Hva er TPM 2.0?
TPM står for Trusted Platform Module, og 2.0 viser til den nyeste versjonen av denne spesifikasjonen. Kort fortalt er TPM 2.0 en dedikert kryptoprosessor – en liten brikke – som er integrert på hovedkortet eller direkte i prosessoren på datamaskinen din. Den fungerer som en maskinvarebasert rot av tillit, noe som betyr at den kan lagre sensitive data som krypteringsnøkler, passord og sertifikater på en svært sikker måte. Denne brikken er utformet for å være motstandsdyktig mot programvareangrep, slik at selv om operativsystemet blir kompromittert, kan ikke angripere få tilgang til de lagrede hemmelighetene. TPM 2.0 er definert av Trusted Computing Group (TCG) og er standardisert som ISO/IEC 11889:2015. Denne standardiseringen sikrer at TPM 2.0 fungerer på tvers av ulike produsenter og plattformer, noe som gjør den til en globalt anerkjent sikkerhetsløsning.
I motsetning til forgjengeren TPM 1.2, som ble lansert i 2003, er TPM 2.0 mye mer fleksibel og moderne. Den støtter et bredere spekter av krypteringsalgoritmer og har en mer avansert arkitektur. Dette gjør at den kan håndtere dagens trusler mye bedre. Mange datamaskiner som er produsert etter 2016 har TPM 2.0 innebygd, enten som en fysisk brikke eller som en firmwarebasert løsning. De vanligste firmware-implementeringene er AMDs fTPM og Intels Platform Trust Technology (PTT), som fungerer like godt som en fysisk brikke for de fleste brukere.
Hvorfor er TPM 2.0 viktig?
TPM 2.0 har blitt spesielt viktig de siste årene på grunn av Windows 11. Microsoft gjorde TPM 2.0 til et obligatorisk krav for å installere og oppdatere til Windows 11. Dette betyr at hvis datamaskinen din ikke har TPM 2.0 aktivert, kan du ikke oppgradere til den nyeste versjonen av Windows. Kravet ble innført for å heve sikkerhetsnivået på alle Windows-PC-er og beskytte brukere mot moderne trusler som løsepengevirus og identitetstyveri. Uten TPM 2.0 er det vanskeligere å implementere avanserte sikkerhetsfunksjoner som Windows Hello (ansiktsgjenkjenning og fingeravtrykk) og BitLocker (harddisk-kryptering). BitLocker krypterer hele harddisken slik at dataene dine er beskyttet selv om noen stjeler PC-en og fjerner harddisken. TPM 2.0 lagrer krypteringsnøklene på en sikker måte, slik at bare den opprinnelige maskinvaren kan dekryptere dataene.
I tillegg til Windows 11 spiller TPM 2.0 en avgjørende rolle i sikker oppstart (Secure Boot) og måling av systemintegritet. Når du slår på datamaskinen, verifiserer TPM 2.0 at oppstartsprosessen ikke er tuklet med. Hvis noen har forsøkt å installere skadelig programvare i oppstartssektoren, vil TPM oppdage dette og forhindre oppstart. Dette kalles målt oppstart og er en viktig del av en helhetlig sikkerhetsstrategi. TPM 2.0 brukes også i nettlesere for å lagre sertifikater og i e-postklienter for å signere meldinger digitalt. Kort sagt, TPM 2.0 danner grunnlaget for en sikker databehandlingsopplevelse.
Hvordan fungerer TPM 2.0?
TPM 2.0 er ikke bare en enkel brikke; den har en kompleks arkitektur som gir mange sikkerhetsfordeler. Den viktigste forbedringen fra TPM 1.2 er det som kalles krypto-agilitet. Det betyr at TPM 2.0 støtter en rekke moderne krypteringsalgoritmer, inkludert SHA-256, AES og elliptisk kurve-kryptografi (ECC). Tidligere var TPM 1.2 begrenset til SHA-1 og RSA, som i dag anses som svakere. Krypto-agilitet gjør at produsenter og utviklere kan velge den sikreste algoritmen for hver oppgave, og oppdatere dem etter hvert som trusselbildet endrer seg.
Arkitekturen i TPM 2.0 er delt inn i fire hierarkier: Endorsement Hierarchy (EH), Storage Hierarchy (SH), Platform Hierarchy (PH) og Null Hierarchy. Hvert hierarki har sin egen autorisasjonsmodell og kontrollansvar. For eksempel brukes Endorsement Hierarchy til å identifisere selve TPM-brikken på en unik måte, mens Storage Hierarchy håndterer krypteringsnøklene dine. Denne inndelingen gjør det mulig å skille mellom ulike sikkerhetsdomenene og forbedrer multifaktorautentisering. Autorisasjon i TPM 2.0 skjer ved hjelp av økter og passord, policyer eller biometri. Du kan for eksempel sette opp en policy som krever at en bestemt PIN-kode må tastes inn før en krypteringsnøkkel kan brukes.
I praksis kommuniserer operativsystemet med TPM 2.0 via en programvarestabel. På Windows er det Microsofts TPM Base Services som håndterer dette. Når du aktiverer BitLocker, sender Windows en kommando til TPM om å generere en krypteringsnøkkel. Nøkkelen lagres i TPMs sikre minne, og kan bare frigjøres hvis oppstartsprosessen er intakt. Dette er grunnen til at BitLocker krever TPM for å fungere sømløst. For brukere som ikke har en fysisk TPM-brikke, tilbyr firmware-baserte løsninger som AMD fTPM og Intel PTT samme funksjonalitet, men de utnytter en sikker sone i prosessoren i stedet for en separat brikke.
TPM 2.0 vs TPM 1.2
Det er nyttig å sammenligne de to versjonene for å forstå hvorfor TPM 2.0 er så viktig. Tabellen under viser de viktigste forskjellene:
| Egenskap | TPM 1.2 | TPM 2.0 |
|---|---|---|
| Krypteringsalgoritmer | Kun SHA-1, RSA | SHA-256, AES, ECC og flere |
| Autorisasjonsmodell | Enkel PIN/passord | Økter, policyer, biometri |
| Hierarkier | Ett hierarki | Fire hierarkier (EH, SH, PH, Null) |
| Krypto-agilitet | Nei | Ja |
| Standard | TCG-spesifikk | ISO/IEC 11889:2015 |
| Windows 11 støtte | Ikke støttet | Obligatorisk |
Som tabellen viser, er TPM 2.0 en betydelig oppgradering. Den eldre versjonen ble utviklet for en annen tid og har begrensninger som gjør den mindre egnet for dagens sikkerhetsbehov. For eksempel er SHA-1-algoritmen i TPM 1.2 i ferd med å bli faset ut på grunn av kjente svakheter. TPM 2.0 løser dette ved å støtte SHA-256 og andre robuste alternativer. I tillegg gir de fire hierarkiene bedre isolasjon mellom ulike funksjoner, noe som reduserer risikoen for at en kompromittering av ett område påvirker resten.
Slik sjekker du om PCen din har TPM 2.0
Mange brukere oppdager først at de trenger TPM 2.0 når de prøver å installere Windows 11. Heldigvis er det enkelt å sjekke om datamaskinen din har det. Følg denne listen over metoder:
- Åpne Innstillinger i Windows, gå til Oppdatering og sikkerhet, og velg Windows-sikkerhet. Klikk på Enhetssikkerhet og se etter Sikkerhetsprosessor. Hvis det står TPM 2.0, er alt i orden.
- Trykk Windows-tast + R, skriv tpm.msc og trykk Enter. I vinduet som åpnes, ser du produsent, versjon og status. Hvis versjonen er 2.0, har du TPM 2.0.
- Gå til Enhetsbehandling, utvid Sikkerhetsenheter og se etter Trusted Platform Module. Dobbeltklikk for detaljer.
- Hvis du bruker en eldre PC, kan det hende TPM er deaktivert i BIOS/UEFI. Start PCen, trykk Delete eller F2 under oppstart for å gå inn i BIOS-oppsettet. Finn TPM-innstillingen (kan hete fTPM, PTT, eller lignende) og aktiver den.
- Noen hovedkort krever at du installerer en separat TPM-modul som kobles til en pinne på hovedkortet. Sjekk hovedkortets manual for å se om det støttes.
Hvis du får meldingen at TPM ikke er funnet, eller at versjonen er 1.2, må du oppdatere BIOS eller vurdere å bytte maskinvare. Mange nye datamaskiner har TPM 2.0 aktivert som standard, men noen produsenter lar det være av for å gi brukeren valgfrihet. Aktivering er trygt og vil ikke påvirke ytelsen negativt.
Vanlige spørsmål om TPM 2.0
Et vanlig spørsmål er om TPM 2.0 kan deaktiveres. Ja, det kan du, men det anbefales ikke. Hvis du deaktiverer TPM, mister du muligheten til å bruke Windows Hello, BitLocker og andre sikkerhetsfunksjoner. Noen spill eller applikasjoner kan også kreve TPM. Det er bedre å la det være aktivert.
Et annet spørsmål gjelder firmware-baserte løsninger. Fungerer AMD fTPM eller Intel PTT like bra som en fysisk brikke? For de fleste brukere er svaret ja. De oppfyller TPM 2.0-spesifikasjonen og kan håndtere de samme oppgavene. Forskjellen er at de utnytter prosessorens sikre område i stedet for en separat brikke, noe som kan være mindre sikkert i teorien, men i praksis er det tilstrekkelig for hjemmebruk og småbedrifter.
Mange lurer også på om TPM 2.0 påvirker ytelsen. Svaret er nei. TPM fungerer i bakgrunnen og utfører bare operasjoner når den blir bedt om det, for eksempel ved oppstart eller når du låser opp PCen. Det er ingen merkbar nedgang i daglig bruk.
For de som bygger egne PC-er, er det viktig å sjekke om hovedkortet har støtte for TPM 2.0. De fleste moderne hovedkort har det innebygd i BIOS/UEFI, men noen eldre modeller krever en fysisk modul. Sjekk produsentens nettside for informasjon. Microsoft har laget en enkel veiledning for å aktivere TPM 2.0, som du finner her. For en mer teknisk gjennomgang av TPM-arkitekturen, anbefales Trusted Computing Groups offisielle dokumentasjon, tilgjengelig her.
Kilder
Microsoft Learn. TPM fundamentals. https://learn.microsoft.com/en-us/windows/security/hardware-security/tpm/tpm-fundamentals. Microsoft Support. Enable TPM 2.0 on your PC. https://support.microsoft.com/en-us/windows/enable-tpm-2-0-on-your-pc-1fd5a332-360d-4f46-a1e7-ae6b0c90645c. Trusted Computing Group. TPM 2.0 Library Specification. https://trustedcomputinggroup.org/resource/tpm-library-specification/. ISO/IEC 11889:2015 – TPM 2.0 standard. Intel. What is a Trusted Platform Module? https://www.intel.com/content/www/us/en/learn/what-is-a-trusted-platform-module.html. Wikipedia. Trusted Platform Module. https://en.wikipedia.org/wiki/Trusted_Platform_Module.
