TPM-модуль на материнской плате¶

TPM (Trusted Platform Module, модуль доверенной платформы) — специализированный криптографический сопроцессор, предназначенный для обеспечения аппаратной защиты ключей шифрования, аутентификации и целостности программного обеспечения. Модуль выполняет функции генерации и хранения криптографических ключей, измерения загрузочных компонентов системы и формирования доказательств доверия (PCR — registers of platform configuration). В контексте материнских плат TPM реализуется в двух основных формах: как выделенный чип на самой плате (TPM 2.0 на платах формата micro-ATX и ATX) или как отдельный модуль, подключаемый к специальному разъёму.

¶Назначение и принцип работы

TPM работает как изолированное хранилище секретов, недоступное основной операционной системе в полном объёме. Ключевые операции — генерация ключей, подпись, проверка целостности — выполняются внутри чипа, а наружу передаются только результаты. Это защищает криптографические материалы от извлечения вредоносным ПО.

Основные функции модуля:

• Генерация и хранение ключей — RSA, ECC, симметричные ключи для BitLocker и других систем шифрования.
• Измерение загрузки (Measured Boot) — модуль вычисляет хеш-значения каждого компонента загрузочной цепочки (BIOS/UEFI, загрузчик, ОС) и записывает их в регистры PCR. Любое изменение загрузочного ПО меняет значения PCR.
• Аттестация платформы — формирование цифрового доказательства (quote) состояния PCR, которое может быть проверено удалённой стороной.
• Защита от подмены — TPM используется в защищённых загрузчиках, системах электронной подписи, DRM.

¶Виды TPM

¶Аппаратный TPM (dTPM)

Выделенный чип, установленный на материнской плате или подключаемый к разъёму. Производители плат — ASUS, Gigabyte, MSI, ASRock — предлагают модели с поддержкой TPM 2.0. На старых платах встречается TPM 1.2. Модуль подключается через разъём 14-20 контактов (как правило, 2×7 или 2×10), расположенный рядом с чипом PCH или у нижнего края платы. Подключение выполняется шлейфом или переходником.

¶fTPM (firmware TPM)

Программная реализация TPM, работающая внутри микрокода процессора. AMD реализует fTPM в процессорах Ryzen с чипсетами серии 300 и новее (функция AMD fTPM, часть AMD Secure Processor). Intel предоставляет аналогичную функцию через Intel Platform Trust Technology (PTT), встроенную в UEFI. fTPM не требует отдельного чипа — активируется в настройках BIOS/UEFI.

¶TPM 1.2 и TPM 2.0

¶Разъём TPM на материнской плате

На большинстве потребительских плат с 2010-х годов присутствует разъём для подключения TPM-модуля. Обозначается как TPM, TPM_SPI, TPM (14-pin) или SPDIF/TPM. Распиновка зависит от производителя и стандарта (TPM 1.2 использовал 20-контактный разъём, TPM 2.0 — 14-контактный). Модули TPM 2.0 для плат ASUS, Gigabyte и MSI взаимозаменяемы при совпадении разъёма, однако BIOS каждой платформы должен поддерживать конкретную модель модуля.

¶TPM в Windows

Начиная с Windows 11, TPM 2.0 стал обязательным системным требованием. ОС проверяет наличие модуля при установке и использует его для:

• BitLocker (шифрование дисков);
• Windows Hello for Business;
• Credential Guard;
• защитной загрузки Secure Boot.

В Windows модуль виден через утилиту tpm.msc (консоль управления TPM) и команду Get-Tpm в PowerShell. Если аппаратного модуля нет, но включён fTPM/PTT, ОС работает с ним как с обычным TPM.

¶Включение TPM

Для активации TPM необходимо:

1. Зайти в UEFI/BIOS (клавиша Del или F2 при загрузке).
2. Найти раздел «Security», «Advanced» или «Trusted Computing».
3. Включить пункт Intel PTT (для Intel) или AMD fTPM (для AMD Ryzen).
4. Для аппаратного модуля — установить его в разъём и включить Enable TPM / Security Device Support.
5. Сохранить настройки и перезагрузить систему.

После включения в Windows 10/11 модуль автоматически инициализируется и готов к работе.

¶Ограничения и особенности

fTPM/PTT занимает ресурсы процессора и в редких случаях вызывает задержки при доступе к ключам (известны жалобы владельцев платформ AMD Ryzen на микрофризы, связанные с fTPM). Аппаратный TPM лишён этой проблемы, но требует физического наличия модуля и совместимого разъёма. При замене материнской платы или сбросе BIOS ключи TPM могут стать недоступными, что делает невозможным расшифровку BitLocker без ключа восстановления.

Источники:

• Спецификация Trusted Platform Module 2.0, Trusted Computing Group (TCG)
• Документация Microsoft по Windows 11 requirements и BitLocker
• Руководства по эксплуатации материнских плат ASUS, Gigabyte, MSI
• AMD Secure Processor Technical Documentation
• Intel Platform Trust Technology (PTT) White Paper