TPM (Trusted Platform Module) označuje bezpečnostní technologii, která počítači poskytuje chráněné prostředí pro práci s citlivými údaji, především s kryptografickými klíči. Ty se používají například při šifrování dat, zabezpečení přihlašování nebo ověřování, zda se počítač spouští v očekávaném a důvěryhodném stavu.
TPM si tedy můžete zjednodušeně představit jako vyhrazenou bezpečnostní schránku uvnitř počítače, ke které nemá běžný software neomezený přístup. Jejím úkolem není ukládat dokumenty nebo jiné soubory, ale chránit důležité údaje, jejichž zneužití by mohlo ohrozit bezpečnost celého zařízení. TPM navíc dokáže provádět určité kryptografické operace a pomáhá zajistit, aby citlivé klíče nebylo možné jednoduše získat z běžné operační paměti počítače.
Jak TPM chrání firemní počítače
Ve Windows se TPM podílí na zabezpečení několika důležitých funkcí. Mezi ty nejvýznamnější patří následující.
- Šifrování disku pomocí BitLockeru
Tato funkce dokáže zašifrovat obsah systémového disku, takže se k uloženým datům nelze dostat pouhým vyjmutím disku a jeho připojením k jinému počítači. Pokud tedy dojde například ke ztrátě nebo krádeži notebooku zaměstnance, samotné získání fyzického přístupu k disku nemusí umožnit neoprávněné přečtení firemních dokumentů. Samotná přítomnost TPM ale neznamená, že je disk automaticky zašifrovaný - BitLocker musí být také správně nastavený a aktivovaný. - Bezpečnější přihlašování s Windows Hello
TPM může chránit kryptografické klíče používané při přihlašování pomocí PINu nebo biometrických údajů, například otisku prstu či rozpoznání obličeje. Citlivé údaje tak nejsou chráněny pouze softwarovými mechanismy operačního systému. PIN ve Windows Hello je navíc vázaný na konkrétní zařízení, nejde tedy jednoduše o další heslo, které by bylo možné použít na libovolném počítači. - Ověření integrity systému při spuštění
TPM dokáže zaznamenávat měření vybraných součástí procesu spouštění počítače, například stavu firmwaru a dalších komponent zavádějících operační systém. Tyto údaje poté využije k posouzení, zda spuštění proběhlo očekávaným způsobem. Pokud se některá součást změnila, mohou navazující bezpečnostní mechanismy změnu rozpoznat a například zabránit automatickému odemknutí disku. Nejde však o stoprocentní záruku, že je celý systém bez škodlivého softwaru.
Pro firmy jsou tedy tyto funkce důležité zejména při ochraně notebooků mimo kancelář, při práci s citlivými zákaznickými údaji nebo při zabezpečení přístupu k firemním systémům. TPM sice samo o sobě počítač před všemi útoky neochrání, ale vytváří důležitý základ pro bezpečnostní funkce, na které se moderní Windows 11 spoléhá.
TPM 1.2 vs TPM 2.0
Technologie TPM existuje v několika verzích. Starší počítače mohou být vybaveny modulem TPM 1.2, Windows 11 ale vyžaduje verzi 2.0. Nejde přitom pouze o rozdíl v označení, ale také o změny v podporovaných kryptografických algoritmech a ve způsobu, jakým je bezpečnostní technologie navržena.
TPM 1.2 vychází ze starší specifikace a má omezenější možnosti při výběru kryptografických algoritmů. Jeho podpora je více svázaná s konkrétními algoritmy, mezi něž patří například SHA-1. TPM 2.0 naopak přináší flexibilnější architekturu, podporu novějších kryptografických mechanismů a algoritmů, například SHA-256, díky čemuž lépe odpovídá současným bezpečnostním požadavkům.
Microsoft přitom právě TPM 2.0 stanovil jako součást minimálních hardwarových požadavků na Windows 11. Je to proto, aby bylo možné stavět zabezpečení systému na jednotnějším a modernějším hardwarovém základu. Požadavek se tak netýká pouze jedné konkrétní funkce, ale celkového přístupu Windows 11 k zabezpečení zařízení.
Z pohledu uživatele to má jednoduchý důsledek - počítač s TPM 1.2 nesplňuje oficiální požadavky Windows 11, i když má dostatečný výkon a ostatní potřebné komponenty.
fTPM vs dTPM
Přestože se TPM často označuje jako bezpečnostní čip, jeho funkce nemusí vždy zajišťovat samostatná součástka. V moderních počítačích a pracovních noteboocích se proto můžete setkat se 2 typy - diskrétním TPM (dTPM) a firmwarovým TPM (fTPM).
Diskrétní TPM je samostatný fyzický čip, který bývá umístěn přímo na základní desce počítače. Má vlastní zabezpečené prostředí pro provádění kryptografických operací a ochranu klíčů. Jeho výhodou je fyzické oddělení od procesoru a operačního systému, nevýhodou pak závislost na konkrétním hardwarovém provedení a případně také nutnost kompatibilního modulu.
Firmwarové TPM pak poskytuje odpovídající funkce prostřednictvím bezpečnostních mechanismů vestavěných do procesoru a firmwaru, aniž by vyžadovalo samostatný TPM čip. U procesorů Intel se tato technologie označuje jako Intel Platform Trust Technology (PTT), u procesorů AMD jako AMD fTPM.
Z pohledu funkcí přitom obě varianty TPM plní stejné základní úkoly, Windows 11 tedy nevyžaduje, aby TPM bylo realizováno jako samostatný čip. Rozhodující je podpora požadované specifikace TPM 2.0. Pro majitele starších firemních počítačů je ale tento rozdíl důležitý v praxi - pokud počítač hlásí, že TPM nemá, nemusí to automaticky znamenat, že je nutné kupovat nový modul nebo celé zařízení vyměnit. Funkce TPM může být pouze vypnutá v BIOSu, případně ji může zajišťovat procesor, aniž by uživatel o její existenci věděl.
Zjistit, zda počítač TPM 2.0 má a zda je aktivní, je ve Windows velmi snadné. Stačí stisknout klávesovou zkratku Win + R, čímž se otevře okno Spustit. Do řádku pak napište příkaz TPM.MSC a potvrďte klávesou Enter. Následně se vám otevře Správa čipu TPM v místním počítači, ve které snadno ověříte stav čipu TPM, jeho výrobce i specifikaci verze.