TPM и TPM 2.0

Коротко: TPM (Trusted Platform Module) — это чип безопасности (или функция прошивки процессора), который надёжно хранит криптографические ключи и может измерять целостность запуска системы. TPM 2.0 — актуальная версия, обязательная для Windows 11.

Подробнее: TPM — это небольшой герметичный компьютер для секретов. Ключи создаются в нём и никогда его не покидают. Чип выполняет с ними вычисления (подпись, расшифровка), но сам ключ никогда не выдаёт.

Подробности

Что умеет TPM:

• Создавать и хранить ключи, защищённые от считывания и подбора (блокировка после неудачных попыток, anti-hammering).
• Измерять цепочку загрузки (measured boot): прошивка, загрузчик и конфигурация хешируются при каждом запуске и записываются в регистры (PCR). Ключ BitLocker выдаётся только если измерения совпадают с ожидаемыми.
• Случайные числа высокого качества.
• Аттестация: устройство может доказать серверу, в каком состоянии оно было запущено.
• Вход: Windows Hello, PIN-коды и passkey используют его, чтобы секреты были привязаны к устройству.

Формы:

Вид	Описание
Дискретный TPM (dTPM)	Отдельный чип на материнской плате, самый надёжный
Прошивочный TPM (fTPM)	В процессоре/чипсете (Intel PTT, AMD fTPM), без дополнительного оборудования
Программный TPM	Только для тестов, почти не защищает

TPM 1.2 и TPM 2.0:

• 2.0 поддерживает современные алгоритмы (SHA-256, ECC, AES) вместо только RSA/SHA-1.
• Более гибкие иерархии ключей и политики.
• Windows 11 требует 2.0, как и многие функции вроде Secure Boot и безопасности на основе виртуализации.

Проверка: в Windows Win + R → tpm.msc. В UEFI он часто включается в разделе «Безопасность» как «PTT» (Intel) или «fTPM» (AMD).

Ограничения: TPM защищает ключи, но не всё. Если вредоносное ПО работает в разблокированной системе, оно может использовать и TPM. Опасения за конфиденциальность (уникальный идентификатор устройства) в TPM 2.0 снижены отдельными ключами.

См. также: BitLocker, Secure Boot, UEFI