuje kopii plików użytkownika, lecz jego stan może wpływać na możliwość automatycznego odblokowania zabezpieczonego dysku. Z tego względu przed ingerencją w ustawienia bezpieczeństwa warto wykonać kopię ważnych danych, zachować klucze odzyskiwania i zanotować bieżącą konfigurację UEFI.

Kiedy warto oddać urządzenie do diagnozy - Platform Trust Technology (PTT)

Pomoc serwisowa jest wskazana, gdy PTT nie pojawia się w UEFI, system nie rozpoznaje modułu TPM, po zmianie ustawień pojawia się żądanie klucza odzyskiwania albo funkcje szyfrowania i bezpiecznego rozruchu działają inaczej niż wcześniej. Szczególnej ostrożności wymaga sytuacja, w której komputer zawiera ważne pliki, a dostęp do nich zależy od kluczy powiązanych ze stanem platformy. Bez wcześniejszego rozpoznania przyczyny nie powinno się czyścić modułu, resetować kluczy ani wielokrotnie zmieniać ustawień zabezpieczeń.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji PTT, ustawień UEFI, zgodności platformy z TPM 2.0 oraz zależności pomiędzy modułem zaufania a szyfrowaniem dysku. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, co pozwala najpierw ustalić, czy problem wynika z ustawień, firmware, systemu operacyjnego czy usterki podzespołów.

Do serwisu warto zgłosić się również przed planowaną wymianą płyty głównej, reinstalacją systemu lub aktualizacją firmware, jeżeli komputer wykorzystuje szyfrowanie danych. Przed rozpoczęciem prac można wtedy zweryfikować stan zabezpieczeń, sprawdzić dostępność klucza odzyskiwania i przygotować bezpieczną kolejność zmian. Takie postępowanie ogranicza ryzyko zablokowania dostępu do dysku oraz ułatwia przywrócenie prawidłowej konfiguracji PTT po zakończeniu naprawy.