TPM provisioning failed

Komunikat TPM provisioning failed informuje o niepowodzeniu procesu wstępnej konfiguracji modułu zabezpieczeń.

Co oznacza komunikat TPM provisioning failed

Komunikat „TPM provisioning failed” oznacza, że system Windows nie zakończył procesu przygotowania modułu TPM do pracy z funkcjami zabezpieczeń. TPM, czyli Trusted Platform Module, jest układem sprzętowym albo wydzielonym środowiskiem firmware przechowującym klucze kryptograficzne i wykonującym operacje związane z ochroną tożsamości urządzenia. W komputerach z procesorami firmy Intel może występować jako Intel Platform Trust Technology, natomiast w wielu komputerach AMD podobną funkcję pełni firmware TPM. Z punktu widzenia systemu Windows oba rozwiązania są prezentowane jako TPM, ale ich konfiguracja zależy od płyty głównej, firmware i ustawień UEFI.

Provisioning oznacza w tym kontekście przygotowanie TPM oraz powiązanych usług systemowych do użycia przez Windows. Proces może obejmować sprawdzenie obecności modułu, odczyt jego stanu, utworzenie lub zarejestrowanie kluczy, nadanie właścicielstwa oraz powiązanie urządzenia z mechanizmami takimi jak Windows Hello, szyfrowanie urządzenia albo BitLocker. Sam komunikat nie wskazuje jednej konkretnej przyczyny. Informuje jedynie, że co najmniej jeden etap inicjalizacji nie został wykonany prawidłowo.

Rola TPM w uruchamianiu i ochronie systemu

TPM przechowuje klucze w sposób odporny na ich zwykły odczyt z systemu operacyjnego. Układ może również rejestrować pomiary procesu uruchamiania komputera w rejestrach PCR, czyli Platform Configuration Registers. Dane te są wykorzystywane między innymi przez funkcję Secure Boot i mechanizmy ochrony kluczy BitLocker. W typowej konfiguracji klucz potrzebny do odblokowania dysku może zostać udostępniony dopiero wtedy, gdy stan uruchamiania urządzenia odpowiada oczekiwanym pomiarom.

Niepowodzenie provisioning nie musi oznaczać fizycznej awarii TPM. Przyczyną może być wyłączona funkcja TPM w UEFI, nieaktualny firmware, błąd po aktualizacji BIOS-u, niespójność danych właścicielstwa, problem z usługą systemową albo uszkodzenie komponentów Windows odpowiedzialnych za rejestrację urządzenia. Znaczenie ma także historia komputera: wymiana płyty głównej, przywrócenie obrazu systemu, zmiana ustawień Secure Boot lub przejście między trybem UEFI i Legacy może zmienić stan, który TPM zgłasza systemowi.

Rozróżnienie konfiguracji od utraty dostępu do danych

Przed wyczyszczeniem TPM trzeba sprawdzić, czy komputer korzysta z BitLocker albo innego mechanizmu, którego klucze są powiązane z tym modułem. Wyczyszczenie TPM usuwa dane przechowywane w module, w tym klucze i informacje o właścicielstwie. Nie usuwa samo w sobie plików z dysku, ale może uniemożliwić automatyczne odblokowanie zaszyfrowanego woluminu. Do odzyskania dostępu może być wtedy potrzebny klucz odzyskiwania BitLocker zapisany wcześniej na koncie Microsoft, w usłudze katalogowej organizacji, na wydruku albo w innym bezpiecznym miejscu.

Diagnostykę można rozpocząć od sprawdzenia stanu modułu w konsoli TPM dostępnej po uruchomieniu narzędzia tpm.msc. W systemie Windows można również użyć programu PowerShell i polecenia Get-Tpm, które zwraca między innymi informacje o obecności TPM, gotowości modułu i możliwości jego użycia. Wyniki należy interpretować razem z Podglądem zdarzeń, ustawieniami UEFI oraz komunikatami usług systemowych. Jeżeli TPM jest niewidoczny, pozostaje w stanie błędu albo zmienia stan po każdym restarcie, samo ponowne uruchomienie Windows zwykle nie rozwiązuje problemu.

Bezpieczne postępowanie przy błędzie provisioning

Najpierw należy ustalić, czy błąd pojawił się po zmianie BIOS-u, aktualizacji Windows, wymianie podzespołu lub modyfikacji ustawień bezpieczeństwa. W UEFI sprawdza się, czy aktywna jest funkcja TPM, Intel PTT albo firmware TPM, zależnie od platformy. Trzeba także zweryfikować tryb uruchamiania UEFI oraz stan Secure Boot, ponieważ zmiana tych parametrów może wpłynąć na pomiary startowe i dostęp do kluczy. Aktualizację firmware wykonuje się wyłącznie zgodnie z dokumentacją producenta płyty głównej lub laptopa.

Jeżeli moduł jest wykrywany, ale provisioning nadal kończy się błędem, można sprawdzić usługi systemowe, integralność plików Windows oraz zgodność sterowników i firmware. Polecenia naprawcze, reset TPM lub jego wyczyszczenie powinny być poprzedzone kopią danych i potwierdzeniem posiadania klucza odzyskiwania. W przypadku komputera używanego przez kilka osób ważne jest także ustalenie, czy problem dotyczy jednego profilu, czy całego urządzenia. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów z uruchamianiem i konfiguracją zabezpieczeń sprzętowych.