TPM locked

Komunikat TPM locked informuje o zablokowaniu modułu zabezpieczeń, zwykle po serii nieudanych prób uwierzytelnienia.

Co oznacza komunikat TPM locked

Komunikat „TPM locked” oznacza, że moduł TPM, czyli Trusted Platform Module, zablokował określone operacje związane z uwierzytelnianiem. TPM jest układem bezpieczeństwa obecnym w wielu współczesnych laptopach i komputerach PC. Przechowuje lub wspiera ochronę kluczy kryptograficznych, mierzy wybrane elementy procesu uruchamiania i może współpracować z funkcjami systemu Windows, takimi jak szyfrowanie urządzenia, BitLocker, Windows Hello oraz bezpieczny rozruch.

W praktyce określenie „locked” najczęściej odnosi się do mechanizmu ochrony przed atakiem słownikowym, określanego w dokumentacji TPM 2.0 jako dictionary attack lockout. Moduł zlicza nieudane próby użycia autoryzacji dla chronionych obiektów lub operacji. Po przekroczeniu ustalonego limitu TPM czasowo odrzuca kolejne próby, nawet jeśli później podawane hasło, kod PIN albo inny sekret jest prawidłowy. Nie musi to oznaczać fizycznego uszkodzenia układu ani zablokowania całego komputera.

Mechanizm blokady w TPM 2.0

TPM 2.0 rozdziela między innymi licznik nieudanych prób, próg blokady oraz czas, po którym licznik może zostać zmniejszony. Parametry te są zarządzane przez mechanizm autoryzacji TPM i mogą być odczytywane przez narzędzia administracyjne, jeżeli system oraz uprawnienia na to pozwalają. Wartości zależą od konfiguracji urządzenia i firmware’u, dlatego sam komunikat nie pozwala określić, po ilu próbach nastąpiła blokada ani jak długo będzie trwała.

Blokada może zostać wywołana przez wielokrotne wpisanie nieprawidłowego kodu PIN BitLocker, błędne poświadczenia używane do dostępu do obiektu TPM, nieudane operacje wykonywane przez oprogramowanie zabezpieczające albo problemy po zmianie ustawień firmware’u. Czasami użytkownik widzi komunikat po aktualizacji BIOS-u, przywróceniu ustawień domyślnych, zmianie trybu uruchamiania lub wymianie podzespołu. Taka korelacja nie oznacza automatycznie, że aktualizacja uszkodziła TPM; mogła jedynie zmienić warunki, w których system próbuje użyć zapisanych poświadczeń.

Rozróżnienie blokady czasowej od utraty dostępu

Najpierw należy ustalić, czy problem dotyczy czasowego lockoutu, czy innego stanu modułu. Czasowa blokada mechanizmu dictionary attack może ustąpić po upływie skonfigurowanego czasu i po prawidłowym zresetowaniu liczników zgodnie z polityką urządzenia. Jeżeli jednak ekran uruchamiania żąda klucza odzyskiwania BitLocker, nie jest to zwykła prośba o odblokowanie TPM. Oznacza to, że środowisko startowe nie zaakceptowało dotychczasowego sposobu odblokowania woluminu i wymaga klucza recovery.

Nie należy pochopnie wybierać w BIOS-ie lub UEFI opcji „Clear TPM”, „Clear Security Device” albo podobnej. Wyczyszczenie TPM usuwa zapisane w nim klucze i dane autoryzacyjne. W przypadku szyfrowania BitLocker może to doprowadzić do konieczności użycia klucza odzyskiwania, a bez tego klucza dostęp do zaszyfrowanych danych może być niemożliwy. Przed wyczyszczeniem modułu trzeba więc sprawdzić, czy dostępny jest właściwy klucz odzyskiwania oraz czy użytkownik rozumie skutki operacji. Samo usunięcie blokady nie jest metodą odzyskiwania zapomnianego hasła, kodu PIN ani klucza szyfrowania.

Postępowanie serwisowe przy komunikacie TPM locked

Diagnostyka powinna rozpocząć się od zapisania dokładnej treści komunikatu, ustalenia momentu jego wystąpienia oraz sprawdzenia, czy komputer uruchamia system operacyjny, czy zatrzymuje się jeszcze w UEFI. Następnie analizuje się ustawienia TPM w firmware, stan bezpiecznego rozruchu, konfigurację BitLocker oraz ostatnie zmiany kodu PIN, BIOS-u lub sprzętu. W systemie Windows można wykorzystać wbudowaną konsolę „Zabezpieczenia systemu Windows” i narzędzie „Zarządzanie modułem TPM”, a w środowiskach administracyjnych także polecenia systemowe przeznaczone do odczytu stanu TPM. Wyniki trzeba interpretować ostrożnie, ponieważ komunikat z aplikacji producenta może oznaczać coś innego niż właściwy lockout TPM 2.0.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z uruchamianiem, firmware’em oraz modułem TPM. W przypadku szyfrowanego dysku zakres bezpiecznych działań zależy od dostępności klucza odzyskiwania i od tego, czy dane mają zostać zachowane. Dopiero po ustaleniu stanu szyfrowania można ocenić, czy wystarczy odczekanie na wygaśnięcie blokady, korekta konfiguracji, przywrócenie prawidłowych ustawień UEFI, czy konieczne będzie ponowne skonfigurowanie zabezpieczeń.