TPM key storage error

Komunikat TPM key storage error informuje o problemie z zapisem lub odczytem klucza kryptograficznego w module zabezpieczeń.

Co oznacza komunikat „TPM key storage error”

Komunikat „TPM key storage error” oznacza, że system lub aplikacja nie może prawidłowo zapisać, odczytać albo wykorzystać klucza kryptograficznego przechowywanego z użyciem modułu TPM (Trusted Platform Module). TPM jest układem bezpieczeństwa przeznaczonym między innymi do generowania kluczy, przechowywania ich w sposób odporny na bezpośredni odczyt oraz wykonywania operacji kryptograficznych. Sam komunikat nie wskazuje jednej konkretnej przyczyny. Jest opisem nieudanego dostępu do magazynu kluczy, a nie nazwą pojedynczej usterki.

Klucz może być powiązany z konkretnym modułem TPM, stanem uruchamiania komputera, profilem użytkownika albo konfiguracją systemu. Z tego powodu skopiowanie pliku klucza z dysku na inny komputer zwykle nie odtwarza jego funkcji. W wielu zastosowaniach klucz prywatny pozostaje nieeksportowalny, a system przekazuje do TPM jedynie żądanie wykonania operacji, takiej jak podpisanie danych lub odszyfrowanie informacji. Błąd może więc wystąpić również wtedy, gdy sam plik konfiguracyjny aplikacji istnieje, lecz TPM odrzuca próbę użycia powiązanego klucza.

Rola hierarchii kluczy i pamięci TPM 2.0

W TPM 2.0 klucze są uporządkowane w hierarchiach związanych między innymi z platformą, pamięcią oraz integralnością urządzenia. Moduł korzysta także z obiektów przechowywanych w swojej przestrzeni trwałej. Część informacji jest zapisywana jako obiekty kluczy, a część jako dane w pamięci NV (non-volatile). Dostęp do tych obiektów może wymagać odpowiednich uprawnień, autoryzacji, wartości PCR (Platform Configuration Registers) albo zgodności z wcześniejszym stanem platformy.

Rejestry PCR nie przechowują zwykłych plików ani haseł. Zawierają wartości pomiarów związanych z procesem uruchamiania, które są rozszerzane w określonej kolejności. Jeżeli zmieni się konfiguracja firmware, ustawienia bezpiecznego rozruchu, kolejność startowa albo element mierzony podczas uruchamiania, klucz zapieczętowany dla wcześniejszych wartości PCR może stać się niedostępny. Taki przypadek może wyglądać jak błąd magazynu kluczy, mimo że układ TPM odpowiada i nie jest fizycznie uszkodzony.

Najczęstsze źródła utraty dostępu do klucza

Przyczyną może być niespójność pomiędzy systemem operacyjnym a modułem TPM, uszkodzenie lokalnych metadanych klucza, zmiana ustawień UEFI, aktualizacja firmware albo nieudana operacja przywracania systemu. Problem pojawia się także po wymianie płyty głównej, ponieważ nowa płyta może zawierać inny moduł TPM lub inny stan jego hierarchii. Wtedy klucz utworzony w poprzednim module nie musi być możliwy do użycia w nowym środowisku.

Na działanie magazynu kluczy wpływają również uprawnienia użytkownika, usługi systemowe odpowiedzialne za kryptografię, sterowniki oraz aplikacja korzystająca z TPM. Jeżeli błąd dotyczy szyfrowania dysku, należy odróżnić problem z samym TPM od problemu z materiałem odzyskiwania. Jeżeli natomiast komunikat pochodzi z przeglądarki, klienta VPN, systemu logowania lub narzędzia firmowego, klucz może być częścią osobnego magazynu certyfikatów. Wspólny tekst błędu nie oznacza, że wszystkie te programy naprawia się w ten sam sposób.

Bezpieczna kolejność postępowania serwisowego

Najpierw należy ustalić, która aplikacja zgłasza komunikat, kiedy pojawia się błąd oraz czy problem rozpoczął się po aktualizacji, zmianie ustawień UEFI, wymianie podzespołu lub odtworzeniu systemu. Warto sprawdzić, czy TPM jest widoczny w systemie, czy urządzenie zgłasza stan gotowości oraz czy błąd dotyczy jednego konta, jednej aplikacji czy całego komputera. Należy również zachować informacje potrzebne do odzyskania zaszyfrowanych danych, zanim zostanie wykonane czyszczenie modułu.

Czyszczenie TPM nie jest uniwersalną metodą naprawy. Usuwa lokalne dane i klucze przechowywane w module, dlatego może spowodować utratę dostępu do szyfrowania dysku, certyfikatów, kluczy logowania lub innych zabezpieczeń, jeśli wcześniej nie przygotowano właściwego mechanizmu odzyskiwania. Reset modułu powinien być wykonywany dopiero po identyfikacji zależności i potwierdzeniu, że potrzebne klucze można odtworzyć albo zastąpić. W przypadku awarii sprzętowej konieczna może być diagnostyka płyty głównej, układu TPM, firmware oraz nośnika systemowego.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz podzespołów, w tym diagnostyką problemów z modułem TPM, konfiguracją systemu i dostępem do kluczy kryptograficznych. Zakres czynności zależy od tego, czy przyczyną jest konfiguracja, oprogramowanie, utrata powiązania z kluczem, firmware czy usterka sprzętowa. Przed ingerencją w TPM konieczne jest ustalenie, jakie dane i funkcje zabezpieczające korzystają z jego pamięci.