TPM z obsługą BitLocker

TPM z obsługą BitLocker to moduł zabezpieczeń poprawnie współpracujący z tą funkcją szyfrowania dysku systemu Windows.

TPM i BitLocker: współpraca modułu z szyfrowaniem dysku

TPM z obsługą BitLocker oznacza połączenie modułu Trusted Platform Module z funkcją szyfrowania dostępnego w systemach Windows. TPM jest układem bezpieczeństwa, który może przechowywać lub zabezpieczać klucze kryptograficzne oraz sprawdzać stan uruchamiania komputera. BitLocker wykorzystuje te możliwości, aby chronić dane zapisane na dysku przed odczytem po jego wymontowaniu i podłączeniu do innego urządzenia.

W typowej konfiguracji klucz potrzebny do odblokowania zaszyfrowanego woluminu nie jest udostępniany bezwarunkowo. Moduł TPM może powiązać jego użycie z określonym stanem środowiska startowego, między innymi z firmware UEFI, konfiguracją rozruchu i elementami procesu uruchamiania systemu. Jeżeli te wartości odpowiadają zapisanym pomiarom, Windows może rozpocząć pracę bez ręcznego wpisywania kodu przy każdym uruchomieniu. Zmiana niektórych ustawień, wymiana podzespołu albo uruchomienie systemu w zmienionym trybie może spowodować żądanie klucza odzyskiwania.

Jak TPM rozpoznaje prawidłowy start systemu Windows

Podczas uruchamiania komputera firmware i moduły odpowiedzialne za rozruch wykonują kolejne operacje, których stan może być rejestrowany w rejestrach konfiguracji platformy TPM, nazywanych PCR (Platform Configuration Registers). TPM nie przechowuje w nich zwykłego opisu konfiguracji w postaci tekstu. Rejestry są aktualizowane za pomocą operacji kryptograficznych, dlatego zmiana kolejności lub zawartości mierzonego elementu może doprowadzić do innej wartości końcowej.

BitLocker może użyć tych pomiarów jako warunku uwolnienia klucza szyfrującego. Znaczenie ma między innymi tryb rozruchu UEFI, aktywność modułu TPM, konfiguracja Secure Boot oraz zmiany dotyczące menedżera rozruchu. Sam TPM nie szyfruje całego dysku sektor po sektorze i nie zastępuje BitLockera. Jego zadaniem jest ochrona materiału kryptograficznego oraz potwierdzanie, że środowisko uruchomieniowe spełnia warunki ustalone podczas konfiguracji ochrony.

Objawy niezgodności TPM z ochroną BitLocker

Problem z obsługą BitLocker może pojawić się po aktualizacji firmware, przywróceniu ustawień UEFI, wyłączeniu Secure Boot, wyczyszczeniu modułu TPM albo wymianie płyty głównej. Podobny skutek może wywołać zmiana sposobu uruchamiania systemu, na przykład przełączenie między trybem UEFI a trybem zgodności ze starszym BIOS-em. W takich sytuacjach komputer może wyświetlić monit o wpisanie 48-cyfrowego klucza odzyskiwania BitLocker.

Żądanie klucza odzyskiwania nie musi oznaczać uszkodzenia dysku. Często wskazuje na to, że bieżące pomiary startowe nie odpowiadają wartościom, z którymi wcześniej powiązano ochronę. Przed zmianą ustawień TPM albo ponowną instalacją systemu należy ustalić, gdzie zapisano klucz odzyskiwania. Jego kopia może być powiązana z kontem Microsoft lub zapisana w inny sposób zastosowany podczas konfiguracji. Wyczyszczenie TPM bez przygotowania może doprowadzić do utraty dostępu do kluczy przechowywanych w module, dlatego nie powinno być pierwszym działaniem diagnostycznym.

Sprawdzenie TPM i bezpieczna diagnostyka konfiguracji

Stan modułu można sprawdzić w systemie Windows za pomocą konsoli zarządzania TPM uruchamianej poleceniem tpm.msc. W tym miejscu widoczna jest między innymi informacja o gotowości modułu oraz jego producencie i wersji specyfikacji. Dodatkowe informacje można odczytać w aplikacji Zabezpieczenia Windows, w obszarze dotyczącym zabezpieczeń urządzenia, a stan szyfrowania woluminów można sprawdzić w ustawieniach systemu lub narzędziami administracyjnymi Windows.

Diagnostyka powinna obejmować zgodność ustawień UEFI, Secure Boot, trybu uruchamiania i konfiguracji BitLocker. Należy także rozróżnić blokadę wywołaną zmianą pomiarów od fizycznej awarii modułu, problemu z firmware albo uszkodzenia systemu plików. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką konfiguracji związanych z TPM oraz BitLockerem w sprzęcie konsumenckim.