可信平台模块(TPM)

可信平台模块(Trusted Platform Module,TPM)是一种符合国际标准的安全加密处理器,通常以独立芯片形式焊接在计算机主板上,用于安全地生成、存储和使用加密密钥,并度量系统启动过程的完整性,充当硬件级的信任根。

概述

TPM 由可信计算组织(TCG)制定规范,目前主流版本为 TPM 2.0。它内置随机数发生器、非易失性存储和加密引擎,能在硬件隔离环境中执行敏感操作,使密钥永不以明文离开芯片。Windows 11 将 TPM 2.0 列为硬件安装门槛,许多企业设备也依赖它做加密与认证。TPM 可以是独立物理芯片,也可以固化在 CPU 固件中(fTPM)。

核心原理

TPM 的安全能力建立在几个关键机制上:

• 平台配置寄存器(PCR):记录启动过程中各阶段固件和引导程序的度量哈希,任何篡改都会改变 PCR 值。
• 密钥层级:以芯片内固化的背书密钥(EK)和存储根密钥(SRK)为根,派生出各类应用密钥。
• 密封(Sealing):将数据加密绑定到特定 PCR 状态,只有系统处于可信状态时才能解封。
• 远程证明:向验证方证明本机启动链未被篡改。

应用场景

TPM 广泛用于磁盘加密(如 BitLocker 用它保管卷密钥,开机自动解锁而无需用户输密码)、安全启动的信任锚点、设备身份证书存储、以及企业零信任架构中的设备健康度量。它也被用于防止密钥被恶意软件从内存中窃取。

常见问题

问:没有 TPM 芯片就不能加密硬盘吗?答:不是。软件加密可用口令作为密钥来源,但没有 TPM 就缺少硬件保护和无感解锁,口令一旦被暴力破解或键盘记录窃取,加密即被突破。

问:TPM 和 HSM 有什么区别?答:两者都是硬件安全模块,但 TPM 面向单台终端、成本低、侧重平台完整性;HSM 是高性能服务器级设备,面向大规模密钥管理和加解密运算。