TPM 安全芯片

TPM（可信平台模块，Trusted Platform Module）是一颗专用的硬件安全芯片，提供密钥的安全生成、存储和加密运算能力，是平台信任的硬件根基。

概述

TPM遵循可信计算组织制定的国际标准，内部包含独立的处理器、存储和随机数生成器，与主系统隔离。它能在芯片内部安全地生成密钥且密钥永不以明文离开芯片，还能记录系统启动过程中各组件的度量值，从而判断系统是否被篡改。TPM可以是独立焊接在主板上的芯片，也可以集成在CPU固件中（即fTPM）。

核心特点

• 密钥保护：密钥在芯片内生成和使用，抵御从内存或磁盘窃取。
• 平台度量：记录固件和引导程序的哈希值，实现启动完整性校验。
• 硬件随机数：提供高质量随机源，增强加密强度。
• 防物理攻击：具备一定的抗物理探测和篡改能力。

应用场景

TPM最典型的用途是配合Windows的BitLocker磁盘加密，把解密密钥封存在芯片中，硬盘被拆走也无法解密。它还用于安全启动、Windows Hello生物识别的凭据保护，以及企业设备的身份认证。Windows 11把TPM 2.0列为系统安装的硬性要求，使这颗芯片进入大众视野。

常见问题

问：独立TPM和固件fTPM哪个更好？答：功能上都符合TPM 2.0标准，可满足Windows 11要求。独立芯片物理隔离更彻底，fTPM则免费集成在CPU中、无需额外硬件，普通用户使用fTPM即可。

问：没有TPM能装Windows 11吗？答：官方要求TPM 2.0，但多数近几年的主板可在BIOS中开启fTPM或PTT来满足条件，老平台则需借助非官方方式绕过，存在一定风险。