TPM hash error

Komunikat TPM hash error informuje o niezgodności sumy kontrolnej danych weryfikowanych przez moduł zabezpieczeń.

Co oznacza komunikat TPM hash error

Komunikat „TPM hash error” wskazuje, że moduł TPM (Trusted Platform Module) otrzymał albo przechowuje wartość skrótu, która nie odpowiada oczekiwanym danym używanym podczas weryfikacji stanu platformy. Skrót kryptograficzny jest krótkim wynikiem funkcji jednokierunkowej: nawet niewielka zmiana danych wejściowych powoduje inną wartość wyniku. Sam komunikat nie identyfikuje jeszcze konkretnego uszkodzonego elementu. Niezgodność może dotyczyć pomiaru uruchamiania systemu, konfiguracji firmware UEFI, klucza przechowywanego przez TPM albo danych oczekiwanych przez mechanizm szyfrowania.

TPM nie jest zwykłym magazynem plików ani programem antywirusowym. Układ może wykonywać operacje kryptograficzne, chronić klucze i rejestrować pomiary uruchamiania w rejestrach PCR (Platform Configuration Registers). W scenariuszu measured boot firmware oraz moduły startowe obliczają skróty kolejnych składników, a następnie rozszerzają odpowiednie rejestry PCR. Późniejsza próba użycia klucza może zostać odrzucona, jeżeli aktualny zestaw pomiarów nie pasuje do warunków, dla których klucz został zapieczętowany.

PCR, UEFI i szyfrowanie dysku

Najczęstsze praktyczne powiązanie tego błędu występuje przy funkcjach bezpieczeństwa systemu Windows, zwłaszcza Windows Hello for Business, ochronie kluczy oraz BitLockerze. BitLocker może używać TPM do automatycznego odblokowania woluminu systemowego, ale decyzja zależy od zgodności określonych pomiarów i konfiguracji rozruchu. Zmiana trybu uruchamiania, aktualizacja firmware, modyfikacja ustawień Secure Boot, wymiana płyty głównej albo przełączenie urządzenia między trybem UEFI i Legacy może spowodować zmianę pomiarów PCR. Wtedy komputer może zażądać klucza odzyskiwania, nawet jeśli sam dysk i system plików pozostają sprawne.

Podobny efekt może pojawić się po przywróceniu ustawień UEFI do wartości domyślnych, wyłączeniu lub ponownym włączeniu Secure Boot, zmianie kolejności urządzeń startowych albo aktualizacji komponentu odpowiedzialnego za rozruch. Nie każda zmiana konfiguracji musi oznaczać awarię TPM. Błąd może być konsekwencją prawidłowej reakcji mechanizmu ochronnego na zmianę środowiska startowego. Szczególnej ostrożności wymaga sytuacja, w której aktywne jest szyfrowanie BitLocker: przed czyszczeniem TPM trzeba mieć dostęp do klucza odzyskiwania, ponieważ usunięcie danych TPM może uniemożliwić automatyczne odblokowanie bez dodatkowego uwierzytelnienia.

Rozróżnienie błędu pomiaru od awarii modułu

Diagnostykę należy rozpocząć od ustalenia, gdzie komunikat się pojawia: w UEFI, podczas startu Windows, w Podglądzie zdarzeń czy w aplikacji producenta. W systemie Windows można otworzyć narzędzie tpm.msc, aby sprawdzić dostępność modułu i podstawowy stan gotowości. W PowerShell polecenie Get-Tpm zwraca informacje między innymi o obecności TPM, jego gotowości oraz możliwościach użycia. Status szyfrowania można sprawdzić poleceniem manage-bde -status. Wyniki tych kontroli trzeba zestawić z ostatnimi zmianami firmware, konfiguracji rozruchu i sprzętu.

Jeżeli TPM jest wykrywany, pozostaje gotowy, a problem wystąpił bezpośrednio po zmianie UEFI lub aktualizacji BIOS-u, bardziej prawdopodobna jest niezgodność zapieczętowanych pomiarów niż fizyczna awaria układu. Jeżeli moduł znika z firmware, system zgłasza błędy komunikacji, funkcje TPM nie mogą zostać zainicjowane albo problem powtarza się po przywróceniu prawidłowej konfiguracji, trzeba brać pod uwagę błąd firmware, płyty głównej lub samego układu zabezpieczeń. Nie należy pochopnie wykonywać polecenia czyszczenia TPM ani usuwać partycji systemowych, ponieważ są to działania mogące zmienić stan zabezpieczeń i utrudnić odzyskanie dostępu do danych.

Bezpieczne postępowanie z laptopem lub komputerem PC

Naprawa zależy od źródła niezgodności. W pierwszej kolejności weryfikuje się poprawny tryb UEFI, stan Secure Boot, aktualność firmware przeznaczonego dla dokładnego modelu oraz obecność klucza odzyskiwania BitLocker. Następnie można ponownie uruchomić system i sprawdzić, czy błąd był jednorazową reakcją na zmianę konfiguracji. Gdy problem dotyczy profilu zabezpieczeń, producent może przewidywać procedurę ponownej rejestracji modułu, odtworzenia zaufania urządzenia lub wyczyszczenia TPM z poziomu systemu albo firmware. Taką operację wykonuje się dopiero po potwierdzeniu, że potrzebne klucze i dane uwierzytelniające są dostępne.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, w tym analizę problemów z uruchamianiem, UEFI, TPM i szyfrowaniem dysku. W praktyce istotne jest odtworzenie kolejności zmian, odczyt komunikatów systemowych oraz sprawdzenie, czy komputer reaguje na zmianę konfiguracji, czy też wykazuje objawy usterki sprzętowej. Dopiero na tej podstawie można dobrać dalsze działanie, ograniczając ryzyko utraty dostępu do zaszyfrowanego woluminu lub niepotrzebnego resetowania zabezpieczeń.