可信平台模块 TPM

可信平台模块（TPM）是一种为计算设备提供密钥保护、身份验证和启动完整性检查的安全模块及相关国际标准。

概述

TPM 的英文全称是 Trusted Platform Module，其规范由可信计算组织（TCG）制定，并被纳入 ISO/IEC 11889 国际标准。它通常以独立芯片、集成模块或固件形式存在于电脑和服务器中，为操作系统及安全软件提供受保护的密码学功能。

与普通软件存储相比，TPM 能将敏感密钥保存在相对隔离的环境中，降低密钥被直接复制或导出的风险。Windows、Linux 等操作系统可利用 TPM 支持磁盘加密、设备身份认证、安全启动和企业终端管理。

核心功能

• 密钥保护：生成或保存加密密钥，并限制密钥只能在符合条件的设备环境中使用。
• 启动度量：记录固件、引导程序及系统组件的状态，帮助发现启动链是否被异常修改。
• 平台认证：向本地或远程服务证明设备处于预期的软硬件状态。
• 数据密封：把数据与特定设备状态绑定，环境变化后可拒绝解密。
• 密码学支持：提供随机数、哈希、签名等安全操作，具体能力取决于版本和实现。

版本与实现形式

常见规范包括 TPM 1.2 和 TPM 2.0，后者支持更灵活的算法与授权机制，是现代设备的主流选择。TPM 可以是主板上的独立芯片，也可以集成到处理器、芯片组或可信执行环境中。不同实现的安全边界和抗物理攻击能力可能存在差异。

常见问题

问：TPM 会直接加密整个硬盘吗？答：不会。TPM 通常负责保护解锁密钥，实际数据加密由 BitLocker 等磁盘加密软件完成。

问：没有独立 TPM 芯片就无法使用 TPM 吗？答：不一定。部分设备提供固件 TPM 或处理器集成方案，操作系统也可能将其识别为可用 TPM。

问：清除 TPM 会有什么影响？答：清除操作会移除其中保存的密钥和授权信息，可能导致加密数据无法解锁，因此应先备份恢复密钥。