TPM і TPM 2.0

Коротко: TPM (Trusted Platform Module) — це чип безпеки (або функція прошивки процесора), який надійно зберігає криптографічні ключі й може вимірювати цілісність запуску системи. TPM 2.0 — актуальна версія, обов’язкова для Windows 11.

Докладніше: TPM — це невеликий герметичний комп’ютер для секретів. Ключі створюються в ньому і ніколи його не залишають. Чип виконує з ними обчислення (підпис, розшифрування), але сам ключ ніколи не видає.

Подробиці

Що вміє TPM:

• Створювати й зберігати ключі, захищені від зчитування та добору (блокування після невдалих спроб, anti-hammering).
• Вимірювати ланцюжок завантаження (measured boot): прошивка, завантажувач і конфігурація хешуються під час кожного запуску й записуються в регістри (PCR). Ключ BitLocker видається лише якщо виміри збігаються з очікуваними.
• Випадкові числа високої якості.
• Атестація: пристрій може довести серверу, в якому стані його було запущено.
• Вхід: Windows Hello, PIN-коди та passkey використовують його, щоб секрети були прив’язані до пристрою.

Форми:

Вид	Опис
Дискретний TPM (dTPM)	Окремий чип на материнській платі, найнадійніший
Прошивковий TPM (fTPM)	У процесорі/чипсеті (Intel PTT, AMD fTPM), без додаткового обладнання
Програмний TPM	Лише для тестів, майже не захищає

TPM 1.2 і TPM 2.0:

• 2.0 підтримує сучасні алгоритми (SHA-256, ECC, AES) замість лише RSA/SHA-1.
• Гнучкіші ієрархії ключів і політики.
• Windows 11 вимагає 2.0, як і багато функцій на кшталт Secure Boot та безпеки на основі віртуалізації.

Перевірка: у Windows Win + R → tpm.msc. В UEFI його часто вмикають у розділі «Безпека» як «PTT» (Intel) або «fTPM» (AMD).

Обмеження: TPM захищає ключі, але не все. Якщо шкідливе ПЗ працює в розблокованій системі, воно може використати й TPM. Занепокоєння щодо приватності (унікальний ідентифікатор пристрою) у TPM 2.0 знижені окремими ключами.

Див. також: BitLocker, Secure Boot, UEFI