TPM Çipi Gerçekte Hakkınızda Ne Biliyor — ve Neyi Hiç Görmez

Mühürlü bir kasa, casus değil

Trusted Platform Module, tek bir işi olan küçük bir kripto işlemcidir: anahtarları yazılımın okuyamayacağı bir yerde tutmak. İçinde, diğer her şeyi saran bir depolama kök anahtarı ve fabrikada yazılıp çipin kimliğini taşıyan bir onay anahtarı yaşar. Uygulamalar TPM'e şifreli materyal verir ve verileri kilitlemesini ya da açmasını ister — özel materyal çipi asla terk etmez; ne Windows için, ne uygulamalar için, ne de bir hata ayıklayıcı için.

İşinin ikinci yarısı ölçmektir. Her önyüklemede ürün yazılımı, önyükleyici ve erken sürücüler, PCR adlı kayıtlara kriptografik özet olarak yazılır; makineyi tam olarak hangi kod zincirinin başlattığını gösteren, kurcalamaya karşı kanıt bırakan bir günlük oluşur. BitLocker'ın sağlıklı bir önyüklemeyi kurcalanmış olandan ayırt etmesi bu günlük sayesindedir — ve bir ürün yazılımı ayarını değiştirmenin 48 haneli kurtarma anahtarınızı aniden istemesinin nedeni de budur.

Hakkınızda gerçekte ne saklıyor

Envanter, söylentilerin ima ettiğinden daha kısa ve daha sıkıcıdır. TPM, gezinmenizi, belgelerinizi veya tuş vuruşlarınızı asla görmez — onlar için depolaması yoktur ve RAM okuma yolu da yoktur. Tuttuğu şey, makinenizin kimliğine ve önyükleme geçmişine bağlı kısa bir kriptografik sır listesidir.

• BitLocker'ın birim şifreleme anahtarları — disk, yalnızca doğrulanmış bir önyüklemenin ardından açılsın diye mühürlenmiş
• Windows Hello biyometrik şablonları ve PIN materyali — yüz ve parmak iziyle oturum açmanın ardındaki anahtarlar
• PCR ölçümleri — ürün yazılımı ayarlarınızın, önyükleyicinin ve önyükleme sürücülerinin akan özetleri, asla içerikleri değil
• Kanıtlama kimlik anahtarları — sunucuya, isteği yapanın gerçek ve doğrulanmış bir makine olduğunu kanıtlamak için kullanılır
• İsteğe bağlı uygulama anahtarları — BT yazılımı tarafından mühürlenmiş VPN sertifikaları ve kurumsal sırlar

Kim okuyabilir — ve Windows 11 neden onu istiyor

TPM kimseye haber göndermez; gönderemez — ağ yığını yoktur ve hiçbir şeyi hiçbir yere yollama imkânı yoktur. Açığa çıkma, yazılımın ondan kanıtlama istediği anda olur: bir sağlık denetimi, makinenin doğrulanmış kod başlattığını anahtarlarınızı ifşa etmeden sunucuya kanıtlar. Microsoft hesabıyla oturum açarsanız BitLocker kurtarma anahtarınız da orada emanete alınır — bu Windows'un bir ilke kararıdır, çipin marifeti değildir ve aka.ms/myrecoverykey adresinden gözden geçirebilirsiniz.

Windows 11, TPM 2.0 istiyor çünkü güvenlik yığınının tamamı — ölçülen önyükleme, Credential Guard, Windows Hello, varsayılan BitLocker — yazılımın dokunamayacağı bir yerde yaşaması gereken anahtarlar üzerine kurulu. Sizinki kart üzerinde ayrı bir çip ya da Intel (PTT) veya AMD (fTPM) işlemci içindeki bir ürün yazılımı olması, gizliliğiniz açısından hiçbir şeyi değiştirmez: ikisi de sırlarını işletim sistemine kusmayı reddeder. TPM'i ürün yazılımı ayarlarından temizlemek veya kapatmak mümkündür; ancak şifreli bir makinede önce o kurtarma anahtarına ihtiyacınız olur.

Sorular ve yanıtlar

Bunları da okuyun