สิ่งที่ TPM ทำจริง ๆ ใน Windows 11 — นอกเหนือจากการเป็นกล่องตรวจสอบข้อกำหนดของระบบ

จำได้ไหมสมัยก่อน เมื่อไมโครซอฟท์ประกาศครั้งแรกว่า Windows 11 ต้องการสิ่งที่เรียกว่า TPM 2.0? ฉันจำความโกรธแค้นรวมกันจากชุมชนเทคโนโลยีได้ดีเลย

แต่ไม่จริงนักเพราะผู้คนรู้สึกเป็นพิเศษเกี่ยวกับ Trusted Platform Modules นั่นจะค่อนข้างแปลก มันมุ่งไปที่ Microsoft ที่ตัดสินใจทันทีว่าระบบปฏิบัติการใหม่ของบริษัทต้องใช้เทคโนโลยีนี้ซึ่งไม่มีใครเคยได้ยินมาก่อน และคำอธิบายของบริษัทคือ "คุณต้องการสิ่งนี้"

มันไม่ใช่ข้อความที่ดีนัก และตอนนี้มันก็ยังไม่ยอดเยี่ยม เพราะ TPM กำลังทำงานมากกว่าที่คุณคิดในระบบของคุณ — และมันน่าสนใจกว่าที่ Microsoft ให้เราคิดมากนัก

ไมโครซอฟท์อธิบายว่า TPM คืออะไรได้แย่มาก

ซึ่งน่าเสียดาย เพราะมันกำลังทำงานได้ดีมาก

การเปิดตัว Windows 11 ถือว่า TPM 2.0 เป็นข้อกำหนดในการปฏิบัติตาม สำหรับคนส่วนใหญ่ TPM เป็นเพียงกล่องให้ติ๊กหรือเกณฑ์ฮาร์ดแวร์ที่ Microsoft กำหนดดูเหมือนจะโดยอ้างอิงแบบสุ่ม... ซึ่งหมายความว่าเครื่องที่ใช้งานได้จำนวนมากจะถูกส่งไปยังกองขยะ

Trusted Platform Modules ได้แอบอยู่บนเมนบอร์ดของคุณมาหลายปีแล้ว TPM เป็นชิปความปลอดภัยเฉพาะทางที่ฝังอยู่ในเฟิร์มแวร์ของเมนบอร์ดของคุณ (fTPM) หรือเป็นโมดูลเฉพาะ และบทบาทหลักของมันคือจัดการการทำงานเข้ารหัสบนคอมพิวเตอร์ของคุณ แต่แยกจาก CPU และระบบปฏิบัติการของคุณ

ผมหมายถึงว่า TPM และระบบปฏิบัติการของคุณมีการโต้ตอบกัน เพราะนั่นคือส่วนหนึ่งของวัตถุประสงค์ในการมีอยู่ของมัน แต่ TPM จะให้โมดูลที่แยกออกมาและปลอดภัยสำหรับกุญแจเข้ารหัส ข้อมูลรับรองการตรวจสอบตัวตน การตรวจสอบความสมบูรณ์ของแพลตฟอร์ม และอื่น ๆ (เช่น Windows Hello) ซึ่งยังหมายความว่าข้อมูลที่สำคัญและละเอียดอ่อนมากนี้ไม่ได้ลอยอยู่ในหน่วยความจำของคอมพิวเตอร์ของคุณเพียงอย่างเดียว ซึ่งอาจเป็นอันตรายและเสี่ยงต่อการโจมตี

TPM 1.2 เทียบกับ TPM 2.0

ความวุ่นวายเกี่ยวกับ TPM ใน Windows 11 ถูกทำให้ยิ่งน่าหงุดหงิดขึ้นโดยการสื่อสารที่แย่ของ Microsoft คอมพิวเตอร์จำนวนมากที่ถูกเรียกว่า "ไม่รองรับ" จริง ๆ แล้วมี TPM แต่เป็นเวอร์ชันเก่า: TPM 1.2 Microsoft แค่ต้องการให้ Windows 11 ใช้เวอร์ชันใหม่กว่า TPM 2.0 ซึ่งนำอัลกอริธึมการเข้ารหัสที่แข็งแรงและทันสมัยมากขึ้น และการออกแบบที่ยืดหยุ่นมากขึ้น

โดยพื้นฐานแล้วมันหมายความว่ามีผู้คนจำนวนมากถูกบอกว่าเครื่อง Windows 10 ที่ค่อนข้างเก่าของพวกเขาไม่เหมาะสมกับการใช้งาน ในความเป็นจริง มันมากกว่าที่จะบอกว่า “ชิปความปลอดภัยของคุณเก่าเล็กน้อย” ซึ่งเป็นความแตกต่างที่ใหญ่

หากคุณไม่แน่ใจว่าคุณมีอะไรอยู่ จะใช้เวลาประมาณสิบวินาทีในการตรวจสอบ กด Win + R พิมพ์ tpm.msc แล้วกด Enter หน้าต่างที่ปรากฏจะแจ้งว่ามี TPM อยู่หรือไม่ และกำลังรันเวอร์ชันสเปกใด

รหัสผ่านและกุญแจเข้ารหัสของคุณต้องอยู่ที่ใดสักแห่ง

ทำไมไม่ใช้ TPM?

นี่คือเรื่องที่คนส่วนใหญ่ไม่คิดถึงเมื่อพวกเขาเปิดใช้ BitLocker หรือเปิดใช้ Windows Hello: ฟีเจอร์เหล่านั้นไม่ได้ทำงานโดยเวทมนตร์จริง ๆ ผมหมายถึง มันรู้สึกเหมือนเวทมนตร์ แต่ทั้งหมดนั้นคือการเข้ารหัสของระบบ พวกมันจำเป็นต้องมีที่เก็บกุญแจเข้ารหัส — และที่อยู่ของกุญแจเหล่านั้นมีผลอย่างมากต่อความปลอดภัยจริงของพวกมัน

BitLocker ยังคงทำงานได้โดยไม่ต้องใช้ TPM ให้ชัดเจน อย่างไรก็ตาม BitLocker จะเก็บกุญแจการเข้ารหัสของมันในซอฟต์แวร์ ซึ่งหมายความว่ามันสามารถถูกดึงออกจากหน่วยความจำโดยผู้โจมตีที่เข้าถึงเครื่องของคุณและมีทักษะเพียงพอได้

TPM ทำให้เกิดความแตกต่างที่นี่เพราะแทนที่จะใช้การทำงานของซอฟต์แวร์ BitLocker จะเก็บกุญแจไว้ในชิปเอง ซึ่งทำให้การดึงข้อมูลออกมาทำได้ยากขึ้นมาก ยังไม่รวมถึงว่าทั้งสองกรณี ผู้โจมตีต้องสามารถเข้าถึงเครื่องของคุณ ทำให้โดยรวมยากขึ้น

นั่นหมายความว่าข้อมูลถูกล็อกไว้ที่ชิป TPM และไม่สามารถสลับออกได้

นี่ก็เป็นสาเหตุที่ Windows Hello ใช้งานได้จริง

ปลอดภัยกว่าที่คุณคิดมาก

เป็นเวลานานผมคิดว่า Windows Hello เป็นฟีเจอร์ความสะดวกสำหรับการเข้าสู่ระบบที่เร็วขึ้น พร้อมกับมีความปลอดภัยเพิ่มเติมเล็กน้อย แต่ปรากฏว่าผมคิดผิดโดยสิ้นเชิง และ Windows Hello เป็นระบบที่ปลอดภัยกว่าที่ผมเคยให้เครดิตไว้อย่างมาก

ข้อโต้แย้งหลักของฉันกับ Hello คือ รหัส PIN พื้นฐานที่มี 4 ถึง 6 หลักรู้สึกไม่ปลอดภัยกว่ารหัสผ่านที่ซับซ้อน ในแง่ของแนวทางการรักษาความปลอดภัยโดยทั่วไป มันก็เป็นเช่นนั้น; คุณคงไม่ปกป้องอีเมลของคุณด้วย 123456 แน่นอน

แต่ความแตกต่างกับ Windows Hello คือเนื่องจากรหัส PIN ถูกผูกกับ TPM จึงไม่สามารถใช้บนอุปกรณ์อื่นได้ มันถูกล็อกไว้กับเครื่องของคุณ กับฮาร์ดแวร์นั้น ซึ่งหมายความว่าถ้าแม้ใครบางคนสามารถขโมยมันไปได้หรือคุณถูกฟิชชิง พวกเขาก็ไม่สามารถย้ายไปยังเครื่องอื่นแล้วล็อกอินเข้าสู่บัญชี Microsoft ของคุณได้

ทั้งหมดนี้รู้สึกมองไม่เห็นด้วยเหตุผลที่ดี

แต่ตรวจสอบให้แน่ใจว่ามันเปิดอยู่!

มันทำงานได้นี่ไง เพราะแบบนั้น เมื่อฟีเจอร์อย่าง Trusted Module Platform ทำงานได้ ทุกอย่างก็เข้าที่เข้าทางอย่างดี และทุกอย่างก็เดินหน้าไปได้โดยไม่มีปัญหา

ยังมีเหตุผลอื่นๆ ด้วย ตัวอย่างเช่น TPM ไม่มีแดชบอร์ดที่เป็นมิตรที่คุณสามารถตรวจสอบข้อมูลที่มันเก็บอยู่ในปัจจุบัน และคุณก็ไม่ได้มีปฏิสัมพันธ์โดยตรงกับ TPM จริงๆ อย่างน้อยก็ไม่ใช่นอกเหนือจากการเปิดใช้งาน Windows Hello หรือการเปิดใช้งาน BitLocker

ในเรื่องนั้น ฉันสามารถเข้าใจได้ว่าทำไม Microsoft ถึงไม่ค่อยสนใจที่จะอธิบายเกี่ยวกับ TPM มากนัก มันเป็นสิ่งที่ทำงานอยู่เบื้องหลัง ไม่ต้องการการดูแลรักษา และทำงานของมันไปโดยอัตโนมัติ น่าเสียดายที่นี่เป็นสาเหตุให้ TPM ถูกมองใหม่ว่าเป็นความยุ่งยากที่น่าสงสัยซึ่งออกแบบมาเพื่อผลักดันให้ผู้คนซื้อคอมพิวเตอร์และแล็ปท็อปใหม่ที่แพงขึ้นและเข้ากันได้ โดยเฉพาะหลังจากที่มีข้อมูลปรากฏว่า Windows 11 สามารถทำงานได้ดีโดยไม่มี TPM 2.0

และเพื่อความยุติธรรม สิ่งบางอย่างที่ TPM สามารถทำได้นั้นไม่ได้มุ่งเป้าไปที่คนอย่างพวกเราเลย ฟีเจอร์ต่าง ๆ เช่น การบูตแบบวัดค่า ซึ่งเซิร์ฟเวอร์จะตรวจสอบบันทึกการบูตของคุณและตัดสินว่าเครื่องของคุณมีความปลอดภัยเพียงพอที่จะเข้าถึงข้อมูลที่ละเอียดอ่อนหรือไม่ เป็นเรื่องขององค์กร แต่แค่ฟีเจอร์ BitLocker และ Windows Hello ก็มีค่ามากกว่าที่คนส่วนใหญ่ให้เครดิตกับ TPM เสียอีก