Waarom je een TPM in je laptop wil
TPM staat voor Trusted Platform Module. De chip is een essentieel onderdeel voor de beveiliging van je computer. Een TPM wordt hoofdzakelijk gebruikt in combinatie met software voor schrijf-encryptie zoals Bitlocker, of authenticatiesystemen zoals Windows Hello. Beide voorbeelden functioneren ook zonder TPM, maar de aanwezigheid van de chip maakt de beveiligingsoplossingen efficiënter.
Dat komt omdat de TPM een afzonderlijke chip op je moederbord is. Beveiligingssoftware zoals Bitlocker kan gegevens naar de chip wegschrijven. In casu versleutelt Bitlocker de gegevens op je harde schijf of SSD met een encryptiesleutel. Zonder die sleutel gaan je gegevens verloren. Het is natuurlijk niet veilig om die sleutel op je harde schijf zelf weg te schrijven, aangezien iedereen met administratorprivileges of fysieke toegang tot de HDD de beveiliging zo kan omzeilen. De lange en complexe sleutel zelf onthouden is evenmin een goede oplossing. Daarom schrijft Bitlocker de sleutel weg naar de TPM.
Hetzelfde gebeurt met Windows Hello. Als er een Trusted Platform Module beschikbaar is, zal de functie voor biometrisch aanmelden die in Windows zit ingebakken de aanmeldgegevens naar de chip wegschrijven. Zo worden ze opnieuw buiten het bereik van hackers bewaard.
Veilige bunker
De TPM zelf geeft de nodige complexe beveiligingsinformatie aan je besturingssysteem wanneer dat er om vraagt. In het geval van Bitlocker kan je zo je harde schijf beveiligen met een eenvoudige pincode. Die pincode is niet de échte encryptiesleutel, maar dient alleen om het signaal aan de Trusted Platform Module te geven dat die de encryptiesleutel mag vrijgeven. Een gelijkaardig scenario geldt bij biometrische beveiliging, waar aanmelden opnieuw erg eenvoudig is omdat gevoelige gegevens veilig op een afzonderlijke chip staan.
Een hacker of administrator kan niet zomaar aan de TPM, en wie fysiek toegang heeft tot een computer kan de versleuteling of beveiliging evenmin omzeilen. De chip is immers speciaal ontwikkeld om gefoefel de detecteren. Een crimineel kan de TPM dus (in theorie) niet van het moederbord halen in een poging zo aan de gegevens er op te raken.
De veilige omgeving van een Trusted Platform Module kan eveneens ingezet worden om de authenticiteit van software op je pc na te gaan. De Trusted Platform Module heeft zijn eigen microprocessor aan boord en kan de integriteit van bijvoorbeeld de Bios-software op je moederbord nakijken. Zo wordt het virtueel onmogelijk voor hackers om je systeem te kraken en een malafide Bios te installeren of je besturingssysteem subtiel aan te passen tijdens het opstarten.. Zo biedt een TPM-chip een alternatief voor de UEFI Secure Boot.
Automatisch aanwezig
Een TPM-chip is vandaag op zowat alle professionele laptops aanwezig. Ook Chromebooks hebben een TPM aan boord. De huidige standaard voor de chip is versie 2.0. Die is niet achterwaarde compatibel met het oudere TPM 1.2. TPM 2.0 gebruikt modernere encryptie-algoritmes en is zo veiliger. Bovendien kunnen fabrikanten een TPM 2.0 eenvoudiger in hun hardware integreren.
In de praktijk moet je niet te veel wakker liggen van TPM-chips. Wanneer je een zakelijke laptop wil die optimaal beveiligd is, moet je even nakijken of de chip in de pc aanwezig is. Normaal gezien is dat het geval, en krijg je automatisch toegang tot de beveiligingsvoordelen die daaraan gekoppeld zijn.
Windows 11
Met de lancering van Windows 11 zijn TPM-chips nog meer in het vizier geraakt. Microsoft eist namelijk dat je model TPM 2.0 aan boord heeft. In eerste instantie was een TPM 1.2 met 1GHz-dualcoreprocessor voldoende maar het bedrijf kwam terug op die richtlijnen. Microsoft heeft nu bevestigd dat je TPM 2.0 nodig hebt om Windows 11 op je laptop te kunnen draaien.
