TPM 1.2 (Trusted Platform Module)

TPM 1.2 to starsza wersja standardu tego modułu zabezpieczeń, oferująca ograniczony zestaw funkcji względem nowszej wersji 2.0.

TPM 1.2 – czym jest Trusted Platform Module

TPM 1.2, czyli Trusted Platform Module w wersji 1.2, to starszy standard sprzętowego modułu bezpieczeństwa stosowanego w komputerach osobistych, laptopach i wybranych płytach głównych. Moduł może występować jako oddzielny układ na płycie głównej albo jako element zintegrowany z platformą sprzętową. Jego zadaniem jest przechowywanie określonych informacji kryptograficznych oraz wykonywanie operacji, w których ważne jest potwierdzenie tożsamości urządzenia i ochrona kluczy przed prostym odczytem z dysku.

W praktyce TPM 1.2 nie jest programem uruchamianym w systemie operacyjnym ani zwykłym folderem z certyfikatami. Stanowi dodatkową warstwę ochrony, działającą niezależnie od głównego procesora i pamięci masowej. Moduł może generować klucze, przechowywać ich fragmenty lub pełne dane w chronionym obszarze, a także wspierać sprawdzanie, czy środowisko startowe komputera nie zostało zmienione. Dzięki temu niektóre mechanizmy zabezpieczające mogą uzyskać informację, czy urządzenie uruchomiło się w przewidywalny sposób.

Wersja 1.2 powstała przed TPM 2.0 i ma bardziej ograniczony model działania. Posługuje się inną organizacją obiektów, innym podejściem do algorytmów oraz innymi zasadami obsługi kluczy. Nie oznacza to, że każdy moduł TPM 1.2 jest bezużyteczny. W zgodnym środowisku może nadal wspierać szyfrowanie, uwierzytelnianie i ochronę procesu uruchamiania, jednak jego możliwości muszą odpowiadać wymaganiom płyty głównej, firmware’u, systemu oraz używanych aplikacji.

TPM 1.2 a Trusted Platform Module 2.0 – kontekst techniczny i porównanie

Najważniejsza różnica między TPM 1.2 i TPM 2.0 dotyczy nie tylko numeru wersji. TPM 1.2 opiera się na starszym zestawie założeń, w którym istotną rolę odgrywały określone, wcześniej przewidziane algorytmy i typy kluczy. TPM 2.0 został zaprojektowany z większą elastycznością. Pozwala lepiej dopasować używane algorytmy do wymagań systemu oraz współczesnych zasad bezpieczeństwa. Z tego powodu aplikacja lub system, który wymaga TPM 2.0, nie zawsze będzie działać po wykryciu modułu 1.2, nawet jeśli oba rozwiązania pełnią podobną ogólną funkcję.

W TPM 1.2 często spotyka się zastosowanie mechanizmu związanego z pomiarem kolejnych etapów uruchamiania. Firmware może przekazywać modułowi wartości opisujące kod startowy, konfigurację oraz wybrane elementy środowiska. Moduł nie musi samodzielnie rozstrzygać, czy dany pomiar jest dobry lub zły. Przechowuje stan, który następnie może zostać użyty przez system do podjęcia decyzji, na przykład do udostępnienia klucza szyfrowania dopiero wtedy, gdy konfiguracja odpowiada wcześniej zarejestrowanemu wzorcowi.

Warto odróżnić TPM od funkcji szyfrowania całego dysku. TPM nie szyfruje automatycznie wszystkich plików i nie zastępuje hasła użytkownika. Może natomiast chronić klucz potrzebny do odszyfrowania danych albo pomóc w sprawdzeniu warunków, w których taki klucz ma zostać udostępniony. Jeżeli zmieni się płyta główna, ustawienia startowe, sposób uruchamiania systemu albo istotny element firmware’u, może pojawić się żądanie dodatkowego kodu odzyskiwania. Jest to normalny skutek powiązania ochrony z konfiguracją urządzenia, a nie dowód uszkodzenia modułu.

Różnicę między wersjami należy oceniać razem z całą platformą. Liczy się obecność odpowiedniego układu, sposób jego udostępniania przez firmware, tryb uruchamiania, wsparcie systemu oraz wymagania konkretnej funkcji. Sama informacja „TPM obecny” nie odpowiada jeszcze na pytanie, czy komputer spełnia wymagania danego programu. Znaczenie ma także to, czy moduł jest aktywny, czy system ma do niego dostęp i czy nie występuje konflikt z ustawieniami bezpieczeństwa zapisanymi wcześniej.

TPM 1.2 – typowe problemy, objawy i przyczyny

Jednym z częstszych problemów jest brak modułu TPM 1.2 w systemie mimo jego fizycznej obecności. Przyczyną może być wyłączenie odpowiedniej opcji w firmware, przywrócenie ustawień płyty głównej do wartości domyślnych albo nieprawidłowe odczytanie konfiguracji po aktualizacji. Czasem moduł jest widoczny w ustawieniach firmware’u, lecz nie pojawia się w systemie, ponieważ używany tryb startu lub sterownik nie współpracuje z daną konfiguracją. W takiej sytuacji nie powinno się od razu usuwać danych modułu ani zmieniać wielu ustawień jednocześnie.

Inny objaw to komunikat o zmianie zabezpieczeń po wymianie płyty głównej, wyzerowaniu ustawień lub modyfikacji parametrów uruchamiania. Jeżeli klucz szyfrowania został związany z pomiarami przechowywanymi przez TPM 1.2, zmiana konfiguracji może spowodować przejście w tryb odzyskiwania. Przed jakąkolwiek ingerencją potrzebne jest sprawdzenie, czy zapisano kod odzyskiwania oraz czy wiadomo, z jakim kontem lub nośnikiem był powiązany. Bez tego wyczyszczenie modułu może doprowadzić do utraty dostępu do zaszyfrowanych danych.

Problematyczna bywa także migracja ze starszego komputera do nowszego. Klucze związane z TPM 1.2 nie zawsze można przenieść tak samo jak zwykłe pliki. Próba skopiowania katalogów systemowych albo eksportu niektórych certyfikatów nie musi zachować ich użyteczności. W razie wymiany urządzenia trzeba ustalić, czy dany klucz służył do szyfrowania dysku, logowania, podpisu cyfrowego czy ochrony aplikacji. Każdy z tych przypadków może wymagać innej procedury.

Nie należy również utożsamiać każdego komunikatu o TPM z awarią sprzętową. Błąd może wynikać z niezgodnej wersji firmware’u, uszkodzonej konfiguracji, niespójnych danych startowych, błędnej daty systemowej albo niekompatybilnego oprogramowania zabezpieczającego. Dopiero porównanie objawów, ustawień i stanu systemu pozwala rozdzielić problem konfiguracji od faktycznego uszkodzenia układu.

TPM 1.2 – praktyczne wskazówki przed zmianą ustawień

Przed zmianą ustawień TPM 1.2 warto ustalić, czy na komputerze jest aktywne szyfrowanie urządzenia lub dysku. Należy też sprawdzić, gdzie przechowywany jest kod odzyskiwania i czy można go odczytać bez uruchamiania zabezpieczonego systemu. Taki kod powinien być dostępny przed modyfikacją firmware’u, wymianą płyty głównej, czyszczeniem modułu oraz zmianą parametrów startowych. Samo zalogowanie do systemu nie gwarantuje, że odzyskiwanie będzie możliwe po zmianie sprzętu.

Warto zapisać aktualną konfigurację w sposób opisowy: wersję firmware’u, tryb uruchamiania, stan modułu, ustawienia ochrony oraz komunikaty wyświetlane przy starcie. Pomaga to uniknąć sytuacji, w której kilka zmian zostaje wykonanych naraz i później trudno wskazać przyczynę problemu. Jeżeli planowana jest aktualizacja firmware’u, należy korzystać z pliku przeznaczonego dokładnie dla danego modelu płyty lub komputera. Przerwanie procesu aktualizacji może mieć poważniejsze skutki niż sam problem z TPM.

Nie powinno się czyścić TPM 1.2 tylko dlatego, że system pokazuje ostrzeżenie. Czyszczenie usuwa informacje przechowywane w module i może unieważnić powiązania używane przez szyfrowanie, logowanie lub certyfikaty. Przed wykonaniem tej operacji trzeba potwierdzić, że klucze zostały zabezpieczone, a dane są dostępne z użyciem właściwej metody odzyskiwania. Jeżeli nie ma pewności, która funkcja korzysta z modułu, bezpieczniej jest najpierw wykonać kopię ważnych danych i przeprowadzić rozpoznanie konfiguracji.

W przypadku starszego komputera należy brać pod uwagę ograniczenia platformy. Nie każdą niezgodność da się usunąć zmianą sterownika, ponieważ ograniczenie może wynikać z samego standardu TPM 1.2 albo z wymagań nowszego systemu. Rozsądna ocena powinna obejmować model płyty głównej, dostępne aktualizacje, stan dysku, ustawienia startowe oraz znaczenie zabezpieczeń dla użytkownika. Pozwala to uniknąć pozornie prostych działań, które później utrudniają dostęp do danych.

TPM 1.2 – kiedy zgłosić się do serwisu komputerowego

Do serwisu warto zgłosić się wtedy, gdy moduł TPM 1.2 zniknął po zmianie ustawień, komputer żąda kodu odzyskiwania bez wyraźnej przyczyny, szyfrowanie blokuje dostęp do danych albo firmware zgłasza błąd związany z bezpieczeństwem. Pomocne jest dostarczenie dokładnego komunikatu, informacji o ostatnich zmianach oraz kodu odzyskiwania, jeżeli został zapisany. Nie należy samodzielnie kasować modułu przed konsultacją, szczególnie gdy na dysku znajdują się ważne dokumenty.

Rozpoznanie może obejmować sprawdzenie stanu TPM, wersji firmware’u, trybu uruchamiania, integralności systemu i zależności między modułem a szyfrowaniem. W razie potrzeby można także ustalić, czy problem dotyczy układu, płyty głównej, ustawień czy samego systemu. W Warszawskim Pogotowiu Komputerowym 24/7 naprawy z reguły są wykonywane do 3 dni roboczych, zależnie od rodzaju usterki i koniecznych czynności.

Szczególnej ostrożności wymaga przypadek, w którym komputer uruchamia się, lecz nie daje dostępu do zaszyfrowanych plików. Każda próba ponownej instalacji systemu, formatowania dysku lub czyszczenia TPM może zmniejszyć szanse na odzyskanie danych. Najpierw powinno się ustalić, czy zachowany jest klucz odzyskiwania, czy dysk jest sprawny i jakie zmiany doprowadziły do blokady. Dopiero po takiej ocenie można dobrać dalsze postępowanie odpowiednie dla TPM 1.2.