TPM 可信平台模块

TPM 可信平台模块是一套用于生成、保存和使用加密密钥，并帮助计算机验证软硬件状态的安全技术。

概述

TPM 的英文全称是 Trusted Platform Module，其规范由可信计算组织制定。它可以作为主板上的独立安全芯片，也可以通过处理器固件实现；在服务器和云环境中，还可能以虚拟 TPM 的形式提供。

与普通存储不同，TPM 会尽量让私钥等敏感数据留在受保护环境中，并通过硬件或固件完成相关密码运算。操作系统可利用它保护磁盘加密密钥、登录凭据和设备证书，从而降低密钥被直接复制或离线窃取的风险。

核心功能

• 密钥保护：生成并保存加密密钥，限制密钥只能在满足指定条件时使用。
• 平台度量：记录启动固件、引导程序和系统组件的度量值，用于判断设备状态是否符合预期。
• 启动保护：配合安全启动、磁盘加密等机制，在启动环境被修改时要求额外验证。
• 设备身份：支持证书、设备认证和远程证明，便于企业确认接入设备的可信状态。

版本与应用

常见规范包括 TPM 1.2 和 TPM 2.0，二者在算法支持、接口及管理方式上存在差异，不能简单视为完全兼容。现代个人电脑通常使用 TPM 2.0，Windows 的 BitLocker、Windows Hello 以及部分企业安全方案都可调用 TPM。TPM 能增强密钥安全，但不能替代及时更新、强密码和数据备份。

常见问题

问：TPM 是必须安装的独立芯片吗？答：不一定。它既可能是独立芯片，也可能由处理器固件实现，具体取决于设备平台。

问：清除 TPM 会删除硬盘数据吗？答：通常不会直接擦除硬盘，但会移除其中保存的密钥，可能导致加密数据或登录凭据无法使用，操作前应备份恢复密钥。

问：TPM 能防止所有攻击吗？答：不能。它主要保护密钥并协助验证平台状态，仍需与安全启动、系统补丁、访问控制和备份共同使用。