TPM self-healing mode

TPM self-healing mode to funkcja automatycznego naprawiania drobnych niespójności w danych modułu zabezpieczeń.

TPM self-healing mode jako funkcja firmware’u

TPM self-healing mode nie jest nazwą osobnego, jednolicie zdefiniowanego mechanizmu w specyfikacji TPM 2.0. To określenie stosowane przez niektórych producentów układów TPM, firmware’u płyty głównej albo narzędzi diagnostycznych dla procedury automatycznego porządkowania lub odtwarzania wybranych danych pomocniczych modułu Trusted Platform Module. Dokładne działanie zależy więc od producenta komputera, wersji UEFI oraz użytego układu zabezpieczeń. Sama nazwa nie wystarcza do ustalenia, jakie obiekty są sprawdzane i w jaki sposób następuje ich naprawa.

TPM przechowuje między innymi klucze, obiekty kryptograficzne, indeksy NV oraz informacje związane z hierarchią platformy, hierarchią pamięci i hierarchią zatwierdzania. Układ może również uczestniczyć w pomiarze procesu uruchamiania komputera przez rejestry PCR, czyli Platform Configuration Registers. Tryb określany jako self-healing może wykrywać niespójność metadanych lub struktur zarządzanych przez firmware i próbować odtworzyć je z kopii, wartości domyślnych albo wewnętrznego stanu kontrolnego. Nie oznacza to jednak odzyskania każdego utraconego klucza ani naprawy danych zapisanych poza TPM.

Jakie dane mogą podlegać automatycznej korekcie

Zakres samoczynnej naprawy jest ograniczony przez architekturę konkretnego rozwiązania. TPM nie powinien dowolnie zmieniać wartości PCR, ponieważ są one przeznaczone do rejestrowania pomiarów wykonywanych podczas uruchamiania platformy. Wartości PCR są aktualizowane operacją rozszerzenia, w której nowy skrót zależy od poprzedniej wartości i mierzonego materiału. Jeżeli zmieni się firmware, konfiguracja bezpiecznego rozruchu albo kolejność ładowania komponentów, zmiana wartości PCR może być prawidłowym skutkiem pomiaru, a nie usterką wymagającą naprawy.

Procedura self-healing może dotyczyć na przykład wewnętrznych struktur indeksów NV, informacji o stanie obiektów, metadanych przechowywanych przez firmware lub danych potrzebnych do prawidłowej inicjalizacji modułu po restarcie. Jeżeli kontrola spójności wykryje błąd, firmware może ponownie zainicjalizować określony fragment stanu albo przełączyć moduł w procedurę odzyskiwania. Taka operacja nie jest równoznaczna z wyczyszczeniem TPM. Czyszczenie, znane jako TPM clear, usuwa lub unieważnia część hierarchii i obiektów powiązanych z platformą, dlatego wymaga odrębnej decyzji i może spowodować konieczność ponownej konfiguracji funkcji korzystających z TPM.

Różnica między samonaprawą a utratą kluczy

Automatyczne usunięcie niespójności w TPM nie gwarantuje zachowania wszystkich zależności między modułem zabezpieczeń a systemem operacyjnym. Funkcje takie jak szyfrowanie urządzenia lub BitLocker mogą korzystać z kluczy zabezpieczonych przez TPM oraz z warunków odblokowania powiązanych z pomiarami PCR. Po zmianie ustawień UEFI, aktualizacji firmware’u, wymianie płyty głównej albo wyczyszczeniu TPM komputer może zażądać klucza odzyskiwania. Jest to mechanizm ochronny, a nie dowód, że sam moduł został skutecznie naprawiony.

Przed zatwierdzeniem operacji opisanej w komunikacie jako self-healing należy ustalić, czy procedura jest wykonywana przez UEFI, system operacyjny, sterownik producenta czy narzędzie serwisowe. Istotne są również dokładny model płyty głównej, producent TPM, wersja firmware’u oraz treść komunikatu diagnostycznego. Nie należy pochopnie wybierać opcji czyszczenia TPM ani zmieniać trybu pracy modułu, jeżeli nie ma dostępu do klucza odzyskiwania używanego przez system. W praktyce najpierw sprawdza się stan modułu w ustawieniach UEFI i systemie, historię aktualizacji firmware’u oraz to, czy problem powtarza się po pełnym wyłączeniu komputera.

Diagnostyka TPM w laptopie i komputerze PC

W komputerze konsumenckim diagnostyka TPM obejmuje sprawdzenie, czy moduł jest wykrywany przez UEFI i system operacyjny, czy funkcja bezpiecznego rozruchu działa zgodnie z konfiguracją oraz czy pojawiają się błędy inicjalizacji po uruchomieniu. Analizuje się także zależność między komunikatem o self-healing a aktualizacją BIOS-u lub UEFI, zmianą ustawień firmware’u, wymianą dysku i problemami z odblokowaniem zaszyfrowanego systemu. Sama obecność TPM w menu płyty głównej nie potwierdza jeszcze poprawnej obsługi wszystkich funkcji kryptograficznych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów związanych z uruchamianiem systemu, firmware’em oraz modułem zabezpieczeń TPM. Zakres czynności ustala się na podstawie objawów i konfiguracji konkretnego urządzenia. W przypadku ingerencji w ustawienia TPM konieczne jest zachowanie ostrożności, ponieważ niektóre operacje mogą zmienić dostęp do zaszyfrowanych danych lub wymagać ponownego skonfigurowania zabezpieczeń systemu.