TPM zablokowane hasłem

TPM zablokowane hasłem to zabezpieczenie ograniczające dostęp do funkcji modułu bez podania odpowiednich poświadczeń.

Co oznacza blokada TPM hasłem

TPM zablokowane hasłem oznacza, że dostęp do określonych operacji modułu Trusted Platform Module wymaga poprawnego mechanizmu autoryzacji. TPM nie jest zwykłym folderem ani dyskiem, który można otworzyć jednym uniwersalnym hasłem. Jest układem kryptograficznym przechowującym lub wykorzystującym klucze, a jego operacje są kontrolowane przez polityki autoryzacji zapisane w strukturze TPM 2.0 albo przez oprogramowanie korzystające z modułu. W zależności od konfiguracji komunikat o haśle może dotyczyć autoryzacji właściciela TPM, autoryzacji konkretnego obiektu kryptograficznego, blokady po wielu błędnych próbach albo ustawień firmware’u komputera.

W praktyce trzeba rozróżnić hasło TPM od hasła systemu Windows, kodu PIN funkcji Windows Hello oraz hasła administratora UEFI. Te mechanizmy mogą współpracować, ale nie są tym samym. Na przykład szyfrowanie urządzenia lub BitLocker może używać TPM do sprawdzania, czy komputer uruchamia się w oczekiwanym stanie, natomiast kod PIN może być dodatkowym składnikiem wymaganym przed użyciem klucza. Hasło administratora UEFI może ograniczać zmianę ustawień modułu, lecz samo w sobie nie musi być hasłem zapisanym w TPM.

Autoryzacja, klucze i reakcja modułu na błędne próby

TPM 2.0 posiada kilka poziomów autoryzacji. Występują między innymi hierarchie platformy, właściciela i uruchamiania, a także hierarchie związane z kluczami endorser oraz platform. Każda z nich może mieć własne uprawnienia i mechanizmy autoryzacji. Obiekty tworzone w TPM, takie jak klucze używane do podpisu lub deszyfrowania, również mogą wymagać autoryzacji. Oznacza to, że poprawne hasło do jednego obiektu nie musi odblokować innych funkcji modułu.

TPM 2.0 zawiera mechanizm ochrony przed zgadywaniem haseł, nazywany dictionary-attack protection. Moduł zlicza nieudane próby autoryzacji i po przekroczeniu określonych progów może czasowo odrzucać kolejne próby. Stan ten jest kontrolowany przez parametry TPM, takie jak limit prób, czas blokady oraz okres potrzebny do zmniejszenia licznika błędów. Konkretne wartości zależą od konfiguracji i implementacji producenta. Wielokrotne wpisywanie przypadkowych haseł może więc wydłużyć blokadę, zamiast przybliżyć rozwiązanie problemu.

Nie istnieje jedno zgodne z przeznaczeniem hasło serwisowe, które pozwalałoby ominąć każdą blokadę TPM. Próba wyczyszczenia modułu może usunąć jego lokalny stan, hierarchie i klucze, ale nie jest bezpiecznym sposobem odzyskiwania dostępu do zaszyfrowanych danych. Jeżeli klucz BitLocker został zabezpieczony w TPM i nie ma dostępnego klucza odzyskiwania, wyczyszczenie TPM może uniemożliwić odblokowanie woluminu.

Diagnostyka bez ryzyka utraty kluczy

Diagnostykę należy rozpocząć od ustalenia, gdzie dokładnie pojawia się komunikat. Jeżeli występuje przed uruchomieniem systemu, źródłem może być konfiguracja UEFI, ustawienie hasła administratora, blokada modułu przez firmware albo zmiana parametrów bezpiecznego rozruchu. Jeżeli ostrzeżenie pojawia się w Windows, trzeba sprawdzić stan dostawcy TPM, usług powiązanych z zabezpieczeniami urządzenia oraz informacje o ochronie dysku. Sam fakt, że system widzi moduł TPM, nie oznacza jeszcze, że wszystkie wymagane klucze są dostępne.

Przed zmianą ustawień trzeba ustalić, czy komputer korzysta z BitLockera lub szyfrowania urządzenia, i potwierdzić dostępność klucza odzyskiwania. Należy też zanotować aktualny stan modułu, wersję UEFI, ustawienia Secure Boot oraz ewentualne komunikaty o zmianie konfiguracji platformy. Aktualizacja firmware’u, wymiana płyty głównej, zmiana trybu uruchamiania albo wyłączenie bezpiecznego rozruchu może spowodować, że TPM odmówi automatycznego uwolnienia klucza, ponieważ środowisko startowe różni się od wcześniej zarejestrowanego.

W środowisku Windows informacje o szyfrowaniu można sprawdzić narzędziami systemowymi, ale nie należy wykonywać polecenia czyszczenia TPM tylko dlatego, że moduł zgłasza blokadę. Czyszczenie jest operacją resetującą i może wymagać ponownej konfiguracji funkcji bezpieczeństwa. Jeżeli problem dotyczy wyłącznie licznika nieudanych prób, właściwym kierunkiem jest odczekanie wymaganego czasu i użycie prawidłowych poświadczeń. Jeżeli nie wiadomo, które hasło lub klucz jest wymagany, potrzebna jest identyfikacja konkretnej funkcji, która zainicjowała żądanie autoryzacji.

Serwisowanie komputera z zablokowanym TPM

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, w tym diagnostyką problemów związanych z modułem TPM, ustawieniami UEFI i uruchamianiem systemu. W ramach oceny można rozdzielić usterkę sprzętową od błędnej konfiguracji, sprawdzić komunikaty startowe oraz ustalić, czy blokada wynika z autoryzacji TPM, hasła firmware’u, zmiany parametrów rozruchu czy ochrony dysku.

Przed ingerencją w moduł należy zabezpieczyć informacje potrzebne do dalszego uruchomienia systemu, zwłaszcza klucz odzyskiwania BitLocker, jeżeli szyfrowanie jest aktywne. Samo przywrócenie ustawień lub wyczyszczenie TPM nie jest równoważne z odzyskaniem hasła i może zmienić stan kluczy używanych przez system. Dlatego zakres czynności powinien wynikać z rozpoznania modelu komputera, wersji firmware’u, rodzaju zastosowanego szyfrowania oraz tego, czy użytkownik nadal posiada wymagane poświadczenia.