TPM 2.0 – czip bezpieczeństwa, o którym firma powinna wiedzieć

Co właściwie jest TPM 2.0

TPM, czyli Trusted Platform Module, to niewielki układ kryptograficzny wbudowany w płytę główną komputera lub zintegrowany z procesorem. Jego zadaniem nie jest przetwarzanie danych firmowych, lecz przechowywanie i generowanie kluczy szyfrujących w miejscu, do którego nie ma dostępu system operacyjny, złośliwe oprogramowanie ani osoba fizycznie manipulująca dyskiem po jego wyjęciu z laptopa.

Standard TPM 2.0 powstał w 2014 roku i zastąpił starszą wersję 1.2, wprowadzając wsparcie dla nowszych algorytmów kryptograficznych i większą elastyczność konfiguracji. To właśnie wersja 2.0 stała się obowiązkowym elementem specyfikacji sprzętowej Windows 11.

• Czip generuje i przechowuje klucze szyfrujące niezależnie od systemu operacyjnego
• Potwierdza integralność procesu rozruchu komputera przed uruchomieniem systemu
• Nie da się go sklonować ani odczytać zawartości bez fizycznego, bardzo kosztownego ataku na sam układ

Dlaczego Windows 11 tego wymaga

Microsoft zrobił z TPM 2.0 obowiązkowy warunek instalacji Windows 11, co dla wielu firm oznaczało konieczność wymiany parku komputerowego przy migracji z Windows 10. Decyzja wynikała z rosnącej liczby ataków typu ransomware i kradzieży danych z urządzeń mobilnych, gdzie klucze szyfrujące przechowywane wyłącznie w oprogramowaniu były znacznie łatwiejsze do wyodrębnienia.

Z perspektywy MŚP wymóg ten ma sens praktyczny: komputer bez TPM 2.0 może być teoretycznie zabezpieczony szyfrowaniem programowym, ale klucz w takim wypadku trafia gdzieś do pamięci systemowej lub rejestru, co ułatwia zadanie atakującemu mającemu fizyczny dostęp do sprzętu. TPM eliminuje ten problem, trzymając klucz w oddzielnym, zamkniętym układzie.

Co TPM 2.0 realnie chroni w firmie

Moduł TPM nie działa samodzielnie jako produkt, lecz jako fundament dla kilku mechanizmów bezpieczeństwa, z których firmy korzystają często bez świadomości, że to właśnie ten czip stoi za nimi.

• BitLocker – szyfrowanie dysku w Windows korzysta z TPM do przechowywania klucza odblokowującego, dzięki czemu dysk wyjęty z laptopa jest nieczytelny
• Windows Hello for Business – dane biometryczne i PIN logowania są wiązane z konkretnym urządzeniem poprzez TPM, co utrudnia przejęcie tożsamości na innym komputerze
• Secure Boot – TPM potwierdza, że proces rozruchu nie został zmodyfikowany przez rootkita lub bootkita
• Uwierzytelnianie urządzeń – w środowiskach z Microsoft Entra ID czip pomaga potwierdzić, że logowanie odbywa się z zaufanego, znanego sprzętu

W praktyce oznacza to, że firma wdrażająca audyt bezpieczeństwa IT powinna traktować obecność i aktywne wykorzystanie TPM jako jeden z podstawowych punktów kontrolnych, obok polityk haseł czy segmentacji sieci.

Jak sprawdzić TPM na firmowych komputerach

Zweryfikowanie obecności i wersji modułu zajmuje mniej niż minutę i warto to zrobić przy każdym audycie sprzętu.

1. Wpisz tpm.msc w oknie Uruchom i sprawdź sekcję Informacje ogólne – powinna wskazywać na obecność modułu oraz jego wersję specyfikacji
2. Alternatywnie użyj PowerShell z komendą Get-Tpm, która zwróci status aktywacji i informację, czy TPM jest gotowy do użycia
3. W BIOS lub UEFI sprawdź, czy opcja TPM lub PTT (Platform Trust Technology na procesorach Intel) jest włączona – na wielu starszych komputerach czip jest fizycznie obecny, ale wyłączony fabrycznie

Firmy zarządzające większą liczbą stacji roboczych powinny weryfikować ten status centralnie, na przykład przy pomocy stałego wsparcia IT, a nie sprawdzać każde urządzenie ręcznie.

Co ze starszym sprzętem bez TPM 2.0

Wiele komputerów kupionych przed 2016 rokiem ma jedynie TPM 1.2 albo nie ma modułu wcale, co blokuje legalną i wspieraną instalację Windows 11. Dla firm oznacza to jedną z trzech dróg: wymianę sprzętu, pozostanie na starszym systemie z ograniczonym wsparciem, albo doinstalowanie modułu TPM w formie karty na płycie głównej, jeśli producent to przewidział – co jest coraz rzadsze na nowszych platformach.

Warto ten temat połączyć z planowaniem cyklu życia sprzętu firmowego, ponieważ decyzja o wymianie komputerów bez TPM 2.0 zwykle i tak zbiega się z naturalnym momentem ich amortyzacji, a odkładanie tej decyzji zwiększa ryzyko pracy na urządzeniach bez pełnego wsparcia bezpieczeństwa.

Ograniczenia, o których trzeba wiedzieć

TPM 2.0 nie jest magicznym rozwiązaniem wszystkich problemów bezpieczeństwa. Chroni dane w spoczywie i procesie rozruchu, ale nie zabezpieczy firmy przed phishingiem, źle skonfigurowanymi uprawnieniami czy złośliwym oprogramowaniem działającym już w uruchomionym systemie. To jeden element układanki, który ma sens tylko w połączeniu z pełną polityką bezpieczeństwa stacji roboczych.

Warto też pamiętać, że klucze odzyskiwania BitLocker powiązane z TPM trzeba przechowywać w bezpiecznym miejscu, na przykład w Microsoft Entra ID lub Active Directory – zgubienie ich przy awarii płyty głównej może oznaczać całkowitą utratę dostępu do danych na dysku.