Una cassaforte sigillata, non una spia
Un Trusted Platform Module è un piccolo crittoprocessore con un unico compito: tenere le chiavi in un posto che il software non può leggere. Al suo interno vivono una chiave radice di archiviazione, che avvolge tutto il resto, e una chiave di endorsement, impressa in fabbrica, che identifica il chip stesso. Le applicazioni consegnano al TPM materiale cifrato e chiedono di bloccare o sbloccare dati — il materiale privato non lascia mai il chip: non per Windows, non per le app, non per un debugger.
L'altra metà del suo lavoro è misurare. A ogni avvio, firmware, bootloader e driver iniziali vengono sottoposti a hash crittografico in registri chiamati PCR, formando un log a prova di manomissione che dice esattamente quale catena di codice ha avviato la macchina. È grazie a quel log che BitLocker distingue un avvio sano da uno manomesso — ed è per questo che cambiare un'impostazione del firmware può pretendere all'improvviso la tua chiave di ripristino di 48 cifre.
Cosa conserva davvero su di te
L'inventario è più corto e più noioso di quanto suggeriscano le voci. Un TPM non vede mai la tua navigazione, i tuoi documenti o i tasti che premi — non ha memoria per loro e nessun modo di leggere la RAM. Ciò che tiene è una breve lista di segreti crittografici legati all'identità della macchina e alla sua storia di avvio.
- Le chiavi di crittografia del volume di BitLocker, sigillate perché il disco si sblocchi solo dopo un avvio verificato
- I modelli biometrici di Windows Hello e il materiale del PIN — le chiavi dietro l'accesso con volto e impronta
- Le misure PCR — hash progressivi delle impostazioni del firmware, del bootloader e dei driver di avvio, mai il loro contenuto
- Le chiavi di identità di attestazione, usate per dimostrare a un server che a chiedere qualcosa è una macchina autentica e verificata
- Chiavi applicative opzionali — certificati VPN e segreti aziendali sigillati dal software IT
Chi può leggerlo — e perché Windows 11 lo esige
Il TPM non telefona a casa; non può — non ha uno stack di rete né modo di inviare alcunché da nessuna parte. La divulgazione avviene quando il software gli chiede di attestarsi: un controllo di stato dimostra a un server che la macchina ha avviato codice verificato, senza rivelare le tue chiavi. Se accedi con un account Microsoft, la tua chiave di ripristino di BitLocker finisce anche in deposito lì — è una scelta di policy di Windows, non un fatto del chip, e puoi verificarla su aka.ms/myrecoverykey.
Windows 11 richiede TPM 2.0 perché tutto il suo stack di sicurezza — avvio misurato, Credential Guard, Windows Hello, BitLocker attivo di default — poggia su chiavi che devono vivere in un punto che il software non può toccare. Che il tuo sia un chip discreto sulla scheda o firmware dentro una CPU Intel (PTT) o AMD (fTPM) non cambia nulla per la tua privacy: entrambi si rifiutano di sputare i loro segreti al sistema operativo. Cancellare o disattivare il TPM dalle impostazioni del firmware si può, ma su una macchina cifrata prima ti serve quella chiave di ripristino.
Domande e risposte
Un chip TPM registra quello che faccio al computer?
No. Conserva solo chiavi e misure di avvio — non ha accesso ai tuoi file, alla cronologia di navigazione o ai tasti premuti, né una connessione per inviarli da qualche parte.
Posso disattivare o rimuovere il TPM dal mio PC?
Puoi cancellarlo o disattivarlo dalle impostazioni del firmware, ma se il disco è cifrato con BitLocker, Windows pretenderà la chiave di ripristino di 48 cifre al prossimo avvio. Salva prima quella chiave sul tuo account Microsoft.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]