Współczesne komputery coraz częściej wykorzystują sprzętowe mechanizmy bezpieczeństwa. Jednym z najważniejszych elementów tej architektury jest moduł Trusted Platform Module, w skrócie TPM. Jest to specjalizowany układ kryptograficzny zaprojektowany w celu zwiększenia bezpieczeństwa systemów komputerowych poprzez sprzętową ochronę kluczy szyfrujących i procesów uwierzytelniania.

TPM odgrywa szczególnie istotną rolę w systemach wykorzystujących szyfrowanie dysków, takich jak BitLocker w systemie Microsoft Windows. W wielu nowoczesnych komputerach moduł ten jest również wymagany do instalacji i pełnego działania Windows 11.

Poniżej wyjaśniamy szczegółowo, czym jest TPM, jak działa i do czego jest wykorzystywany w praktyce.

Czym jest TPM

Trusted Platform Module to dedykowany układ kryptograficzny przeznaczony do przechowywania kluczy kryptograficznych, certyfikatów oraz informacji służących do uwierzytelniania urządzenia i systemu operacyjnego.

Moduł TPM może występować w kilku formach:

TPM sprzętowy
Jest to fizyczny układ scalony znajdujący się na płycie głównej komputera lub laptopa.

TPM zintegrowany z chipsetem lub procesorem
W wielu nowoczesnych komputerach funkcja TPM jest zintegrowana bezpośrednio z platformą sprzętową.

TPM firmware’owy
Niektóre implementacje realizują funkcję TPM poprzez oprogramowanie układowe.

Przykładem implementacji TPM w procesorach jest:

• Intel Platform Trust Technology
• AMD fTPM

Niezależnie od formy implementacji, podstawowym zadaniem TPM jest bezpieczne przechowywanie kluczy kryptograficznych oraz zapewnienie integralności procesu uruchamiania komputera.

Jak działa TPM

Moduł TPM działa jako izolowane środowisko kryptograficzne. Oznacza to, że operacje kryptograficzne wykonywane są wewnątrz układu, a klucze prywatne nigdy nie opuszczają jego bezpiecznej pamięci.

Generowanie i przechowywanie kluczy

TPM potrafi generować klucze kryptograficzne przy użyciu sprzętowego generatora liczb losowych.

Klucze te mogą być używane do:

• szyfrowania danych
• podpisów cyfrowych
• uwierzytelniania systemu
• weryfikacji integralności platformy

Najważniejszą cechą TPM jest to, że klucze prywatne nie są dostępne bezpośrednio dla systemu operacyjnego. Zamiast tego TPM wykonuje operacje kryptograficzne wewnętrznie.

Pomiar integralności systemu

Jedną z głównych funkcji TPM jest monitorowanie integralności procesu uruchamiania komputera.

Podczas startu komputera następuje tzw. Measured Boot, czyli proces pomiaru elementów uruchamiania, takich jak:

• firmware UEFI
• bootloader
• sterowniki startowe
• jądro systemu operacyjnego

Wyniki tych pomiarów są zapisywane w specjalnych rejestrach TPM zwanych PCR (Platform Configuration Registers).

Jeżeli którykolwiek z elementów startowych zostanie zmodyfikowany, wartości w rejestrach PCR ulegną zmianie.

Warunkowy dostęp do kluczy

Klucze kryptograficzne zapisane w TPM mogą być używane tylko wtedy, gdy środowisko systemowe spełnia określone warunki.

Na przykład:

• komputer uruchamia się z właściwego firmware
• nie zmieniono konfiguracji zabezpieczeń
• nie nastąpiła manipulacja przy bootloaderze

Jeśli warunki nie są spełnione, TPM odmawia użycia klucza.

To właśnie ta mechanika pozwala wykrywać próby manipulacji systemem.

TPM a szyfrowanie dysku

Jednym z najczęstszych zastosowań TPM jest współpraca z systemem szyfrowania dysków.

W systemie Microsoft Windows rolę tę pełni technologia BitLocker.

BitLocker szyfruje zawartość dysku przy użyciu klucza szyfrującego. Klucz ten jest z kolei zabezpieczony przez TPM.

Podczas uruchamiania komputera TPM sprawdza integralność systemu. Jeżeli wszystko jest zgodne z zapisanym stanem:

TPM automatycznie udostępnia klucz BitLockerowi.

Dzięki temu użytkownik może korzystać z komputera bez konieczności wpisywania hasła przy każdym starcie systemu.

Jeżeli jednak TPM wykryje zmianę środowiska startowego, system zażąda klucza odzyskiwania BitLocker.

Inne zastosowania TPM

TPM znajduje zastosowanie w wielu obszarach bezpieczeństwa systemów komputerowych.

Uwierzytelnianie urządzeń

TPM może przechowywać certyfikaty kryptograficzne identyfikujące komputer w sieci.

Jest to wykorzystywane między innymi w:

• środowiskach korporacyjnych
• sieciach VPN
• systemach zarządzania urządzeniami

Windows Hello

W systemie Windows Hello TPM przechowuje klucze uwierzytelniające używane podczas logowania przy pomocy:

• odcisku palca
• rozpoznawania twarzy
• kodu PIN

Kod PIN w tym systemie nie jest zwykłym hasłem – służy jedynie do odblokowania klucza przechowywanego w TPM.

Secure Boot

TPM współpracuje również z mechanizmem Secure Boot.

Secure Boot sprawdza podpisy cyfrowe oprogramowania uruchamianego podczas startu systemu, co zapobiega uruchomieniu nieautoryzowanego bootloadera lub złośliwego oprogramowania.

Ochrona przed atakami offline

Jednym z głównych zagrożeń dla danych jest kradzież fizycznego dysku.

Bez TPM możliwe są ataki polegające na:

• podłączeniu dysku do innego komputera
• analizie danych offline
• próbie złamania szyfrowania

Dzięki TPM klucze szyfrujące są powiązane z konkretną platformą sprzętową.

TPM a bezpieczeństwo danych

TPM znacząco podnosi poziom bezpieczeństwa komputerów, jednak nie jest rozwiązaniem idealnym.

Istnieją scenariusze, w których dostęp do danych może zostać utracony.

Najczęstsze przypadki to:

• reset TPM w BIOS/UEFI
• wymiana płyty głównej
• zmiana konfiguracji sprzętowej
• uszkodzenie firmware

W takich sytuacjach system może uznać środowisko za nieautoryzowane i zażądać klucza odzyskiwania.

Jeżeli użytkownik nie posiada klucza odzyskiwania, dostęp do zaszyfrowanych danych może być niemożliwy.

Dlaczego TPM jest wymagany w nowych systemach

System Windows 11 wprowadził obowiązkowe wsparcie dla TPM w wersji 2.0.

Wymóg ten wynika z rosnącej liczby zagrożeń, takich jak:

• ransomware
• rootkity
• ataki na bootloader
• kradzież danych

Dzięki TPM system operacyjny może wymuszać silniejsze mechanizmy bezpieczeństwa na poziomie sprzętowym.

Podsumowanie

Trusted Platform Module jest jednym z kluczowych elementów współczesnej architektury bezpieczeństwa komputerów.

Moduł ten:

• przechowuje klucze kryptograficzne
• chroni proces uruchamiania systemu
• umożliwia bezpieczne szyfrowanie danych
• wspiera uwierzytelnianie użytkowników i urządzeń

Technologie takie jak BitLocker, Windows Hello czy Secure Boot w dużej mierze opierają się właśnie na TPM.

Z punktu widzenia bezpieczeństwa danych oznacza to, że dostęp do zaszyfrowanych informacji jest coraz silniej powiązany z konkretną platformą sprzętową. Dlatego w przypadku awarii komputera lub płyty głównej odzyskanie danych często wymaga nie tylko pracy z nośnikiem, ale również przywrócenia działania oryginalnego środowiska sprzętowego.