TPM nieprzygotowany

TPM nieprzygotowany wskazuje na brak wykonanej inicjalizacji modułu (Clear/Take Ownership) w narzędziu tpm.msc.

Co oznacza stan „TPM nieprzygotowany”

Komunikat „TPM nieprzygotowany” oznacza, że system Windows wykrywa moduł TPM, ale nie zakończył jeszcze jego przygotowania do pracy. Skrót TPM pochodzi od nazwy Trusted Platform Module. Jest to układ bezpieczeństwa obecny na płycie głównej albo zintegrowany z platformą sprzętową, który może przechowywać klucze kryptograficzne, wykonywać operacje szyfrowania i wspierać sprawdzanie stanu uruchamiania komputera.

Sam fakt wykrycia TPM nie oznacza jeszcze, że moduł został zainicjalizowany. Podczas przygotowania system ustanawia wymagane dane właściciela i struktury kluczy, między innymi klucz główny modułu znany jako Storage Root Key. W starszych opisach interfejsu Windows proces ten może być określany jako przygotowanie modułu, przejęcie własności albo inicjalizacja TPM. Dopóki operacja nie zostanie wykonana poprawnie, część funkcji systemowych korzystających z TPM może pozostawać niedostępna.

Różnica między wykryciem modułu a jego inicjalizacją

Stan nieprzygotowanego TPM może wystąpić po wymianie płyty głównej, przywróceniu ustawień firmware, aktualizacji systemu albo wyczyszczeniu zawartości modułu. Może też pojawić się na komputerze, na którym TPM jest aktywny w ustawieniach UEFI, lecz nie został jeszcze skonfigurowany przez Windows. W przypadku TPM 2.0 ustawienie może być prezentowane w firmware jako firmware TPM, Intel Platform Trust Technology albo AMD fTPM, zależnie od platformy. Nazwa w UEFI nie zmienia podstawowego znaczenia komunikatu: system musi mieć dostęp do działającego modułu zaufania i przeprowadzić jego przygotowanie.

W narzędziu tpm.msc można sprawdzić producenta modułu, wersję specyfikacji oraz bieżący stan. Po prawidłowym przygotowaniu komunikat powinien wskazywać, że moduł jest gotowy do użycia. Jeżeli narzędzie pokazuje błąd inicjalizacji, brak modułu albo nieprawidłowy stan, przyczyną może być wyłączenie TPM w UEFI, konflikt ustawień firmware, niezgodność sterownika lub uszkodzenie danych zapisanych w module. Samo ponowne uruchomienie komputera nie zawsze rozwiązuje problem, ponieważ nie wykonuje automatycznie operacji wyczyszczenia i ponownego przygotowania.

Clear TPM a dane chronione przez moduł

Operacja Clear TPM usuwa dane przechowywane w module i przywraca jego stan do konfiguracji początkowej. Nie jest to zwykłe wyłączenie urządzenia ani usunięcie plików z dysku. Wyczyszczenie TPM może unieważnić klucze używane przez BitLocker, Windows Hello, ochronę poświadczeń oraz inne mechanizmy kryptograficzne. Z tego powodu przed użyciem funkcji Clear TPM trzeba ustalić, czy na komputerze jest włączone szyfrowanie urządzenia albo BitLocker i czy dostępny jest właściwy klucz odzyskiwania.

Po wyczyszczeniu modułu system może wymagać ponownego uruchomienia i potwierdzenia operacji w środowisku firmware. Następnie Windows może ponownie utworzyć własne struktury TPM. W zależności od wersji systemu i konfiguracji sprzętowej użytkownik może otrzymać komunikat wymagający zgody na przygotowanie modułu lub potwierdzenia zmiany zabezpieczeń. Nie należy wykonywać tej operacji mechanicznie, gdy komputer jest już używany do ochrony danych, ponieważ utrata klucza odzyskiwania może uniemożliwić dostęp do zaszyfrowanego woluminu.

Jeżeli problem dotyczy tylko niedokończonej inicjalizacji, właściwa procedura może polegać na przygotowaniu TPM w systemie Windows, bez wymiany sprzętu. Gdy moduł nie odpowiada, znika po restarcie albo zgłasza błędy niezależnie od ustawień, potrzebne jest porównanie stanu w tpm.msc, UEFI oraz Podglądzie zdarzeń. Istotne jest także rozróżnienie problemu programowego od sytuacji, w której firmware płyty głównej nie udostępnia poprawnie funkcji TPM.

Bezpieczne przywrócenie gotowości TPM

Diagnostyka powinna rozpocząć się od sprawdzenia, czy moduł jest aktywny w UEFI oraz czy system Windows rozpoznaje jego wersję i producenta. Następnie analizuje się stan pokazany przez tpm.msc, komunikaty podczas uruchamiania oraz zależności z szyfrowaniem dysku i logowaniem Windows Hello. Dopiero po ustaleniu, że nie są potrzebne klucze zapisane w obecnym TPM albo że zostały prawidłowo zabezpieczone, można rozważyć wyczyszczenie modułu i ponowną inicjalizację.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z konfiguracją TPM. Zakres czynności zależy od wyniku sprawdzenia systemu, firmware oraz stanu zabezpieczeń. W przypadku komunikatu „TPM nieprzygotowany” ważne jest zachowanie kolejności działań, ponieważ pochopne użycie funkcji Clear TPM może zmienić dostęp do wcześniej chronionych danych.