TPM (Trusted Platform Module)

Sinds Windows 11 kennen veel IT-afdelingen de afkorting TPM: zonder TPM 2.0 kan het besturingssysteem officieel niet worden geïnstalleerd. Maar de kleine beveiligingschip beschermt niet alleen bij het opstarten. Hij beheert sleutels voor versleuteling – en speelt daarom ook een rol bij het uitfaseren.

Opbouw en werking

De TPM is een zelfstandige cryptoprocessor met beveiligd geheugen. Hij bestaat als aparte chip op het moederbord, als functie in de processor (firmware-TPM, zoals Intel PTT of AMD fTPM) of in servers als insteekmodule. De specificatie is afkomstig van de Trusted Computing Group; versie 2.0 is bovendien gepubliceerd als internationale norm ISO/IEC 11889.

Functie	Waar het voor dient
Sleutelopslag	Beschermt sleutels, bijvoorbeeld voor BitLocker, tegen uitlezen
Meting van het opstarten van het systeem	Detecteert manipulaties aan firmware en bootloader
Willekeurige getallen	Levert willekeurige waarden voor cryptografische procedés
Attestatie	Toont aan diensten aan dat een apparaat zich in een betrouwbare staat bevindt
Aanmeldbeveiliging	Koppelt inloggegevens zoals pincode of gezichtsherkenning aan het apparaat

TPM 1.2 en TPM 2.0

TPM 1.2 was lange tijd de standaard, maar ondersteunt alleen oudere procedés zoals SHA-1. TPM 2.0 maakt modernere algoritmen en meer flexibiliteit mogelijk. Windows 11 vereist TPM 2.0. Veel apparaten die hier niet aan voldoen, worden uitgefaseerd met het einde van de ondersteuning voor Windows 10. Meer hierover in het artikel Gebruikte pc's verkopen bij het einde van Windows 10 en in het item End of Support.

Waar u op moet letten bij het afvoeren

• Versleuteling: Als BitLocker actief is, bewaart de TPM de sleutel. Wordt de harde schijf in een ander apparaat geplaatst, dan is deze zonder herstelsleutel niet leesbaar.
• TPM resetten: Bij het wissen van de TPM gaan alle daarin opgeslagen sleutels verloren. Gegevens die alleen daarmee waren beveiligd, zijn daarna niet meer te ontsleutelen.
• Geen vervanging voor gegevensverwijdering: Het resetten van de TPM is geen gedocumenteerde wismethode. De gegevensdrager zelf moet worden gewist.
• Firmwarevergrendelingen: Een ingesteld BIOS-wachtwoord voorkomt vaak het resetten en verlaagt de wederverkoopwaarde.
• Apparaatregistratie: Bij apparaten in Windows Autopilot is de hardware-ID geregistreerd. Deze moet vóór de verkoop worden verwijderd.

TPM en Second IT

Second IT wist gegevensdragers uit pc's en notebooks softwarematig met Blancco, onafhankelijk van de versleuteling, en stelt voor elk apparaat een digitaal ondertekend wiscertificaat uit. Bij de refurbishment worden apparaten voorzien van een actueel besturingssysteem. Meer over gecertificeerde gegevensvernietiging.

Veelgestelde vragen over de TPM

Hoe kom ik erachter of mijn pc TPM 2.0 heeft?

In Windows met de opdracht "tpm.msc". Daar staan de status en de specificatieversie. Bij sommige apparaten moet de TPM eerst in de firmware-instellingen worden geactiveerd.

Kan TPM 2.0 worden achteraf toegevoegd?

Bij sommige moederborden via een insteekmodule of door de firmware-TPM te activeren. Bij veel oudere notebooks is dat niet mogelijk. Dan is vervanging van het apparaat de regel.

Gaan bij een TPM-reset de gegevens op de harde schijf verloren?

De gegevens blijven fysiek op de gegevensdrager staan. Waren ze versleuteld met een sleutel uit de TPM en ontbreekt de herstelsleutel, dan zijn ze daarna niet meer leesbaar. Onversleutelde gegevens blijven leesbaar.

Wat is het verschil tussen TPM 1.2 en TPM 2.0?

TPM 1.2 ondersteunt alleen oudere procedés zoals SHA-1. TPM 2.0 maakt modernere algoritmen en meer flexibiliteit mogelijk. Windows 11 vereist TPM 2.0, daarom worden veel oudere apparaten uitgefaseerd met het einde van de ondersteuning voor Windows 10.

Vervangt het resetten van de TPM de gegevensverwijdering?

Nee. Het resetten van de TPM is geen gedocumenteerde wismethode. De gegevensdrager zelf moet worden gewist. Vóór het doorgeven horen gegevensverwijdering, TPM-reset en het verwijderen van vergrendelingen bij elkaar.