TPM

TPM — доверенный платформенный модуль, выполняющий криптографические операции и защищающий ключевой материал от прямого извлечения обычными средствами ОС. Он реализуется как дискретная микросхема, интегрированный компонент платформы либо firmware TPM, работающий в доверенной среде процессора или SoC. Модуль хранит ключи, сертификаты и значения PCR — регистров, в которые последовательно включаются хеши измеряемых компонентов загрузочной цепочки. Сведения об отдельных измерениях обычно находятся во внешнем журнале событий, а не в PCR. Политика доступа может разрешать использование ключа только при ожидаемом состоянии UEFI, загрузчика и других измеряемых компонентов. Возможности и совместимость зависят от версии TPM, прошивки и настроек UEFI. TPM применяют для контроля измеренной загрузки, аттестации состояния устройства, защиты ключей шифрования диска и аутентификации. При закупке проверяют наличие и версию TPM, возможность его включения, очистки и управления в корпоративной среде. TPM не является ни программой шифрования, ни Secure Boot: Secure Boot проверяет подписи загрузочных компонентов, а TPM может фиксировать их измерения и защищать связанные ключи. TPM снижает риск извлечения ключей, но не заменяет контроль физического доступа и управление учётными данными.