TPM wyłączony w BIOS/UEFI

TPM wyłączony w BIOS/UEFI wskazuje na nieaktywną opcję Security Device Support — wymaga jej włączenia w ustawieniach firmware.

TPM wyłączony w BIOS/UEFI — czym jest ten komunikat

TPM wyłączony w BIOS/UEFI oznacza, że moduł odpowiedzialny za funkcje bezpieczeństwa nie został aktywowany w ustawieniach firmware komputera. Sam układ może znajdować się na płycie głównej albo być udostępniany przez procesor jako rozwiązanie programowo sprzętowe, jednak system operacyjny nie może z niego korzystać, dopóki odpowiednia opcja pozostaje nieaktywna. W wielu urządzeniach występuje ustawienie nazwane Security Device Support, TPM Device, Trusted Platform Module, Intel Platform Trust Technology albo AMD fTPM. Nazwa zależy od producenta płyty głównej, laptopa i wersji firmware.

TPM przechowuje lub zabezpiecza informacje wykorzystywane między innymi do potwierdzania integralności uruchamiania systemu, obsługi szyfrowania dysku, ochrony kluczy kryptograficznych oraz logowania za pomocą wybranych metod sprzętowych. Nie jest to zwykły program instalowany w systemie Windows. Włączenie modułu odbywa się przed uruchomieniem systemu, w menu BIOS/UEFI. Z tego powodu instalowanie sterowników lub ponowne uruchamianie usługi systemowej nie rozwiązuje problemu, jeżeli funkcja została wyłączona na poziomie firmware.

W praktyce komunikat może pojawić się po przywróceniu ustawień domyślnych, aktualizacji firmware, wymianie płyty głównej, zmianie ustawień rozruchu albo ręcznym wyłączeniu funkcji bezpieczeństwa. Czasami system działa pozornie prawidłowo, lecz wyświetla ostrzeżenie przy sprawdzaniu zgodności urządzenia, instalowaniu nowszej wersji systemu lub uruchamianiu narzędzia szyfrowania. Brak widocznego problemu w codziennej pracy nie oznacza, że ustawienie jest nieistotne.

TPM wyłączony w BIOS/UEFI a ustawienia rozruchu i szyfrowanie

Moduł TPM współpracuje z kilkoma innymi elementami konfiguracji komputera. Znaczenie może mieć tryb uruchamiania UEFI, stan funkcji Secure Boot, sposób podziału dysku oraz konfiguracja mechanizmu szyfrowania. Włączenie samego TPM nie zawsze wystarcza, jeżeli pozostałe ustawienia zostały zmienione albo system został zainstalowany w trybie niezgodnym z aktualną konfiguracją. Dlatego przed zapisaniem zmian należy ustalić, w jakim trybie urządzenie było używane wcześniej.

Przykładowo, komputer uruchomiony w trybie zgodności ze starszym sposobem startu może nie zachować się tak samo po przełączeniu na czyste UEFI. Zmiana trybu uruchamiania bez sprawdzenia struktury dysku może spowodować brak startu systemu, mimo że sam moduł TPM został poprawnie włączony. Podobnie zmiana ustawień związanych z bezpiecznym rozruchem może wpłynąć na dostęp do systemu lub narzędzi odzyskiwania. W takich sytuacjach nie powinno się zmieniać kilku opcji naraz bez zapisania ich pierwotnego stanu.

Istotne jest także rozróżnienie między wyczyszczeniem modułu TPM a jego włączeniem. Opcja Clear TPM usuwa dane zapisane w module i może doprowadzić do utraty dostępu do kluczy używanych przez szyfrowanie dysku lub mechanizmy logowania. Jej zastosowanie nie jest zwykłym sposobem naprawy komunikatu o wyłączonym TPM. Przed użyciem takiej funkcji należy sprawdzić, czy istnieje kopia klucza odzyskiwania oraz czy szyfrowanie jest aktywne. W razie braku pewności lepiej zatrzymać się na etapie odczytania ustawień.

W laptopach spotykane są skróty Intel PTT i AMD fTPM. Nie muszą one oznaczać osobnego, wymiennego modułu. Mogą wskazywać funkcję realizowaną przez platformę sprzętową. Z tego powodu poszukiwanie wyłącznie słowa TPM może nie przynieść rezultatu. W instrukcji urządzenia lub dokumentacji płyty głównej należy sprawdzić alternatywne nazwy oraz położenie ustawienia.

TPM wyłączony w BIOS/UEFI — typowe przyczyny i objawy

Najczęstszą przyczyną jest ręczne wyłączenie funkcji w menu bezpieczeństwa. Może do tego dojść podczas konfiguracji innych opcji, gdy ustawienia firmware zostały przeglądane bez znajomości ich zależności. Innym powodem jest aktualizacja BIOS/UEFI, która przywróciła część parametrów do wartości domyślnych. W niektórych modelach aktualizacja zmienia sposób prezentowania funkcji, dlatego opcja może mieć inną nazwę niż wcześniej.

Objawy zależą od tego, do czego TPM jest wykorzystywany. Pojawić się może informacja o niespełnieniu wymagań systemowych, ostrzeżenie w ustawieniach zabezpieczeń, niedostępność funkcji szyfrowania albo komunikat o braku zgodnego modułu. W przypadku komputera używanego bez szyfrowania problem może być widoczny wyłącznie w narzędziu sprawdzającym stan zabezpieczeń. Czasami występuje również prośba o ponowne skonfigurowanie kodu PIN, ponieważ system wykrył zmianę w środowisku rozruchowym.

Nie każdy błąd opisany jako problem z TPM oznacza, że moduł jest fizycznie uszkodzony. Przyczyną może być niezgodna wersja firmware, uszkodzone dane zabezpieczeń, błędna kolejność rozruchu, konflikt po przywróceniu kopii systemu albo problem z usługami odpowiedzialnymi za przechowywanie kluczy. Warto odróżnić brak modułu, wyłączenie funkcji, brak sterownika po stronie systemu oraz uszkodzenie konfiguracji. Każdy z tych przypadków wymaga innego postępowania.

Nie powinno się pochopnie resetować ustawień firmware, ponieważ reset może zmienić również kolejność startu, tryb kontrolera dysku, ustawienia grafiki, profil pamięci oraz sposób uruchamiania systemu. Sam komunikat o TPM nie uzasadnia automatycznego przywracania wszystkich parametrów. Bezpieczniejsze jest zapisanie aktualnej konfiguracji, odczytanie informacji o stanie modułu i wykonanie tylko tej zmiany, która została potwierdzona jako przyczyna.

TPM wyłączony w BIOS/UEFI — praktyczne wskazówki diagnostyczne

Przed wejściem do BIOS/UEFI należy zamknąć dokumenty, odłączyć nośniki używane tymczasowo i upewnić się, że dostępne są dane potrzebne do logowania. Jeżeli dysk jest szyfrowany, powinien być znany klucz odzyskiwania. Zmiana ustawień bezpieczeństwa może spowodować żądanie dodatkowej weryfikacji przy kolejnym uruchomieniu, nawet jeśli sama zmiana wydaje się niewielka.

Do ustawień firmware można przejść przez opcje uruchamiania systemu albo za pomocą klawisza wskazanego przez producenta urządzenia. Po otwarciu menu warto szukać sekcji Security, Advanced, Computing, Trusted Computing lub podobnej. Następnie należy odszukać Security Device Support, TPM, Intel PTT albo AMD fTPM i sprawdzić bieżący stan. Włączenie funkcji powinno zostać zapisane zgodnie z instrukcją danego urządzenia, a następnie należy pozwolić komputerowi na ponowne uruchomienie.

Po starcie systemu można sprawdzić, czy moduł jest widoczny w narzędziach zabezpieczeń oraz czy jego wersja i stan są poprawnie odczytywane. Jeżeli komunikat nadal się pojawia, nie należy od razu wybierać opcji czyszczenia TPM. Najpierw warto porównać ustawienia trybu UEFI, bezpiecznego rozruchu i szyfrowania z konfiguracją sprzed zmiany. Pomocne bywa również sprawdzenie dziennika zdarzeń, informacji o ostatniej aktualizacji firmware oraz komunikatów wyświetlanych podczas startu.

Jeżeli po włączeniu funkcji system nie uruchamia się, należy wrócić do ostatniej zmienionej opcji i przywrócić poprzedni stan, o ile pozwala na to sytuacja. Nie powinno się wielokrotnie przełączać ustawień bez dokumentowania zmian. Przydatne jest wykonanie zdjęć ekranu konfiguracji lub zapisanie nazw opcji, ponieważ poszczególne wersje menu mogą różnić się układem. W przypadku ważnych danych diagnostyka powinna rozpocząć się od zabezpieczenia informacji, a dopiero później od modyfikowania parametrów rozruchu.

TPM wyłączony w BIOS/UEFI — kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy nie można znaleźć właściwej opcji, nazwy ustawień są niejasne, po aktywacji pojawia się blokada systemu albo urządzenie żąda klucza odzyskiwania, którego nie udało się odnaleźć. Wskazaniem do sprawdzenia jest również sytuacja, w której TPM znika po każdym ponownym uruchomieniu, firmware nie zapisuje zmian, aktualizacja zakończyła się błędem lub system zgłasza sprzeczne informacje o stanie zabezpieczeń.

Podczas diagnostyki analizuje się model urządzenia, wersję BIOS/UEFI, tryb rozruchu, stan szyfrowania, komunikaty systemowe i historię zmian. Pozwala to odróżnić zwykłe wyłączenie opcji od problemu z konfiguracją, aktualizacją lub nośnikiem danych. W przypadku laptopa szczególne znaczenie ma zachowanie danych użytkownika i ograniczenie zmian do ustawień koniecznych do przywrócenia prawidłowego startu. Nie zaleca się czyszczenia TPM ani ponownej instalacji systemu wyłącznie na podstawie pojedynczego ostrzeżenia.

Warszawskie Pogotowie Komputerowe 24/7 może przeprowadzić sprawdzenie konfiguracji związanej z TPM, BIOS/UEFI i uruchamianiem systemu, a następnie wskazać bezpieczny zakres dalszych działań. Przed rozpoczęciem modyfikacji można ustalić, czy problem dotyczy ustawienia firmware, systemu, szyfrowania czy samego sprzętu. Takie rozdzielenie przyczyn ogranicza ryzyko utraty dostępu do danych i ułatwia przywrócenie prawidłowej pracy komputera.