Що таке TPM і навіщо він потрібний для Windows 11

Для Microsoft Windows 11 потрібно ПК з модулем Trusted Platform Module (TPM), що викликає невпевненість у користувачів та збирачів ПК. Що саме є TPM? Чи є у вас такий модуль? Ми пояснюємо.

Для операційної системи Windows 11 від Microsoft потрібна маловідома функція безпеки ПК – модуль Trusted Platform Module (TPM). Це може спричинити занепокоєння, якщо ви збираєтеся створити свій власний ПК з Windows 11 або оновити ПК з більш ранньою версією Windows.

“Чи маю TPM, який працює з Windows 11?” – це питання, яке ви, мабуть, ніколи не думали, що вам доведеться ставити. Але гарною новиною для тих, хто має ПК, куплений в останні кілька років, є те, що відповідь майже напевно буде “Так”. Для всіх інших, хто хоче перейти на Windows 11, особливо для тих, хто створив або оновив свій власний комп’ютер з Windows, відповідь може бути складнішою.

Давайте розглянемо, що таке TPM і як вони працюють у останній версії Windows.

Що таке TPM?

У найпростішому розумінні TPM – це крихітний чіп на материнській платі комп’ютера, іноді окремо від основного процесора і пам’яті. Цей чіп схожий на клавіатуру, яку ви використовуєте для відключення домашньої охоронної сигналізації кожного разу, коли входите до будинку, або на автентифікатор, який ви використовуєте в телефоні для входу в свій банківський рахунок. У цьому сценарії увімкнення комп’ютера аналогічне відкриттю вхідних дверей будинку або введення імені користувача та пароля на сторінці входу до системи. Якщо ви не введете код протягом короткого проміжку часу, пролунає сигнал тривоги або ви не зможете отримати доступ до своїх грошей.

Аналогічним чином, після натискання кнопки живлення на новому ПК, що використовує повнодискове шифрування та TPM, крихітний чіп видасть унікальний код, який називається криптографічним ключем. Якщо все гаразд, шифрування диска розблокується, а комп’ютер запускається. Якщо з ключем виникли проблеми – можливо, хакер вкрав ваш ноутбук і спробував підробити зашифрований диск всередині – комп’ютер не завантажиться.

Хоча сучасні TPM функціонують на базовому рівні, це далеко не все, на що вони здатні. Насправді багато програм та інші функції ПК використовують TPM вже після завантаження системи. Поштові клієнти Thunderbird та Outlook використовують TPM для роботи із зашифрованими або підписаними ключем повідомленнями. Веб-браузери Firefox та Chrome також використовують TPM для деяких розширених функцій, таких як підтримка SSL-сертифікатів для веб-сайтів. Крім ПК, TPM використовуються і в багатьох інших споживчих пристроях – від принтерів до аксесуарів для домашнього підключення.

Як TPM можуть виконувати безліч інших функцій, крім свого основного завдання – забезпечення захисту під час завантаження ПК, і вони можуть приймати різні форми, крім окремого чіпа. Група Trusted Computing Group (TCG), яка відповідає за підтримку стандартів TPM, зазначає, що існує два додаткові типи TPM. TPM можуть бути інтегровані в основний процесор, або у вигляді фізичного доповнення, або у вигляді коду, який виконується у спеціальному середовищі, відомому як прошивка. Цей метод майже так само безпечний, як і окремий чіп TPM, оскільки він використовує довірене середовище ізольоване від інших програм, що використовують процесор.

Третій тип TPM – віртуальний. Він повністю працює у програмному забезпеченні. Його не рекомендується використовувати в реальних умовах, попереджає TCG, оскільки він уразливий як для злому, так і для будь-яких помилок безпеки, які можуть бути присутніми в операційній системі.

Як справи з Windows і TPM?

Як і Windows 11, попередні версії Windows також мали широку підтримку TPM. Основними користувачами стали ноутбуки та настільні комп’ютери, призначені для використання у великих організаціях із суворими вимогами до ІТ-безпеки. У багатьох випадках TPM замінили громіздкі смарт-картки, які ІТ-відділи видавали колись співробітникам. Смарт-картки необхідно вставляти в слот або прикладати до вбудованого бездротового зчитувача, щоб переконатися, що система не зазнала злому.

Функції безпеки на рівні операційної системи також використовують TPM. Ви коли-небудь користувалися функцією розпізнавання обличчя під час входу до Windows Hello на ноутбуці? Для цього потрібний TPM.

TPM є ефективною альтернативою старим методам захисту ПК під керуванням Windows. Насправді з липня 2016 року Microsoft вимагає підтримки TPM 2.0 на всіх нових ПК, на яких встановлена ​​будь-яка версія Windows 10 для настільних систем (Home, Pro, Enterprise або Education). Аналогічно, Windows 11 працюватиме лише на ПК з підтримкою TPM.

На моєму комп’ютері вже є TPM 2.0?

Якщо ваш комп’ютер відповідає іншим мінімальним системним вимогам Windows 11, ймовірно, що він підтримує TPM 2.0. Однак цей стандарт з’явився нещодавно. Якщо ви придбали свій комп’ютер після 2016 року, він майже напевно оснащений TPM 2.0. Якщо ваш комп’ютер старше кількох років, швидше за все, він або оснащений старішою версією TPM 1.2 (яка, за словами Microsoft, не рекомендується для Windows 11), або взагалі не має TPM.

Деякі версії Windows 10 пропонують сторінку інформації про процесор безпеки у програмі налаштувань, де можна побачити версію TPM та іншу інформацію.

Більшість великих виробників публікують на своїх сайтах статті підтримки, які пояснюють, які продукти підтримують TPM 2.0. Наприклад, Dell публікує зручну діаграму, яка показує, який тип TPM встановлений у тій чи іншій системі.

Якщо у вас є TPM 2.0, але він ще не включений, Microsoft пропонує посібник з його налаштування.

Чи можу я додати TPM до свого комп’ютера?

Якщо ви зібрали свій настільний ПК в останні кілька років і вам зручно поводитися з налаштуваннями безпеки апаратного та програмного забезпечення в BIOS системи, ви, ймовірно, можете додати дискретний чіп TPM 2.0 на свою материнську плату. Багато материнських плат поставляються з групою контактів заголовка, чітко позначених як “TPM”. І, як зазначає ExtremeTech, ви можете придбати модуль TPM для деяких моделей материнських плат менш як за 50 доларів.

Але це не так просто – купити додатковий модуль TPM 2.0 та підключити його до роз’єму. Навіть якщо ви встановили апаратний TPM у свій домашній комп’ютер, потрібно переконатися, що він правильно налаштований в BIOS, щоб операційна система Windows його розпізнала. Цей процес залежить від використовуваної материнської плати і процесора; докладнішу інформацію та посилання на інструкції деяких великих виробників ПК можна знайти у зазначеному вище посібнику.

Якщо ви один із тих, хто витратив значні гроші на створення першокласного ігрового ПК кілька років тому, але при цьому використав материнську плату або процесор, на яких були відсутні функції TPM або можливість їх додавання, ваша система, швидше за все, ще проживе роки, але, можливо, не зможе працювати під керуванням Windows 11. Рішення TPM 2.0 на основі вбудованого ПЗ може стати варіантом для деяких ПК без можливості TPM на материнській платі, хоча його самостійна реалізація майже напевно вимагатиме проб та помилок.

Чи зможе TPM перешкодити мені запустити Linux?

І навпаки, багато ентузіастів ПК мають комп’ютери з підтримкою TPM, але вони вирішили відключити їх з різних причин. Якщо ви належите до таких людей, Windows 11 принесе і хороші, і погані новини.

Хороша новина полягає в тому, що практично все, що ви хочете зробити з ПК у наші дні, можна зробити з увімкненими TPM. Так, є винятки, але вони торкнуться лише крихітного відсотка користувачів. Наприклад, TCG вже давно визначила вимоги до TPM для операційної системи Linux з відкритим вихідним кодом, а це означає, що люди, які хочуть перемикати свої ПК між Windows 11 та різними дистрибутивами Linux, зможуть це робити. Підтримка залежатиме від того, який дистрибутив Linux ви використовуєте, і від того, як ви налаштуєте подвійне завантаження.

Чи обмежить TPM можливості Windows?

Одним із багатьох складних моментів, пов’язаних з вимогою TPM 2.0 у Windows 11, є те, що Microsoft може ввести додаткові обмеження, пов’язані з безпекою TPM у майбутніх оновленнях Windows. Для порівняння, старі комп’ютери Intel Mac не підтримують деякі функції, пов’язані з TPM, які підтримують новітні комп’ютери Mac, оскільки Apple тепер зосереджена на додаванні функцій до TPM, вбудованих у Apple Silicon, а не до старого, застарілого чіпа Apple T2, який використовується в комп’ютерах Intel Mac як TPM. Подібна ситуація дещо вже існує у світі Windows: яскравим прикладом є згадане раніше розпізнавання обличчя Windows Hello.

У Windows 11 і наступних версіях Microsoft може ще більше сегментувати досвід користувача. Це може включати додавання нових функцій, що вимагають TPM, але також може включати створення додаткових заблокованих версій Windows, подібних до старої Windows 10 S Mode. Для більшості користувачів це не буде проблемою, але якщо ви плануєте оновитися до Windows 11, слід пам’ятати.