Problem z TPM

Problem z TPM ogólnie wymaga sprawdzenia stanu modułu poleceniem tpm.msc oraz jego aktywacji w ustawieniach BIOS/UEFI.

Czym jest TPM i skąd bierze się problem

TPM (Trusted Platform Module) to moduł bezpieczeństwa służący do przechowywania i wykonywania operacji z użyciem kluczy kryptograficznych. W nowszych laptopach i komputerach PC najczęściej stosowany jest TPM 2.0, dostępny jako osobny układ na płycie głównej albo jako implementacja firmware’owa udostępniana przez platformę sprzętową. Moduł może przechowywać między innymi klucze związane z szyfrowaniem urządzenia, potwierdzać stan wybranych elementów procesu uruchamiania oraz współpracować z funkcjami bezpieczeństwa systemu Windows.

Komunikat o problemie z TPM nie zawsze oznacza fizyczne uszkodzenie układu. Przyczyną może być wyłączenie modułu w BIOS/UEFI, nieprawidłowa konfiguracja funkcji określanej jako TPM, Security Device, Intel PTT albo AMD fTPM, błąd inicjalizacji po aktualizacji firmware’u, niespójność danych przechowywanych przez moduł lub problem po wymianie płyty głównej. Znaczenie ma również to, czy system rozpoznaje TPM, czy moduł zgłasza gotowość oraz czy wymagany jest TPM 2.0, a nie starszy TPM 1.2.

Objawy widoczne w systemie Windows

Stan modułu można sprawdzić za pomocą przystawki systemowej tpm.msc. W prawidłowej konfiguracji powinien być widoczny komunikat informujący, że moduł TPM jest gotowy do użycia, a w szczegółach powinna znajdować się wersja specyfikacji. Jeżeli system wyświetla informację o braku zgodnego modułu, nie może znaleźć urządzenia zabezpieczającego albo zgłasza problem z konsolą zarządzania, należy rozdzielić dwie kwestie: wykrywanie sprzętu przez firmware oraz obsługę TPM przez sam system operacyjny.

Problemy z TPM mogą ujawniać się także przy szyfrowaniu urządzenia, logowaniu za pomocą Windows Hello, sprawdzaniu zgodności z wymaganiami systemu Windows 11 lub podczas uruchamiania funkcji bezpiecznego rozruchu. Po zmianach konfiguracji BIOS/UEFI system może poprosić o klucz odzyskiwania funkcji BitLocker. Nie powinno się wtedy bez rozpoznania wybierać opcji czyszczenia TPM, ponieważ wyzerowanie danych modułu może unieważnić powiązane klucze i spowodować konieczność użycia klucza odzyskiwania do dostępu do zaszyfrowanych danych.

Sprawdzenie konfiguracji BIOS/UEFI i stanu modułu

Diagnostyka rozpoczyna się od ustalenia, czy moduł bezpieczeństwa jest włączony w ustawieniach BIOS/UEFI. Nazwa ustawienia zależy od producenta płyty głównej i platformy procesora. W komputerach z procesorami Intel może występować określenie Intel Platform Trust Technology, natomiast na platformach AMD spotykane jest firmware TPM lub AMD fTPM. W menu mogą być również używane ogólne nazwy Security Device Support albo Trusted Computing. Samo znalezienie takiej pozycji nie wystarcza: należy sprawdzić, czy urządzenie jest aktywne i czy system uruchamia się w trybie zgodnym z pozostałą konfiguracją bezpieczeństwa.

Następnie porównuje się stan firmware’u z informacjami w Windows. W Menedżerze urządzeń można sprawdzić kategorię urządzeń zabezpieczających, a w ustawieniach systemu należy zweryfikować informacje dotyczące zabezpieczeń urządzenia. Przydatne jest także sprawdzenie Podglądu zdarzeń, szczególnie dzienników związanych z modułem TPM, inicjalizacją urządzeń i funkcją BitLocker. Jeżeli problem pojawił się po aktualizacji BIOS/UEFI, aktualizacji systemu albo zmianie płyty głównej, te okoliczności powinny zostać uwzględnione przed wykonaniem resetu. Czyszczenie TPM jest operacją wymagającą ostrożności i nie stanowi uniwersalnej metody naprawy każdego komunikatu.

Diagnostyka i naprawa w serwisie komputerowym

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC oraz ich podzespołów, w tym diagnostykę problemów związanych z konfiguracją TPM. Zakres sprawdzenia może obejmować analizę komunikatów systemowych, weryfikację ustawień BIOS/UEFI, rozpoznanie wersji TPM, kontrolę działania usług i mechanizmów Windows korzystających z modułu oraz ocenę, czy objawy wskazują na problem programowy, firmware’owy czy sprzętowy. W przypadku wymiany płyty głównej trzeba dodatkowo uwzględnić zmianę środowiska, w którym były zapisane wcześniejsze klucze zabezpieczeń.

Przed zmianą ustawień modułu należy ustalić, czy na komputerze działa szyfrowanie urządzenia lub BitLocker, czy dostępny jest klucz odzyskiwania oraz czy użytkownik korzysta z Windows Hello. Dopiero na tej podstawie można dobrać bezpieczną kolejność czynności: przywrócenie właściwej konfiguracji, aktualizację odpowiedniego firmware’u, ponowną inicjalizację modułu albo dalszą diagnostykę płyty głównej. Jeżeli TPM jest wykrywany niestabilnie lub znika po uruchomieniu komputera, konieczne może być sprawdzenie zasilania, ustawień firmware’u i działania samej płyty głównej, a nie tylko ponowna instalacja systemu.