UEFI z wyłączonym TPM

UEFI z wyłączonym TPM to konfiguracja, w której moduł zaufanej platformy jest zdezaktywowany na poziomie firmware.

Co oznacza wyłączenie TPM w ustawieniach UEFI

UEFI z wyłączonym TPM oznacza, że funkcja Trusted Platform Module nie jest aktywna podczas uruchamiania komputera. TPM może być osobnym układem na płycie głównej albo implementacją firmware działającą w procesorze lub w układzie platformy. W komputerach z procesorami Intel spotyka się nazwę Intel Platform Trust Technology, czyli Intel PTT, natomiast w wielu komputerach z procesorami AMD używana jest nazwa AMD fTPM. W obu przypadkach chodzi o realizację funkcji TPM, a nie o zwykły program uruchamiany w systemie Windows.

Wyłączenie TPM w UEFI nie oznacza automatycznie wyłączenia całego mechanizmu UEFI ani przełączenia komputera w tryb Legacy BIOS. Nie musi też wyłączać funkcji Secure Boot. TPM, Secure Boot i tryb uruchamiania systemu są odrębnymi elementami konfiguracji, choć mogą współpracować podczas startu komputera. Nazwy opcji zależą od producenta płyty głównej lub laptopa. W menu można spotkać między innymi ustawienia TPM State, Security Device Support, Intel PTT, AMD fTPM albo podobne określenia.

Wpływ wyłączonego TPM na uruchamianie systemu

System operacyjny może uruchomić się bez aktywnego TPM, jeśli nie korzysta z funkcji wymagających tego modułu albo jeśli wymagania systemu zostały wcześniej spełnione w inny sposób. Sam brak TPM nie świadczy więc o uszkodzeniu płyty głównej, procesora ani dysku. Komputer może działać poprawnie, lecz niektóre funkcje bezpieczeństwa mogą zostać niedostępne, ograniczone albo zgłaszać brak wymaganego urządzenia zabezpieczającego.

Istotną konsekwencją może być niezgodność z wymaganiami Windows 11. Ten system wymaga TPM w wersji 2.0, a platforma musi być zdolna do uruchamiania w trybie UEFI z obsługą Secure Boot. Jeżeli TPM jest wyłączony, instalator lub narzędzie sprawdzające zgodność może wykazać niespełnienie wymagań, nawet gdy komputer posiada sprzętową albo firmware’ową implementację TPM 2.0. Włączenie właściwej opcji w UEFI nie zastępuje jednak innych wymagań, takich jak zgodny procesor, odpowiednia ilość pamięci operacyjnej czy obsługiwany tryb instalacji.

Szyfrowanie dysku, klucze i zmiana konfiguracji

TPM jest używany między innymi przez BitLocker i funkcję szyfrowania urządzenia. Moduł przechowuje lub zabezpiecza materiały kryptograficzne oraz może sprawdzać stan wybranych elementów środowiska startowego na podstawie pomiarów zapisywanych w rejestrach PCR. Dzięki temu klucz deszyfrujący może zostać udostępniony tylko wtedy, gdy konfiguracja uruchamiania odpowiada oczekiwanemu stanowi. Wyłączenie TPM po skonfigurowaniu szyfrowania może spowodować żądanie klucza odzyskiwania BitLocker przy następnym uruchomieniu systemu.

Wyłączenie modułu TPM nie jest tym samym co wyczyszczenie TPM. Wyłączenie zmienia dostępność urządzenia dla firmware’u i systemu operacyjnego, natomiast polecenie Clear TPM usuwa zapisane w module dane, w tym klucze i informacje używane przez określone zabezpieczenia. Przed zmianą ustawień należy sprawdzić, czy komputer korzysta z BitLockera, szyfrowania urządzenia, logowania Windows Hello albo certyfikatów powiązanych z TPM. Należy również upewnić się, że klucz odzyskiwania został zapisany w miejscu dostępnym bez uruchamiania zaszyfrowanego systemu. Bez tego zmiana konfiguracji może utrudnić dostęp do danych, mimo że sam dysk i system plików pozostają sprawne.

Rozpoznanie przyczyny i bezpieczna konfiguracja

Podczas diagnostyki sprawdza się najpierw, czy TPM jest widoczny w UEFI oraz w systemie operacyjnym. W Windows można użyć konsoli Zarządzanie modułem TPM, uruchamianej poleceniem tpm.msc, a informacje o stanie zabezpieczeń są także dostępne w ustawieniach systemu. Należy odróżnić komunikat o braku modułu od komunikatu wskazującego na brak gotowości, wyłączenie funkcji, niezgodną wersję TPM albo problem z polityką szyfrowania. Warto zapisać bieżące ustawienia UEFI przed ich zmianą, ponieważ reset konfiguracji może zmienić również kolejność startową, tryb kontrolera dysku lub stan Secure Boot.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką konfiguracji UEFI, TPM oraz problemów z uruchamianiem systemu. Przy takiej diagnozie trzeba rozdzielić usterkę sprzętową od nieprawidłowej konfiguracji firmware’u. Sprawdza się między innymi wersję UEFI, ustawienia Intel PTT lub AMD fTPM, obecność szyfrowania dysku, komunikaty modułu TPM oraz możliwość uruchomienia systemu po zachowaniu klucza odzyskiwania. Zmian nie należy wykonywać metodą przypadkowego przełączania opcji, szczególnie gdy na dysku znajdują się zaszyfrowane dane.