TPM ve TPM 2.0

Kısaca: TPM (Trusted Platform Module), kriptografik anahtarları güvende tutan ve sistem başlangıcının bütünlüğünü ölçebilen bir güvenlik çipidir (veya işlemcinin bir aygıt yazılımı işlevidir). TPM 2.0 güncel sürümdür ve Windows 11 için zorunludur.

Biraz daha ayrıntılı: TPM, sırlar için kapalı küçük bir bilgisayardır. Anahtarlar içinde oluşturulur ve çipten asla çıkmaz. Çip bunlarla hesaplamalar yapar (imzalama, şifre çözme) ama anahtarın kendisini asla vermez.

Ayrıntılı

Bir TPM neler yapabilir:

• Okunmaya ve tahmin edilmeye karşı korunan anahtarlar oluşturmak ve saklamak (başarısız denemelerden sonra kilitleme, anti-hammering).
• Önyükleme zincirini ölçmek (measured boot): Aygıt yazılımı, önyükleyici ve yapılandırma her başlangıçta özetlenir ve yazmaçlara (PCR) kaydedilir. BitLocker anahtarı yalnızca ölçümler beklenenlerle eşleşirse serbest bırakılır.
• Yüksek kalitede rastgele sayılar.
• Kanıtlama (attestation): Cihaz, bir sunucuya hangi durumda başlatıldığını kanıtlayabilir.
• Oturum açma: Windows Hello, PIN’ler ve geçiş anahtarları (passkey) bunu kullanır; böylece sırlar cihaza bağlanır.

Biçimler:

Tür	Açıklama
Ayrık TPM (dTPM)	Anakartta ayrı çip, en güvenlisi
Aygıt yazılımı TPM’i (fTPM)	İşlemcide/yonga setinde (Intel PTT, AMD fTPM), ek donanım yok
Yazılım TPM’i	Yalnızca testler için, neredeyse hiç koruma sağlamaz

TPM 1.2 ve TPM 2.0:

• 2.0, yalnızca RSA/SHA-1 yerine modern algoritmaları (SHA-256, ECC, AES) destekler.
• Daha esnek anahtar hiyerarşileri ve ilkeler.
• Windows 11, Secure Boot ve sanallaştırma tabanlı güvenlik gibi birçok özellikte olduğu gibi 2.0 gerektirir.

Denetleme: Windows’ta Win + R → tpm.msc. UEFI’de çoğunlukla “Güvenlik” altında “PTT” (Intel) veya “fTPM” (AMD) olarak etkinleştirilir.

Sınırlar: TPM anahtarları korur, her şeyi değil. Kilidi açık bir sistemde kötü amaçlı yazılım çalışırsa TPM’i de kullanabilir. Gizlilik kaygıları (benzersiz cihaz tanımlayıcısı) TPM 2.0’da ayrı anahtarlarla azaltılmıştır.

Ayrıca bak: BitLocker, Secure Boot, UEFI