TPM device ID mismatch

Komunikat TPM device ID mismatch informuje o niezgodności identyfikatora modułu zabezpieczeń z oczekiwanym przez firmware.

Co oznacza komunikat TPM device ID mismatch

Komunikat „TPM device ID mismatch” oznacza, że firmware komputera wykrył niezgodność identyfikatora modułu TPM z informacją zapisaną wcześniej w konfiguracji płyty głównej, UEFI albo mechanizmie inicjalizacji zabezpieczeń. TPM, czyli Trusted Platform Module, jest układem przeznaczonym do przechowywania kluczy kryptograficznych i wykonywania operacji związanych z uwierzytelnianiem platformy. W laptopach i komputerach biurowych może występować jako osobny układ na płycie głównej albo jako rozwiązanie zintegrowane z firmware platformy, określane na przykład jako firmware TPM.

Samo określenie „device ID” nie opisuje jednej, uniwersalnej wartości zdefiniowanej jako dokładny komunikat dla wszystkich komputerów. Treść błędu jest zwykle zależna od producenta firmware, modelu płyty głównej i sposobu obsługi TPM. Identyfikator może być porównywany z informacjami zapisanymi w pamięci UEFI, w obszarze konfiguracji zabezpieczeń lub w danych służących do rozpoznania wcześniej zainicjalizowanego modułu. Dlatego ten sam komunikat może pojawić się po różnych zmianach sprzętowych i programowych, a jego interpretacja wymaga sprawdzenia konkretnego modelu komputera.

Dlaczego identyfikator TPM przestaje odpowiadać konfiguracji

Jedną z przyczyn jest wymiana płyty głównej albo naprawa, podczas której zmienił się układ odpowiedzialny za TPM. Nowa płyta może zawierać inny moduł sprzętowy lub mieć aktywny inny mechanizm firmware TPM niż poprzednia. Podobny efekt może wystąpić po przywróceniu ustawień UEFI, aktualizacji firmware, zmianie trybu obsługi TPM albo przełączeniu między modułem dyskretnym i rozwiązaniem zintegrowanym z platformą. Firmware może wtedy wykrywać układ jako nowy, mimo że system operacyjny i dane na dysku pochodzą z wcześniejszej konfiguracji.

Niezgodność może również wynikać z niepełnego resetu ustawień zabezpieczeń, błędnych danych zachowanych w pamięci UEFI albo przerwanej aktualizacji. Znaczenie ma także sposób wykorzystania TPM przez system Windows. Klucze ochronne funkcji BitLocker, Windows Hello i innych mechanizmów uwierzytelniania są powiązane z konkretnym stanem platformy. Zmiana identyfikatora, konfiguracji rozruchu lub zawartości TPM nie musi oznaczać awarii samego układu, ale może spowodować, że system zażąda klucza odzyskiwania albo ponownego skonfigurowania zabezpieczeń.

Bezpieczna kolejność sprawdzania przed resetem TPM

Najpierw należy ustalić, na którym etapie pojawia się komunikat: podczas włączania komputera, w menu UEFI, przy uruchamianiu Windows czy dopiero podczas korzystania z szyfrowania. W systemie Windows można sprawdzić podstawowy stan modułu za pomocą konsoli „Zarządzanie modułem TPM”, uruchamianej poleceniem tpm.msc. W PowerShell dostępne jest również polecenie Get-Tpm, które pokazuje między innymi, czy moduł jest obecny, gotowy i włączony. Wynik tych kontroli nie zastępuje jednak odczytu komunikatów firmware, ponieważ problem może dotyczyć relacji między UEFI a TPM, a nie samej dostępności układu dla systemu.

Nie powinno się rozpoczynać od bezwarunkowego użycia funkcji „Clear TPM”. Wyczyszczenie TPM usuwa przechowywane w nim dane zabezpieczeń i może wymagać ponownej rejestracji funkcji korzystających z modułu. Przed takim działaniem trzeba potwierdzić dostęp do klucza odzyskiwania BitLocker, sprawdzić, czy szyfrowanie jest aktywne, oraz ustalić, czy komputer nie jest zależny od Windows Hello lub innych kluczy zapisanych w TPM. W razie braku klucza odzyskiwania reset może doprowadzić do utraty dostępu do zaszyfrowanego woluminu, nawet jeśli dysk i system plików pozostają sprawne.

Naprawa zależna od źródła niezgodności

Jeżeli błąd pojawił się po aktualizacji UEFI, należy zweryfikować zgodność użytego firmware z dokładnym modelem komputera i sprawdzić zalecenia producenta dotyczące TPM. Gdy komunikat wystąpił po wymianie płyty głównej, potrzebne może być ponowne zapisanie konfiguracji zabezpieczeń, inicjalizacja TPM przez firmware albo dokończenie procedury wdrożonej przez producenta. W niektórych przypadkach wystarcza przywrócenie właściwego trybu TPM i zapisanie ustawień UEFI, lecz nie można zakładać tego bez sprawdzenia stanu szyfrowania oraz reakcji systemu Windows.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów pojawiających się po zmianie płyty głównej, ustawień UEFI lub konfiguracji modułu TPM. Zakres czynności powinien zostać dobrany do modelu urządzenia, wersji firmware i sposobu zabezpieczenia danych. Jeżeli komputer wyświetla żądanie klucza odzyskiwania, priorytetem jest jego prawidłowe ustalenie przed resetowaniem TPM lub wykonywaniem kolejnych zmian w konfiguracji.