Wtyczka TPM

Wtyczka TPM to złącze umożliwiające instalację fizycznego modułu zaufanej platformy w dedykowanym gnieździe płyty głównej.

Rola wtyczki TPM na płycie głównej

Wtyczka TPM, częściej określana jako gniazdo lub złącze TPM, jest przeznaczona do podłączenia fizycznego modułu Trusted Platform Module na płycie głównej komputera. Samo złącze nie jest modułem zabezpieczającym. Stanowi jedynie interfejs elektryczny, przez który dodatkowy układ TPM może komunikować się z firmware płyty głównej i systemem operacyjnym. Moduł instaluje się zwykle w dedykowanym, niewielkim gnieździe pinowym, ale jego wygląd i liczba styków zależą od konkretnego producenta oraz modelu płyty.

Nie istnieje jeden uniwersalny układ wyprowadzeń dla wszystkich wtyczek TPM. Płyta może wymagać modułu zgodnego z określonym interfejsem, generacją TPM oraz własnym pinoutem producenta. Z tego powodu moduł przeznaczony do jednej płyty głównej może nie działać z inną, nawet jeśli mechanicznie pasuje do gniazda. Przed montażem należy sprawdzić instrukcję płyty głównej, oznaczenie gniazda oraz listę obsługiwanych modułów.

Moduł fizyczny a TPM wbudowany w komputer

Fizyczna wtyczka TPM jest potrzebna przede wszystkim wtedy, gdy komputer ma korzystać z oddzielnego modułu kryptograficznego montowanego na płycie. W wielu nowszych komputerach funkcję TPM realizuje jednak układ wbudowany w firmware platformy. W komputerach z procesorami Intel może być to Intel Platform Trust Technology, określana jako Intel PTT, a w platformach AMD spotyka się firmware TPM, nazywany AMD fTPM. Takie rozwiązania nie wymagają instalowania modułu w gnieździe TPM, ponieważ funkcja jest udostępniana przez platformę sprzętową i ustawienia UEFI.

Obecność gniazda TPM nie oznacza automatycznie, że komputer nie ma już funkcji TPM wbudowanej w firmware. W niektórych konfiguracjach wybór pomiędzy modułem fizycznym a rozwiązaniem firmware odbywa się w ustawieniach UEFI. Jednoczesne używanie obu mechanizmów może być niewłaściwe albo nieobsługiwane, dlatego przed przełączeniem trybu należy ustalić, który układ jest aktualnie używany przez system. Zmiana aktywnego TPM może wpłynąć na dostęp do kluczy szyfrowania zapisanych wcześniej w module.

Komunikacja, zgodność i bezpieczeństwo kluczy

W zależności od konstrukcji płyty głównej moduł TPM może komunikować się z platformą przez interfejs przeznaczony dla układów zaufanej platformy, na przykład LPC albo SPI. Nie należy jednak dobierać modułu wyłącznie na podstawie nazwy interfejsu. Znaczenie mają także napięcie zasilania, rozmieszczenie pinów, sposób inicjalizacji przez firmware oraz zgodność z konkretną wersją TPM. Moduły TPM 1.2 i TPM 2.0 nie są zamiennymi wariantami jednego urządzenia. Obsługa zależy od firmware płyty głównej, systemu operacyjnego i oprogramowania korzystającego z funkcji bezpieczeństwa.

TPM przechowuje lub zabezpiecza operacje związane z kluczami kryptograficznymi i może rejestrować pomiary procesu uruchamiania systemu w rejestrach PCR, czyli Platform Configuration Registers. Mechanizm measured boot pozwala porównywać stan elementów startowych z oczekiwanym środowiskiem, a moduł może udostępnić klucz dopiero po spełnieniu określonych warunków. Z funkcji TPM korzystają między innymi szyfrowanie urządzenia oraz BitLocker w systemie Windows. Jeżeli moduł zostanie wymieniony, wyłączony albo wyzerowany, wcześniej zabezpieczone klucze mogą przestać być dostępne. Przed zmianą sprzętową trzeba więc sprawdzić stan szyfrowania i przygotować klucz odzyskiwania.

Sprawdzenie gniazda TPM i montaż modułu

Diagnostykę należy rozpocząć od identyfikacji płyty głównej, wersji UEFI oraz dokładnego oznaczenia złącza. W instrukcji producenta można sprawdzić, czy płyta obsługuje dodatkowy moduł TPM, jaki typ urządzenia jest wymagany i czy funkcję TPM można włączyć w menu bezpieczeństwa UEFI. Warto również zweryfikować, czy problem nie wynika z wyłączonego ustawienia firmware, nieaktualnego UEFI albo braku obsługi danego modułu, zamiast od razu zakładać uszkodzenie samego gniazda.

Przed montażem komputer powinien zostać całkowicie wyłączony i odłączony od zasilania. Modułu nie należy wciskać na siłę ani kierować się wyłącznie położeniem otworu montażowego, ponieważ błędne dopasowanie pinów może doprowadzić do zwarcia lub uszkodzenia modułu i płyty. Po instalacji sprawdza się wykrywanie urządzenia w UEFI oraz w systemie operacyjnym. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC oraz ich podzespołów, w tym diagnostykę problemów z płytą główną, firmware i zgodnością dodatkowego modułu TPM.