TPM wyłączone w BIOS

TPM wyłączone w BIOS to stan, w którym moduł zabezpieczeń został zdezaktywowany na poziomie firmware płyty głównej.

Co oznacza wyłączony moduł TPM w ustawieniach firmware

TPM wyłączone w BIOS oznacza, że moduł Trusted Platform Module nie jest aktywny dla systemu operacyjnego. Współczesne laptopy i komputery często nie mają osobnego układu oznaczonego jako TPM, ponieważ funkcję tę może realizować firmware procesora lub chipsetu. W komputerach z procesorami Intel spotyka się zwykle nazwę Intel Platform Trust Technology, czyli Intel PTT, natomiast w urządzeniach z procesorami AMD podobną funkcję określa się jako AMD fTPM. Niezależnie od nazwy zadaniem modułu jest udostępnienie sprzętowego środowiska do przechowywania kluczy kryptograficznych i wykonywania wybranych operacji zabezpieczających.

Wyłączenie TPM w BIOS-ie nie oznacza automatycznie uszkodzenia modułu ani utraty zapisanych plików. Jest to zmiana konfiguracji firmware płyty głównej, przez którą system Windows może przestać wykrywać moduł jako dostępny. W menu UEFI ustawienie może występować jako TPM Device, Security Device Support, Trusted Computing, Intel PTT, AMD fTPM albo podobnie. Konkretna nazwa, położenie i dostępne opcje zależą od producenta płyty głównej, modelu komputera oraz wersji firmware. BIOS i UEFI są często używane zamiennie, chociaż technicznie UEFI jest nowszym środowiskiem firmware zastępującym klasyczny BIOS.

Rola TPM w uruchamianiu systemu i szyfrowaniu danych

Aktywny TPM może przechowywać lub chronić klucze używane przez mechanizmy zabezpieczeń systemu. Jednym z przykładów jest BitLocker, czyli funkcja szyfrowania woluminów dostępna w wybranych edycjach systemu Windows. TPM może współpracować z procedurą rozruchu, przechowując pomiary stanu uruchamiania w rejestrach PCR, czyli Platform Configuration Registers. Pomiary te mogą obejmować elementy procesu startowego, takie jak firmware, menedżer rozruchu i konfiguracja związana z zabezpieczeniami. Jeżeli stan uruchamiania zmieni się w sposób wymagający dodatkowego potwierdzenia, system może zażądać klucza odzyskiwania BitLocker.

TPM jest również wykorzystywany przez funkcje Windows Hello, ochronę poświadczeń oraz inne mechanizmy, które potrzebują bezpiecznego przechowywania materiału kryptograficznego. Nie jest jednak programem antywirusowym, zaporą sieciową ani zamiennikiem hasła użytkownika. Samo włączenie TPM nie naprawia infekcji, nie przyspiesza komputera i nie gwarantuje, że każdy element procesu rozruchu będzie chroniony. Działanie zależy także od konfiguracji systemu, trybu startu UEFI, ustawień Secure Boot oraz tego, czy konkretna funkcja została rzeczywiście skonfigurowana.

Wymagania części systemów operacyjnych i aplikacji mogą sprawdzać obecność TPM 2.0, ale obecność modułu i jego aktywacja to dwie różne kwestie. Komputer może mieć zgodny moduł firmware, który jest wyłączony w ustawieniach płyty głównej. Może też mieć aktywny TPM, lecz nie spełniać innych wymagań dotyczących procesora, trybu uruchamiania lub Secure Boot. Dlatego komunikat o braku TPM nie powinien być interpretowany jako jednoznaczny dowód awarii sprzętowej.

Bezpieczne rozpoznanie przyczyny problemu

Podstawowym krokiem jest sprawdzenie, czy problem występuje wyłącznie w ustawieniach firmware, czy również w działającym systemie. W Windows można użyć konsoli zarządzania modułem TPM, uruchamiając narzędzie tpm.msc. Jeżeli system nie widzi dostępnego modułu, komunikat może wskazywać na jego wyłączenie, brak zgodności albo problem z inicjalizacją. Informacje można również sprawdzić w Zabezpieczeniach Windows w obszarze związanym z zabezpieczeniami urządzenia, przy czym nazwy ekranów mogą różnić się między wersjami systemu.

Przed zmianą ustawień należy ustalić, czy na dysku jest aktywne szyfrowanie BitLocker lub szyfrowanie urządzenia. Włączenie, wyłączenie albo wyczyszczenie TPM może spowodować konieczność podania klucza odzyskiwania przy kolejnym uruchomieniu. Szczególnie ryzykowną operacją jest polecenie Clear TPM, ponieważ usuwa dane przechowywane w module i może uniemożliwić użycie kluczy zależnych od wcześniejszej konfiguracji. Samo włączenie TPM jest inną operacją niż wyczyszczenie jego zawartości i nie powinno być z nim utożsamiane.

W menu UEFI należy odróżnić aktywację urządzenia zabezpieczającego od ustawień Secure Boot. Secure Boot kontroluje, czy podczas uruchamiania mogą zostać załadowane właściwie podpisane składniki programu rozruchowego, natomiast TPM przechowuje klucze i rejestruje wybrane informacje o stanie platformy. Obie funkcje mogą współpracować, ale włączenie jednej nie zawsze automatycznie włącza drugą. Po zmianie ustawienia TPM warto zapisać konfigurację, uruchomić system i ponownie sprawdzić stan modułu w Windows, bez wykonywania dodatkowych operacji kasowania.

Przywrócenie aktywności TPM w laptopie lub komputerze PC

Jeżeli sprzęt obsługuje TPM, przywrócenie jego działania zwykle polega na wejściu do ustawień UEFI, odszukaniu opcji dotyczącej Trusted Computing, Intel PTT, AMD fTPM lub urządzenia zabezpieczającego i ustawieniu jej jako aktywnej. Następnie trzeba zapisać zmiany i pozwolić systemowi uruchomić się ponownie. Gdy urządzenie korzysta z szyfrowania dysku, przed modyfikacją należy mieć dostęp do klucza odzyskiwania. Po restarcie można sprawdzić, czy system rozpoznaje TPM oraz czy jego wersja i stan są zgodne z wymaganiami używanej funkcji.

Jeżeli opcja TPM jest niedostępna, wyszarzona albo znika po aktualizacji firmware, przyczyną może być nieaktualny UEFI, nieprawidłowa konfiguracja trybu startu, konflikt ustawień bezpieczeństwa lub problem z firmware płyty głównej. Aktualizację UEFI należy dobierać dokładnie do modelu urządzenia i wykonywać przy stabilnym zasilaniu, ponieważ przerwanie procesu może uniemożliwić uruchomienie komputera. W przypadku starszych konstrukcji możliwy jest także brak obsługi TPM 2.0 albo obecność modułu wymagającego osobnego elementu sprzętowego.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z ustawieniami firmware oraz rozpoznawaniem przyczyn, dla których system nie wykrywa modułu TPM. Zakres czynności powinien zostać dopasowany do modelu urządzenia, stanu szyfrowania dysku i dostępnych informacji odzyskiwania. Przy takiej diagnostyce nie należy pochopnie wybierać opcji czyszczenia TPM, ponieważ może ona zmienić dostęp do kluczy zabezpieczających zapisanych wcześniej w komputerze.