Co układ TPM naprawdę o tobie wie — a czego nigdy nie widzi

Zapieczętowany sejf, nie szpieg

Trusted Platform Module to mały kryptoprocesor z jednym zadaniem: przetrzymywanie kluczy w miejscu, z którego oprogramowanie nie potrafi czytać. W środku mieszka storage root key, który opakowuje wszystko inne, oraz endorsement key, wypalany w fabryce, który identyfikuje sam układ. Aplikacje podają TPM-owi zaszyfrowany materiał i proszą o zablokowanie lub odblokowanie danych — prywatny materiał nigdy nie opuszcza układu: nie dla Windows, nie dla aplikacji, nie dla debugera.

Druga połowa jego pracy to mierzenie. Przy każdym rozruchu firmware, bootloader i wczesne sterowniki trafiają jako skróty kryptograficzne do rejestrów zwanych PCR, tworząc dziennik odporny na manipulację, który dokładnie pokazuje, który łańcuch kodu uruchomił maszynę. Dzięki temu dziennikowi BitLocker odróżnia zdrowy rozruch od sfałszowanego — a zmiana ustawienia firmware'u może nagle zażądać twojego 48-cyfrowego klucza odzyskiwania.

Co tak naprawdę o tobie przechowuje

Inwentarz jest krótszy i nudniejszy, niż sugerują plotki. TPM nigdy nie widzi twojego przeglądania, dokumentów ani uderzeń w klawisze — nie ma dla nich pamięci ani sposobu na czytanie RAM-u. Trzyma za to krótką listę sekretów kryptograficznych powiązanych z tożsamością maszyny i historią jej rozruchów.

• Klucze szyfrowania woluminu BitLockera, zapieczętowane tak, by dysk odblokował się dopiero po zweryfikowanym rozruchu
• Szablony biometryczne Windows Hello i materiał PIN — klucze stojące za logowaniem twarzą i odciskiem palca
• Pomiary PCR — narastające skróty ustawień firmware'u, bootloadera i sterowników rozruchowych, nigdy ich zawartość
• Klucze tożsamości atestacyjnej, którymi udowadnia się serwerowi, że o coś prosi prawdziwa, zweryfikowana maszyna
• Opcjonalne klucze aplikacji — certyfikaty VPN i firmowe sekrety zapieczętowane przez oprogramowanie IT

Kto może to odczytać — i dlaczego Windows 11 tego wymaga

TPM nie dzwoni do domu; nie ma jak — nie posiada stosu sieciowego ani sposobu, by cokolwiek wysłać gdziekolwiek. Ujawnienie następuje, gdy oprogramowanie każe mu zaświadczyć o stanie: kontrola udowadnia serwerowi, że maszyna uruchomiła zweryfikowany kod, bez wyjawiania twoich kluczy. Jeśli logujesz się kontem Microsoft, twój klucz odzyskiwania BitLockera trafia dodatkowo tam w depozyt — to zasada przyjęta przez Windows, nie zasługa samego układu, i możesz ją sprawdzić na aka.ms/myrecoverykey.

Windows 11 wymaga TPM 2.0, bo cały jego stos bezpieczeństwa — mierzony rozruch, Credential Guard, Windows Hello, BitLocker domyślnie — stoi na kluczach, które muszą żyć gdzieś poza zasięgiem oprogramowania. Czy twój TPM to osobny układ na płycie, czy firmware w procesorze Intel (PTT) lub AMD (fTPM), dla twojej prywatności nic to nie zmienia: oba odmawiają wydania swoich sekretów systemowi operacyjnemu. Wyczyszczenie lub wyłączenie TPM z ustawień firmware'u jest możliwe, ale na zaszyfrowanej maszynie najpierw przyda ci się ten klucz odzyskiwania.

Pytania i odpowiedzi

Przeczytaj także