TPM i Secure Boot to dwie powiązane technologie bezpieczeństwa w nowoczesnych laptopach. Konflikt między nimi — zwłaszcza po zmianie konfiguracji systemu — może blokować uruchomienie systemu lub powodować błędy kryptograficzne. Serwis Wiatraczna przy Alei Stanów Zjednoczonych 72 w Warszawie rozwiązuje te problemy.
Relacja między TPM a Secure Boot
Secure Boot i TPM to uzupełniające się mechanizmy bezpieczeństwa, ale działają niezależnie. Secure Boot weryfikuje podpisy cyfrowe komponentów rozruchu (bootloader, drivers) i blokuje nieautoryzowane oprogramowanie. TPM mierzy (hashuje) wartości komponentów rozruchu i zapisuje je w rejestrach PCR. Jeśli BitLocker jest skonfigurowany z PCR 7 (obejmującym Secure Boot), zmiana konfiguracji Secure Boot zmienia wartości PCR i TPM odmawia odpieczętowania klucza BitLocker.
Scenariusze konfliktu TPM i Secure Boot
Typowe sytuacje powodujące konflikty: zmiana bazy Secure Boot (dodanie lub usunięcie certyfikatu) zmienia PCR 7; aktualizacja UEFI BIOS zawierająca nową bazę kluczy Secure Boot; próba dual-boot Linux na laptopie z Secure Boot (Linux używa własnego bootloadera, którego Secure Boot może nie rozpoznać); ręczne wyłączenie Secure Boot w BIOS powoduje zmiany PCR widziane przez TPM i BitLocker; przypadkowe zresetowanie bazy kluczy Secure Boot przez opcję "Restore Factory Keys" w BIOS.
Rozwiązanie konfliktu TPM i Secure Boot
Rozwiązanie zależy od scenariusza. Dla BitLockerowych problemów po zmianie Secure Boot: użyj klucza odzykiwania do odblokowania systemu, następnie zaktualizuj konfigurację BitLocker (Manage-bde -protectors -disable C: i ponowne włączenie z nowymi PCR values). Dla dual-boot: skonfiguruj shim bootloader lub wyłącz PCR 7 z ochrony BitLocker. Dla resetowanej bazy kluczy: przywróć oryginalną bazę kluczy Secure Boot producenta laptopa.
Wyłączenie Secure Boot a TPM
Wyłączenie Secure Boot w BIOS może być konieczne do uruchomienia starszego oprogramowania lub instalacji Linuxa. Jednak jeśli BitLocker jest aktywny z PCR 7, wyłączenie Secure Boot zablokuje dostęp do dysku. W serwisie Wiatraczna przy Alei Stanów Zjednoczonych 72 pomagamy bezpiecznie przeprowadzić zmianę konfiguracji Secure Boot z zachowaniem dostępu do danych. Zapraszamy do konsultacji.
Serwis przy Alei Stanów Zjednoczonych 72 — pomoc z Secure Boot i TPM
Serwis Wiatraczna przy Alei Stanów Zjednoczonych 72 na Pradze-Południe w Warszawie pomaga w konfiguracji TPM i Secure Boot, rozwiązywaniu konfliktów i odcyfrowywaniu błędów kryptograficznych. Bezpłatna konsultacja wstępna. Zapraszamy.
