TPM nieaktywny

Nieaktywny TPM to stan, w którym moduł zabezpieczeń jest wyłączony na poziomie firmware lub systemu operacyjnego.

Czym jest stan „TPM nieaktywny”

TPM, czyli Trusted Platform Module, jest modułem bezpieczeństwa przeznaczonym do wykonywania operacji kryptograficznych i przechowywania ograniczonego zakresu informacji chronionych. W komputerze może występować jako oddzielny układ na płycie głównej albo jako implementacja firmware procesora i platformy. W laptopach z systemem Windows spotyka się między innymi oznaczenia Intel Platform Trust Technology, czyli Intel PTT, oraz AMD firmware TPM. Są to rozwiązania zgodne z funkcją TPM, chociaż ich konfiguracja zależy od producenta płyty głównej i firmware.

Komunikat „TPM nieaktywny” oznacza zwykle, że moduł nie został udostępniony systemowi operacyjnemu. Przyczyną może być wyłączenie funkcji w UEFI, wyczyszczenie lub niepełna inicjalizacja modułu, błąd firmware, zmiana ustawień po aktualizacji BIOS-u albo problem z komunikacją między firmware a systemem. Sam komunikat nie wskazuje jeszcze, czy uszkodzony jest fizyczny układ, płyta główna, konfiguracja UEFI czy sterowniki systemowe. TPM nie jest zwykłym dyskiem ani programem instalowanym w Windows, dlatego jego aktywacji nie wykonuje się przez typową instalację aplikacji.

Wpływ wyłączonego modułu na uruchamianie systemu

System Windows może działać bez aktywnego TPM, ale część funkcji bezpieczeństwa będzie niedostępna albo nie spełni wymagań określonej wersji systemu. Windows 11 wymaga obecności TPM 2.0 w konfiguracji zgodnej z wymaganiami instalatora. Jeżeli funkcja jest wyłączona w UEFI, komputer może zgłaszać brak TPM 2.0 mimo tego, że odpowiednia implementacja znajduje się w firmware. W takiej sytuacji narzędzie diagnostyczne może widzieć moduł jako niegotowy, niedostępny lub niewykryty.

TPM może przechowywać klucze i wykonywać operacje potrzebne między innymi do ochrony kluczy funkcji BitLocker, pomiarów procesu uruchamiania oraz mechanizmów logowania korzystających z Windows Hello. Wyłączenie TPM nie oznacza automatycznie utraty danych i nie jest równoznaczne z uszkodzeniem systemu plików. Może jednak zmienić sposób, w jaki komputer wykorzystuje wcześniej skonfigurowane zabezpieczenia. Jeżeli szyfrowanie BitLocker korzysta z klucza powiązanego z TPM, zmiana ustawień bezpieczeństwa może spowodować żądanie klucza odzyskiwania podczas kolejnego uruchomienia.

Ważne jest rozróżnienie między wyłączeniem TPM a wyczyszczeniem TPM. Wyłączenie blokuje dostęp systemu do modułu, natomiast wyczyszczenie usuwa zapisane w nim informacje, w tym klucze lub dane używane przez niektóre mechanizmy zabezpieczeń. Operacja czyszczenia powinna być wykonywana dopiero po sprawdzeniu zależności szyfrowania i po zabezpieczeniu kluczy odzyskiwania. Nie jest to rutynowy sposób naprawy każdego komunikatu o nieaktywnym TPM.

Sprawdzenie UEFI, Windows i wersji modułu

Pierwszym krokiem jest sprawdzenie, czy TPM jest włączony w UEFI. Nazwa ustawienia zależy od producenta i platformy. Może to być „TPM Device”, „Security Device Support”, „Intel PTT”, „AMD fTPM” albo podobna opcja umieszczona w sekcji bezpieczeństwa, zaawansowanej konfiguracji procesora lub ustawień zaufanego przetwarzania. Należy zweryfikować, czy funkcja jest ustawiona jako aktywna, a następnie zapisać zmianę i ponownie uruchomić komputer. Nie należy przypadkowo zmieniać ustawień rozruchu, trybu SATA ani kluczy platformy, ponieważ mogą one wpływać na uruchamianie systemu.

W Windows podstawową informację można uzyskać przez narzędzie „Zabezpieczenia procesora” w ustawieniach zabezpieczeń systemu albo przez konsolę zarządzania TPM uruchamianą poleceniem tpm.msc. Przydatne jest także polecenie PowerShell Get-Tpm, które zwraca między innymi informacje o obecności modułu, gotowości do użycia i jego aktywacji. W przypadku TPM 2.0 konsola powinna pokazywać odpowiednią wersję specyfikacji. Jeżeli system nie wykrywa modułu mimo prawidłowych ustawień UEFI, trzeba uwzględnić aktualizację firmware, ograniczenia konkretnego modelu oraz możliwy problem sprzętowy.

Diagnostyka powinna obejmować także historię zmian: aktualizację BIOS-u lub UEFI, przywrócenie ustawień fabrycznych, wymianę płyty głównej, zmianę trybu rozruchu oraz ponowną instalację systemu. Po każdej takiej operacji należy sprawdzić, czy komputer nadal rozpoznaje TPM i czy mechanizmy szyfrowania nie wymagają dodatkowego potwierdzenia. Jeżeli problem pojawia się tylko w jednym systemie, możliwa jest przyczyna programowa. Jeżeli moduł nie jest widoczny również w UEFI, większe znaczenie ma firmware albo sprzęt platformy.

Bezpieczne przywrócenie działania TPM w komputerze

Przywracanie TPM powinno rozpocząć się od identyfikacji modelu komputera, wersji firmware i sposobu implementacji modułu. Następnie można sprawdzić dostępność aktualizacji BIOS-u lub UEFI oraz zalecenia producenta dotyczące PTT albo fTPM. Aktualizację należy przeprowadzać przy stabilnym zasilaniu i zgodnie z instrukcją dla konkretnego modelu. Nie powinno się włączać i wyłączać przypadkowych funkcji bezpieczeństwa ani wykonywać polecenia czyszczenia TPM bez potwierdzenia, że klucze odzyskiwania szyfrowania są dostępne.

Jeżeli po aktywacji w UEFI Windows nadal zgłasza problem, można sprawdzić stan usługi i urządzeń systemowych, ponownie uruchomić komputer oraz zweryfikować wynik Get-Tpm i konsoli tpm.msc. W niektórych przypadkach potrzebne jest przywrócenie ustawień bezpieczeństwa firmware, aktualizacja sterowników chipsetu lub naprawa konfiguracji systemu. Gdy TPM jest wykrywany niestabilnie, znika po restarcie albo nie pojawia się nawet w UEFI, sama zmiana ustawień programowych może nie wystarczyć.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z uruchamianiem, firmware oraz konfiguracją zabezpieczeń TPM. Przed ingerencją w ustawienia modułu można ustalić, czy komputer korzysta z TPM sprzętowego, Intel PTT czy AMD fTPM, a następnie ocenić wpływ zmian na system Windows i istniejące mechanizmy szyfrowania.