TPM wymaga czyszczenia (Clear TPM)

TPM wymagający czyszczenia (Clear TPM) to procedura resetująca zawartość modułu zabezpieczeń do stanu fabrycznego.

Na czym polega procedura Clear TPM

TPM (Trusted Platform Module) to moduł bezpieczeństwa używany przez system operacyjny i oprogramowanie do przechowywania lub ochrony materiału kryptograficznego. W komputerach z TPM 2.0 moduł może przechowywać klucze, dane autoryzacyjne, indeksy NV oraz informacje potrzebne do wykonywania operacji kryptograficznych. Polecenie „Clear TPM” usuwa dane zarządzania i klucze znajdujące się w module, przywracając go do stanu, w którym system może przeprowadzić ponowną inicjalizację. Nie jest to zwykłe wyłączenie funkcji TPM ani formatowanie dysku.

Wyczyszczenie TPM nie usuwa plików z dysku SSD lub HDD i nie reinstaluje systemu Windows. Usunięte mogą jednak zostać klucze, których kopii nie ma poza modułem. Z tego powodu procedura może spowodować utratę dostępu do zaszyfrowanych danych albo konieczność ponownej konfiguracji funkcji korzystających z TPM. Samo pojawienie się komunikatu „TPM wymaga czyszczenia” nie oznacza jeszcze, że moduł jest fizycznie uszkodzony. Przyczyną może być niespójny stan zabezpieczeń, zmiana konfiguracji UEFI, wymiana płyty głównej lub nieukończona inicjalizacja modułu.

Klucze, szyfrowanie i skutki resetu

Najważniejszym następstwem Clear TPM jest usunięcie zależności między modułem a kluczami używanymi przez usługi systemowe. Dotyczy to przede wszystkim funkcji BitLocker, Windows Hello, logowania za pomocą kodu PIN, wirtualnych kart inteligentnych oraz niektórych mechanizmów potwierdzania integralności środowiska rozruchowego. W przypadku BitLockera klucz odzyskiwania może być wymagany przy następnym uruchomieniu komputera, ponieważ TPM nie będzie już posiadał wcześniejszych danych pozwalających automatycznie odblokować wolumin.

Przed wyczyszczeniem TPM należy sprawdzić, czy jest dostępny 48-cyfrowy klucz odzyskiwania BitLocker oraz czy użytkownik może ponownie skonfigurować metody logowania. Warto także ustalić, czy komputer jest objęty zarządzaniem organizacyjnym, ponieważ polityki systemowe mogą automatycznie ponownie włączyć szyfrowanie lub wymusić rejestrację kluczy. Clear TPM nie powinno być traktowane jako sposób na odzyskanie zapomnianego hasła, usunięcie blokady konta ani naprawę danych zapisanych na dysku. Procedura dotyczy wyłącznie stanu modułu TPM.

Bezpieczne wykonanie i ponowna inicjalizacja

W systemie Windows stan modułu można sprawdzić za pomocą konsoli zarządzania TPM uruchamianej poleceniem tpm.msc albo w obszarze zabezpieczeń systemu Windows. Jeżeli system proponuje wyczyszczenie modułu, zwykle wymaga potwierdzenia i ponownego uruchomienia komputera. W niektórych komputerach dodatkowe potwierdzenie odbywa się w interfejsie UEFI, na przykład przez wybranie opcji potwierdzającej fizyczną obecność użytkownika. Nazwy pozycji zależą od producenta firmware’u i modelu płyty głównej.

Po wykonaniu operacji Windows może ponownie przygotować TPM i utworzyć własny stan właścicielski. Następnie może być konieczne ponowne ustawienie kodu PIN Windows Hello, przeprowadzenie konfiguracji BitLockera albo zapisanie nowych kluczy zabezpieczeń. Jeżeli po czyszczeniu moduł nie zostanie wykryty, należy sprawdzić ustawienia firmware’u, w których TPM może występować jako Intel PTT, AMD fTPM, Security Device Support lub Trusted Computing. Trzeba również uwzględnić aktualizację UEFI, błąd firmware’u albo problem z płytą główną, ponieważ reset logiczny nie naprawia usterki sprzętowej.

Diagnostyka komputera po komunikacie TPM

Rzetelna diagnostyka powinna rozpocząć się od ustalenia, kiedy pojawił się komunikat i jakie zmiany wykonano wcześniej. Należy sprawdzić stan TPM w systemie Windows, obecność szyfrowania urządzenia lub BitLockera, możliwość uruchomienia systemu bez dodatkowych błędów oraz dostępność klucza odzyskiwania. Warto także porównać ustawienia UEFI z konfiguracją systemu, zwłaszcza po aktualizacji firmware’u, wymianie płyty głównej albo przywróceniu ustawień fabrycznych UEFI. Dopiero po zabezpieczeniu kluczy odzyskiwania można rozważyć czyszczenie modułu.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z modułem TPM, ustawieniami UEFI oraz funkcjami systemu Windows zależnymi od zabezpieczeń sprzętowych. Zakres czynności powinien być dobrany do przyczyny komunikatu: czasem wystarczy korekta konfiguracji, ponowna rejestracja zabezpieczeń lub aktualizacja firmware’u, a czasem potrzebna jest dalsza diagnostyka płyty głównej. Przed wykonaniem Clear TPM należy potwierdzić, że użytkownik ma wymagane klucze odzyskiwania i akceptuje skutki usunięcia danych z modułu.