TPM obsługuje tylko SHA-1

TPM obsługujący tylko SHA-1 to ograniczenie starszego modułu zabezpieczeń, niewspierającego nowszych, bezpieczniejszych algorytmów kryptograficznych.

TPM obsługuje tylko SHA-1 – znaczenie tego komunikatu

Komunikat „TPM obsługuje tylko SHA-1” wskazuje, że zainstalowany moduł TPM, czyli układ odpowiedzialny za część funkcji ochrony komputera, udostępnia jedynie starszy algorytm skrótu kryptograficznego SHA-1. Nie oznacza to automatycznie, że komputer jest zainfekowany albo że sam moduł uległ awarii. Jest to przede wszystkim informacja o jego możliwościach, wersji oprogramowania układowego lub sposobie konfiguracji.

TPM przechowuje i wykorzystuje dane związane z bezpieczeństwem, między innymi klucze kryptograficzne, informacje potrzebne do sprawdzania integralności uruchamiania systemu oraz elementy mechanizmów logowania. Algorytm skrótu przekształca dane w krótki ciąg znaków, który może służyć do porównywania ich stanu. Jeżeli zawartość ulegnie zmianie, obliczony skrót powinien być inny. W starszych rozwiązaniach często stosowano SHA-1, lecz obecnie uznaje się go za niewystarczający do nowych zastosowań wymagających odporności na kolizje.

Sformułowanie „tylko SHA-1” jest istotne, ponieważ współczesne systemy operacyjne i programy zabezpieczające mogą oczekiwać obsługi nowszych algorytmów, takich jak rodzina SHA-2. W zależności od sytuacji pojawia się ostrzeżenie, odmowa wykonania określonej operacji, problem z rejestracją klucza albo komunikat o niezgodności modułu. Samo wystąpienie informacji nie pozwala jeszcze rozstrzygnąć, czy przyczyną jest wiek układu TPM, ustawienia firmware, błędna aktualizacja czy ograniczenie konkretnego komputera.

TPM obsługuje tylko SHA-1 a różnica między algorytmem skrótu i szyfrowaniem

SHA-1 nie jest szyfrem służącym do ukrywania treści. Jest funkcją skrótu, czyli mechanizmem generującym wartość kontrolną na podstawie danych. Nie da się jej traktować jak hasła, które można odszyfrować. W praktyce wykorzystuje się ją między innymi do sprawdzania, czy plik, konfiguracja lub etap uruchamiania systemu odpowiada oczekiwanemu stanowi.

Warto odróżnić trzy elementy, które bywają mylone. Funkcja skrótu służy do tworzenia odcisku danych. Szyfrowanie ma ukryć treść przed osobą nieposiadającą właściwego klucza. Podpis cyfrowy pozwala natomiast sprawdzić pochodzenie danych i potwierdzić, że nie zmieniono ich po podpisaniu. TPM może uczestniczyć w każdym z tych procesów, lecz sposób jego wykorzystania zależy od systemu, firmware oraz konkretnej aplikacji.

Nowszy moduł może obsługiwać kilka algorytmów jednocześnie, co zwiększa zgodność z aktualnymi mechanizmami bezpieczeństwa. Starszy układ ograniczony do SHA-1 może nadal wykonywać część zadań, lecz nie będzie pasował do każdego scenariusza. Nie należy też zakładać, że wymiana samego dysku albo ponowna instalacja systemu doda brakujące możliwości kryptograficzne. Jeżeli ograniczenie znajduje się w sprzęcie, potrzebna może być aktualizacja firmware, zmiana konfiguracji albo wymiana płyty głównej z zachowaniem ostrożności wobec danych zaszyfrowanych.

Różnica między modułami TPM może dotyczyć również wersji standardu, dostępnych banków algorytmów, obsługiwanych kluczy oraz sposobu komunikacji z firmware. Dwa komputery o podobnej konfiguracji mogą więc reagować inaczej na ten sam komunikat. Znaczenie ma także to, czy TPM jest osobnym układem, czy funkcją realizowaną przez oprogramowanie firmware procesora lub płyty głównej.

TPM obsługuje tylko SHA-1 – typowe problemy i objawy

Ograniczenie do SHA-1 może ujawnić się podczas aktualizacji systemu, włączania ochrony urządzenia, konfiguracji szyfrowania dysku, odtwarzania kopii zabezpieczonej kluczem albo sprawdzania integralności procesu startowego. Czasem komunikat pojawia się po aktualizacji BIOS-u lub UEFI, gdy ustawienia TPM wracają do wartości domyślnych. W innym przypadku system może wykrywać moduł, lecz nie rozpoznawać właściwego zestawu algorytmów.

Jednym z częstych objawów jest pozorna sprzeczność: panel systemowy informuje, że TPM jest obecny, a wybrana funkcja nadal zgłasza brak zgodności. Obecność modułu nie oznacza bowiem, że obsługuje on każdy wymagany algorytm. Możliwa jest także sytuacja, w której TPM obsługuje nowsze funkcje, ale są one wyłączone w UEFI, ukryte pod inną nazwą albo zablokowane przez ustawienia zabezpieczeń.

Przed wyczyszczeniem TPM trzeba zachować szczególną ostrożność. W module mogą znajdować się klucze używane przez szyfrowanie dysku, logowanie bez hasła, ochronę danych aplikacji lub mechanizmy kontroli uruchamiania. Wyczyszczenie może spowodować konieczność ponownego ustanowienia zabezpieczeń, a w niektórych przypadkach utrudnić dostęp do danych. Samo wyłączenie i ponowne włączenie TPM również nie powinno być wykonywane bez sprawdzenia, jakie funkcje korzystają z jego kluczy.

Nie każdy błąd przypisywany TPM wynika z jego ograniczenia kryptograficznego. Podobny komunikat może pojawić się przy uszkodzeniu pamięci firmware, niezgodności wersji BIOS-u, błędnym czasie systemowym, problemie z aktualizacją, uszkodzeniu plików systemowych albo nieprawidłowym stanie modułu po zmianie płyty głównej. Trafna diagnoza wymaga więc zebrania objawów, a nie tylko odczytania pojedynczej linii z narzędzia systemowego.

TPM obsługuje tylko SHA-1 – praktyczne wskazówki diagnostyczne

Najpierw warto zapisać dokładną treść komunikatu, nazwę programu oraz moment jego pojawienia się. Inaczej interpretuje się ostrzeżenie podczas uruchamiania komputera, inaczej błąd w ustawieniach zabezpieczeń, a jeszcze inaczej informację wyświetloną przy szyfrowaniu danych. Pomocne są również model komputera, wersja BIOS-u lub UEFI, wersja systemu oraz informacja o ostatnich zmianach sprzętowych.

W ustawieniach firmware można sprawdzić, czy moduł bezpieczeństwa jest aktywny i czy nie występują opcje dotyczące przełączania wersji, banku algorytmów albo trybu pracy. Nazwy zależą od producenta, dlatego bezpieczniej jest korzystać z dokumentacji właściwej dla danego modelu. Nie należy zmieniać kilku ustawień naraz, ponieważ utrudnia to ustalenie, która modyfikacja wpłynęła na rezultat.

Przed aktualizacją firmware trzeba przygotować kopię ważnych plików i upewnić się, że znane są klucze odzyskiwania używane przez system. Aktualizacja może rozwiązać problem, jeżeli producent udostępnił poprawkę rozszerzającą obsługę algorytmów lub naprawiającą komunikację z TPM. Nie można jednak zagwarantować takiego efektu w komputerze, którego układ sprzętowy rzeczywiście obsługuje wyłącznie SHA-1.

Jeżeli komputer działa poprawnie, a komunikat ma charakter ostrzegawczy, nie zawsze trzeba natychmiast ingerować w TPM. Należy sprawdzić, czy ostrzeżenie blokuje konkretną funkcję oraz czy dane są objęte szyfrowaniem. W przypadku sprzętu używanego do pracy, nauki albo przechowywania ważnych dokumentów rozsądne jest wykonanie kopii zapasowej przed zmianami w BIOS-ie, UEFI lub konfiguracji zabezpieczeń.

TPM obsługuje tylko SHA-1 – kiedy zgłosić problem do serwisu

Zgłoszenie do serwisu jest wskazane, gdy komunikat pojawia się po aktualizacji, komputer nie uruchamia funkcji ochrony, system żąda klucza odzyskiwania, moduł TPM znika z ustawień, a także wtedy, gdy planowana jest wymiana płyty głównej lub reinstalacja systemu z włączonym szyfrowaniem. Szczególnej ostrożności wymaga sytuacja, w której nie ma pewności, gdzie zapisano klucz odzyskiwania. Pochopne wyczyszczenie modułu może utrudnić dostęp do danych.

W ramach diagnostyki można sprawdzić stan TPM w systemie, porównać wykrywane algorytmy z wymaganiami problematycznej funkcji, odczytać wersję firmware i przeanalizować ustawienia UEFI. Następnie można rozdzielić przyczynę sprzętową od programowej oraz ocenić, czy wystarczy aktualizacja, korekta ustawień, naprawa systemu, czy potrzebna jest wymiana elementu. Przed każdą ingerencją powinno się ustalić wpływ operacji na szyfrowanie i logowanie.

W Warszawie pomocą w takim przypadku zajmuje się Warszawskie Pogotowie Komputerowe 24/7. Przy zgłoszeniu warto przekazać dokładny komunikat „TPM obsługuje tylko SHA-1”, model urządzenia oraz informację, czy używane jest szyfrowanie dysku. Pozwala to lepiej przygotować bezpieczną ścieżkę diagnozy i ograniczyć ryzyko utraty dostępu do plików podczas sprawdzania modułu zabezpieczeń.