Reset TPM nie działa

Niedziałający reset TPM to usterka, w której nie można wyczyścić danych zapisanych w module zaufanej platformy.

Na czym polega problem z resetem TPM

Reset TPM oznacza wyczyszczenie danych przechowywanych w module Trusted Platform Module, czyli układzie odpowiedzialnym między innymi za bezpieczne przechowywanie kluczy kryptograficznych, pomiar integralności uruchamiania systemu oraz obsługę mechanizmów takich jak Windows Hello i szyfrowanie urządzenia. W komputerach zgodnych ze współczesnymi wymaganiami najczęściej stosowany jest TPM 2.0. W laptopach może być zrealizowany jako oddzielny układ scalony albo jako funkcja firmware procesora, na przykład Intel Platform Trust Technology (PTT) lub AMD firmware TPM.

Gdy reset TPM nie działa, system albo narzędzie dostępne w UEFI nie potrafi zakończyć operacji czyszczenia. Przyczyną może być aktywna blokada bezpieczeństwa, niespójny stan firmware, problem z komunikacją między systemem operacyjnym a modułem, ustawienia UEFI albo zależność od danych zapisanych w TPM. Samo polecenie wyczyszczenia modułu nie jest zwykłym usunięciem plików. Po jego wykonaniu wcześniej utworzone klucze przechowywane wyłącznie w TPM mogą stać się niedostępne.

Dlaczego system może blokować wyczyszczenie modułu

Najważniejszym zagrożeniem przed resetem jest szyfrowanie dysku funkcją BitLocker albo szyfrowanie urządzenia w systemie Windows. Klucz odzyskiwania może być powiązany z TPM i z pomiarami środowiska startowego. Po wyczyszczeniu modułu komputer może uruchomić ekran odzyskiwania BitLocker, nawet jeśli wcześniej system logował się bez dodatkowego pytania. Przed rozpoczęciem operacji należy więc sprawdzić, czy istnieje zapisany klucz odzyskiwania oraz czy można go odczytać z właściwego konta lub organizacyjnego systemu zarządzania.

Windows może również odraczać czyszczenie TPM do ponownego uruchomienia. Jest to zamierzone zachowanie ochronne: użytkownik może zostać poproszony o potwierdzenie operacji na ekranie UEFI, a system nie powinien wykonywać jej bez świadomej akceptacji. Próba resetu z poziomu systemu uruchomionego w ograniczonym środowisku, przez zdalne sterowanie albo bez fizycznego potwierdzenia może zakończyć się komunikatem o odmowie dostępu lub braku możliwości wykonania operacji.

Na stan TPM wpływają także ustawienia UEFI. Wyłączenie PTT, firmware TPM albo całej funkcji bezpieczeństwa nie jest tym samym co wyczyszczenie danych modułu. W zależności od producenta opcje mogą znajdować się pod nazwami Security Device Support, TPM State, Intel PTT, AMD fTPM lub podobnymi. Aktualizacja UEFI może zmienić sposób prezentowania tych ustawień, ale nie powinna być wykonywana bez sprawdzenia zgodności modelu i bez zabezpieczenia danych potrzebnych do odzyskania zaszyfrowanego dysku.

Rozróżnienie błędu TPM, ustawień UEFI i systemu Windows

Diagnostykę warto rozpocząć od sprawdzenia, czy system wykrywa moduł. W konsoli zarządzania TPM można użyć polecenia tpm.msc. Jeżeli narzędzie zgłasza brak zgodnego modułu, nie oznacza to automatycznie jego fizycznego uszkodzenia. Funkcja może być wyłączona w UEFI, firmware może wymagać ponownego uruchomienia, a system może mieć problem ze sterownikiem lub konfiguracją zabezpieczeń. Jeżeli moduł jest widoczny, ale pojawia się komunikat o niegotowości, należy odróżnić problem z inicjalizacją od problemu z samym czyszczeniem.

Do dodatkowej kontroli można wykorzystać program PowerShell Get-Tpm. Zwracane właściwości, między innymi TpmPresent, TpmReady i TpmEnabled, pomagają ustalić, czy sprzęt jest obecny, aktywny i zainicjalizowany. Wynik nie stanowi jednak pełnej ekspertyzy układu. Błąd resetu może występować mimo poprawnej detekcji TPM, na przykład wtedy, gdy problem dotyczy firmware, blokady operacji, uszkodzonej konfiguracji systemu lub procedury wymagającej potwierdzenia poza Windows.

Nie należy wielokrotnie przełączać TPM w UEFI ani bezplanowo usuwać urządzeń i sterowników. Takie działania mogą zmienić stan potrzebny do uruchomienia systemu i zwiększyć ryzyko żądania klucza BitLocker. Bezpieczna procedura obejmuje zapisanie klucza odzyskiwania, ustalenie, czy komputer korzysta z logowania Windows Hello, zanotowanie bieżących ustawień UEFI oraz wykonanie jednej kontrolowanej próby resetu zgodnej z dokumentacją producenta. Jeżeli czyszczenie nadal się nie udaje, potrzebne jest porównanie zachowania modułu w Windows i w UEFI oraz sprawdzenie aktualności firmware.

Serwisowanie komputera po nieudanym resecie TPM

W przypadku laptopa lub komputera stacjonarnego diagnostyka powinna objąć nie tylko sam moduł TPM, lecz także stan szyfrowania dysku, możliwość uruchomienia systemu, ustawienia UEFI, wersję firmware oraz komunikaty pojawiające się podczas restartu. Jeżeli komputer żąda klucza odzyskiwania, nie należy zgadywać ani wielokrotnie zmieniać konfiguracji zabezpieczeń. Najpierw trzeba ustalić, czy właściwy klucz został zapisany i czy problem wynika z oczekiwanego następstwa czyszczenia, czy z dodatkowej usterki.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z konfiguracją TPM, firmware oraz uruchamianiem systemu. Zakres czynności zależy od modelu urządzenia i stanu danych. W niektórych przypadkach wystarcza przywrócenie prawidłowych ustawień i ponowna inicjalizacja modułu, a w innych konieczne jest sprawdzenie aktualizacji UEFI, układu płyty głównej lub zależności między TPM a szyfrowaniem dysku.

Po prawidłowym zakończeniu resetu trzeba ponownie skonfigurować funkcje korzystające z TPM. Dotyczy to między innymi Windows Hello, certyfikatów przechowywanych w module oraz mechanizmu BitLocker. Reset TPM nie powinien być traktowany jako metoda naprawy każdego błędu logowania lub szyfrowania. Jest to operacja zmieniająca stan zabezpieczeń komputera, dlatego jej wykonanie wymaga wcześniejszego ustalenia przyczyny i zabezpieczenia informacji potrzebnych do dalszego uruchomienia systemu.