UEFI z obsługą TPM

UEFI z obsługą TPM to firmware zintegrowane z modułem zaufanej platformy, umożliwiające jego konfigurację.

Rola UEFI w obsłudze modułu TPM

UEFI z obsługą TPM to firmware płyty głównej, które potrafi wykryć moduł Trusted Platform Module, udostępnić jego funkcje systemowi operacyjnemu oraz zmienić podstawowe ustawienia związane z bezpieczeństwem. TPM może występować jako oddzielny układ podłączony do płyty głównej albo jako rozwiązanie firmware’owe dostarczane przez platformę sprzętową, na przykład Intel Platform Trust Technology lub AMD fTPM. Nazwa opcji zależy od producenta komputera i płyty głównej, dlatego w menu UEFI można spotkać pozycje „TPM Device”, „Security Device Support”, „Intel PTT”, „AMD fTPM” lub podobne.

Sam moduł TPM nie zastępuje UEFI i nie przechowuje całego systemu operacyjnego. Jego zadaniem jest wykonywanie operacji kryptograficznych, przechowywanie kluczy w chronionym środowisku oraz udostępnianie rejestrów pomiarów uruchamiania systemu. UEFI inicjalizuje sprzęt podczas startu komputera, a następnie przekazuje systemowi informacje o dostępności TPM. Jeżeli moduł jest wyłączony w ustawieniach firmware’u, system może zgłaszać brak wymaganego zabezpieczenia mimo fizycznej obecności odpowiedniej funkcji w komputerze.

TPM 2.0, klucze i pomiary procesu startowego

Współczesne instalacje Windows 11 wymagają TPM w wersji 2.0, ale sama obecność tej wersji nie oznacza jeszcze poprawnej konfiguracji całego komputera. TPM 2.0 przechowuje między innymi klucze używane przez funkcje ochrony urządzenia i może uczestniczyć w zabezpieczaniu kluczy szyfrowania dysku. Moduł nie udostępnia jednak hasła w postaci możliwej do odczytania przez użytkownika. Operacje kryptograficzne są wykonywane przez TPM, a system otrzymuje wynik autoryzacji albo odmowy dostępu.

Podczas uruchamiania platforma może zapisywać skróty kryptograficzne kolejnych elementów startowych w rejestrach PCR modułu TPM. Taki proces nazywa się pomiarem uruchamiania. Później system lub narzędzie zabezpieczające może sprawdzić, czy stan firmware’u, konfiguracji i wybranych składników startowych odpowiada oczekiwanemu stanowi. Zmiana ustawień UEFI, aktualizacja firmware’u, wyczyszczenie TPM albo wymiana płyty głównej może spowodować, że wcześniej zapieczętowany klucz nie zostanie automatycznie udostępniony. Nie musi to oznaczać uszkodzenia modułu; często jest skutkiem prawidłowego wykrycia zmiany środowiska startowego.

Powiązanie TPM z Secure Boot i systemem operacyjnym

TPM i Secure Boot są odrębnymi mechanizmami, choć często są konfigurowane razem. Secure Boot sprawdza podpisy składników uruchamianych przed systemem operacyjnym, korzystając z kluczy zapisanych w bazach UEFI. TPM nie weryfikuje samodzielnie każdego pliku startowego; może natomiast przechowywać lub udostępniać klucze zależne od zmierzonych parametrów uruchomienia. Z tego powodu komputer może mieć włączony TPM, ale wyłączony Secure Boot, albo odwrotnie. Dla funkcji takich jak BitLocker znaczenie ma spójność całej konfiguracji, w tym tryb startu UEFI, tablica partycji GPT oraz ustawienia modułu zabezpieczeń.

W systemie Windows stan modułu można sprawdzić narzędziem „Zabezpieczenia systemu Windows” w obszarze procesora zabezpieczeń albo poleceniem „tpm.msc”. W PowerShell dostępne jest również polecenie „Get-Tpm”, które pokazuje między innymi, czy TPM jest obecny i gotowy do użycia. Warto rozróżnić brak modułu, jego wyłączenie w UEFI, błąd inicjalizacji oraz problem z usługą systemową. Przed wyczyszczeniem TPM należy sprawdzić, czy komputer używa BitLockera lub innych mechanizmów zależnych od kluczy zapisanych w module. Wyczyszczenie może usunąć lokalne klucze i doprowadzić do żądania klucza odzyskiwania przy kolejnym uruchomieniu.

Postępowanie przy braku TPM lub błędnej konfiguracji UEFI

Diagnostykę rozpoczyna się od sprawdzenia dokładnego modelu płyty głównej albo laptopa oraz dokumentacji producenta. Następnie należy wejść do UEFI i ustalić, czy funkcja TPM jest włączona, czy wybrano właściwy tryb modułu oraz czy firmware poprawnie identyfikuje urządzenie. Nie należy zmieniać wielu ustawień jednocześnie, ponieważ utrudnia to ustalenie przyczyny problemu. Szczególną ostrożność trzeba zachować przy zmianie trybu uruchamiania, kluczy Secure Boot i ustawień związanych z szyfrowaniem dysku.

Jeżeli system nie widzi TPM po aktualizacji UEFI, przyczyną może być niepełne przywrócenie ustawień, niezgodność wersji firmware’u, uszkodzenie konfiguracji albo problem z samą płytą główną. Pomocne jest zapisanie aktualnych ustawień, odłączenie zbędnych urządzeń, sprawdzenie komunikatów diagnostycznych oraz zweryfikowanie stanu TPM w systemie po pełnym wyłączeniu komputera. Aktualizację UEFI wykonuje się wyłącznie plikiem przeznaczonym dla konkretnego modelu urządzenia i zgodnie z instrukcją producenta. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z firmware’em UEFI, modułem TPM oraz konfiguracją zabezpieczeń uruchamiania.