TPM (Trusted Platform Module)

Depuis Windows 11, le sigle TPM est connu de nombreux services informatiques : sans TPM 2.0, le système d'exploitation ne peut officiellement pas être installé. Mais cette petite puce de sécurité ne protège pas seulement au démarrage. Elle gère des clés de chiffrement – et joue donc aussi un rôle lors de la mise hors service.

Structure et fonctionnement

Le TPM est un processeur cryptographique autonome doté d'une mémoire protégée. Il existe sous la forme d'une puce distincte sur la carte mère, d'une fonction du processeur (TPM firmware, par exemple Intel PTT ou AMD fTPM) ou, dans les serveurs, d'un module enfichable. La spécification émane du Trusted Computing Group ; la version 2.0 est en outre publiée comme norme internationale ISO/IEC 11889.

Fonction	À quoi il sert
Stockage de clés	Protège les clés, par exemple celles de BitLocker, contre toute extraction
Mesure du démarrage du système	Détecte les manipulations du firmware et du chargeur d'amorçage
Nombres aléatoires	Fournit des valeurs aléatoires pour les procédés cryptographiques
Attestation	Prouve aux services qu'un appareil se trouve dans un état de confiance
Protection de l'authentification	Lie les identifiants tels que le code PIN ou la reconnaissance faciale à l'appareil

TPM 1.2 et TPM 2.0

Le TPM 1.2 a longtemps été la norme, mais ne prend en charge que d'anciens procédés comme SHA-1. Le TPM 2.0 autorise des algorithmes plus modernes et davantage de flexibilité. Windows 11 exige le TPM 2.0. De nombreux appareils qui ne le satisfont pas sont mis hors service avec la fin du support de Windows 10. Plus d'informations dans l'article Vendre des PC d'occasion à la fin de Windows 10 et dans l'entrée End of Support.

Points à respecter lors de la mise au rebut

• Chiffrement : Si BitLocker est actif, le TPM détient la clé. Si le disque dur est installé dans un autre appareil, il est illisible sans la clé de récupération.
• Réinitialisation du TPM : Lors de l'effacement du TPM, toutes les clés qui y sont stockées sont perdues. Les données protégées uniquement par ces clés ne peuvent ensuite plus être déchiffrées.
• Ne remplace pas l'effacement des données : La réinitialisation du TPM n'est pas une méthode d'effacement documentée. Le support de données lui-même doit être effacé.
• Verrous du firmware : Un Mot de passe BIOS activé empêche souvent la réinitialisation et réduit la valeur de revente.
• Enregistrement de l'appareil : Pour les appareils dans Windows Autopilot l'identifiant matériel est enregistré. Il doit être supprimé avant la vente.

TPM et Second IT

Second IT efface les supports de données des PC et ordinateurs portables par voie logicielle avec Blancco, indépendamment du chiffrement, et délivre pour chaque appareil un certificat d'effacement signé numériquement. Lors du reconditionnement, les appareils sont équipés d'un système d'exploitation à jour. Plus d'informations sur suppression des données certifiée.

Questions fréquentes sur le TPM

Comment savoir si mon PC dispose du TPM 2.0 ?

Sous Windows, avec la commande « tpm.msc ». Elle affiche l'état et la version de la spécification. Sur certains appareils, le TPM doit d'abord être activé dans les paramètres du firmware.

Peut-on ajouter le TPM 2.0 après coup ?

Sur certaines cartes mères, au moyen d'un module enfichable ou en activant le TPM firmware. Sur de nombreux anciens ordinateurs portables, ce n'est pas possible. Le remplacement de l'appareil est alors la règle.

Les données du disque dur sont-elles perdues lors de la réinitialisation du TPM ?

Les données restent physiquement sur le support de données. Si elles étaient chiffrées avec une clé issue du TPM et que la clé de récupération manque, elles ne sont ensuite plus lisibles. Les données non chiffrées restent lisibles.

Quelle est la différence entre le TPM 1.2 et le TPM 2.0 ?

Le TPM 1.2 ne prend en charge que d'anciens procédés comme SHA-1. Le TPM 2.0 autorise des algorithmes plus modernes et davantage de flexibilité. Windows 11 exige le TPM 2.0, ce qui explique que de nombreux anciens appareils soient mis hors service avec la fin du support de Windows 10.

La réinitialisation du TPM remplace-t-elle l'effacement des données ?

Non. La réinitialisation du TPM n'est pas une méthode d'effacement documentée. Le support de données lui-même doit être effacé. Avant la transmission d'un appareil, l'effacement des données, la réinitialisation du TPM et la suppression des verrous vont de pair.