Wat is TPM 2.0? Zo beveiligt de chip je Windows-pc

TPM staat voor Trusted Platform Module. De technologie ontstond aan het begin van deze eeuw binnen de Trusted Computing Group, een samenwerkingsverband van technologiebedrijven dat werkte aan een uniforme standaard voor hardwarematige beveiliging. Het doel was om gevoelige sleutels en metingen van de systeemintegriteit buiten het bereik van gewone software te bewaren, zodat malware er minder gemakkelijk bij kan.

De eerste TPM-uitvoeringen waren losse chips op het moederbord. Zo'n discrete TPM, ook wel dTPM genoemd, voerde cryptografische taken uit, zoals het genereren en veilig opslaan van sleutels en het berekenen van hashes. Bij hashing wordt data omgezet in een unieke controlewaarde, waarmee kan worden gecontroleerd of gegevens zijn gewijzigd.

TPM 1.2 groeide uit tot een veelgebruikte standaard, maar kende duidelijke beperkingen. De ondersteuning voor cryptografische algoritmen was relatief beperkt. Zo werkte TPM 1.2 vooral met RSA en SHA-1, terwijl modernere technieken zoals ECC en SHA-256 niet standaard breed beschikbaar waren. Ook bood deze versie minder flexibiliteit bij het beheren en gebruiken van sleutels.

Met TPM 2.0, dat rond 2014 werd geïntroduceerd, veranderde de architectuur ingrijpend. De nieuwe standaard ondersteunt modernere cryptografie, flexibeler sleutelbeheer en meer verschillende beveiligingstoepassingen. Het verschil tussen TPM 1.2 en TPM 2.0 zit daardoor niet alleen in sterkere algoritmen, maar ook in de veel ruimere manier waarop beveiligingsbeleid en sleutelgebruik kunnen worden ingericht.

Ook de implementatie van TPM veranderde. Waar vroeger meestal een afzonderlijke chip werd gebruikt, zit TPM tegenwoordig vaak in de firmware of processor geïntegreerd. Intel noemt zijn variant Platform Trust Technology, oftewel PTT. AMD gebruikt de naam fTPM. Microsoft ontwikkelde daarnaast Pluton, een beveiligingsprocessor die rechtstreeks in sommige cpu's is geïntegreerd en nauwer samenwerkt met Windows.

Het belangrijkste verschil tussen dTPM en fTPM is dat een discrete TPM een afzonderlijke chip gebruikt, terwijl een firmware-TPM binnen de beveiligde firmware van de processor of chipset draait. Virtuele machines kunnen gebruikmaken van een virtuele TPM, meestal aangeduid als vTPM.

TPM is geen klassieke beveiligingstool die actief virussen opspoort. Het is beter te zien als een hardwarematig vertrouwensanker, ook wel een root of trust genoemd. Tijdens het opstarten meet het systeem belangrijke onderdelen, zoals de firmware, de bootloader en bepaalde configuraties. Die metingen worden opgeslagen in zogeheten Platform Configuration Registers, of PCR's.

Aan cryptografische sleutels kunnen voorwaarden worden gekoppeld. Een sleutel wordt dan alleen vrijgegeven als de gemeten systeemomgeving overeenkomt met de verwachte toestand. Is de opstartomgeving onverwacht gewijzigd, dan kan de TPM weigeren de sleutel beschikbaar te stellen.

TPM vormt niet rechtstreeks de basis van Secure Boot. Secure Boot controleert met digitale handtekeningen of alleen vertrouwde opstartsoftware wordt geladen. TPM kan daarnaast metingen van het opstartproces vastleggen en controleren of de systeemomgeving is veranderd. De twee technieken werken dus naast elkaar en kunnen elkaar versterken, maar hebben ieder een eigen functie.

TPM speelt een belangrijke rol bij BitLocker. De combinatie van TPM en BitLocker maakt het mogelijk om een versleutelde schijf automatisch te ontgrendelen zolang de gemeten opstartomgeving niet onverwacht verandert. Wordt bijvoorbeeld de firmware aangepast of verandert de hardwareconfiguratie op een verdachte manier, dan kan BitLocker om een herstelcode vragen.

Ook Windows Hello maakt gebruik van hardwarematige sleutelbescherming. In plaats van alleen een wachtwoord op te slaan, werkt Windows Hello met cryptografische sleutels die aan het apparaat zijn gekoppeld. De privésleutel kan door TPM worden beschermd en hoeft het apparaat niet te verlaten.

TPM kan daarnaast een rol spelen bij toegangssleutels, oftewel passkeys. Niet iedere passkey wordt uitsluitend in TPM opgeslagen. Platformgebonden toegangssleutels kunnen hun privésleutel wel door TPM laten beschermen, terwijl gesynchroniseerde passkeys ook via een account of cloudomgeving beschikbaar kunnen zijn.

Veel pc's die in de afgelopen tien jaar zijn uitgebracht, beschikken over TPM 2.0 of een firmwarevariant. Dat geldt echter niet zonder uitzondering. Vooral bij oudere systemen, zelfgebouwde pc's en bepaalde moederborden kan TPM ontbreken, uitgeschakeld zijn of alleen als optionele module beschikbaar zijn.

Bij pc's waarop Windows 11 officieel is geïnstalleerd, is TPM 2.0 normaal gesproken aanwezig en ingeschakeld. Microsoft stelt TPM 2.0 namelijk als systeemeis. Die controle is met hulpmiddelen zoals Rufus soms te omzeilen, maar een installatie zonder officiële ondersteuning kan beperkingen opleveren.

Je kunt in Windows op drie manieren controleren of TPM aanwezig en actief is. Open eerst de app Windows-beveiliging en ga naar Apparaatbeveiliging. Verschijnt daar het onderdeel Beveiligingsprocessor, dan heeft het systeem een werkende TPM-implementatie.

Een tweede methode is tpm.msc. Druk op Windows-toets+R, typ tpm.msc en druk op Enter. In het venster dat verschijnt, zie je of TPM gereed is voor gebruik. Ook vind je daar informatie over de specificatieversie, de fabrikant en de firmwareversie. Bij specificatieversie hoort in een modern systeem meestal 2.0 te staan.

De derde mogelijkheid is PowerShell. Start PowerShell als administrator en voer het commando Get-Tpm uit. Windows toont dan onder meer of TPM aanwezig, ingeschakeld en gereed voor gebruik is.

Is TPM niet actief, dan kun je TPM inschakelen via het UEFI- of BIOS-menu van de computer. Zoek daar naar termen als TPM, Security Device, Intel PTT, AMD fTPM of Firmware TPM. De precieze benaming verschilt per fabrikant en moederbord.

Het wissen van TPM is iets anders dan TPM inschakelen of uitschakelen. Bij TPM wissen worden opgeslagen sleutels en beveiligingsgegevens verwijderd. Daardoor kunnen BitLocker, Windows Hello en platformgebonden toegangssleutels opnieuw moeten worden ingesteld. Maak daarom altijd eerst een back-up van je BitLocker-herstelsleutel en controleer welke aanmeldmethoden aan TPM zijn gekoppeld.

TPM voegt een sterke beveiligingslaag toe, maar is geen allesomvattende oplossing. De module beschermt vooral cryptografische sleutels, apparaatidentiteiten en delen van de opstartketen. Alles wat buiten die functies valt, kan nog steeds kwetsbaar zijn.

TPM houdt bijvoorbeeld geen phishingmails tegen en voorkomt niet dat een gebruiker op een schadelijke koppeling klikt. Ook malware die actief wordt nadat Windows volledig is gestart, kan nog steeds schade aanrichten. Hetzelfde geldt voor gestolen sessies, kwetsbaarheden in software, zwakke wachtwoorden en aanvallen via het netwerk.

TPM is daarom één onderdeel van een bredere beveiligingsaanpak. Aanvullende maatregelen, zoals automatische updates, multifactorauthenticatie, antivirussoftware, betrouwbare back-ups en zorgvuldig gebruikersgedrag, blijven noodzakelijk.

Bij een firmware-TPM ben je bovendien afhankelijk van de implementatie van de processor- of moederbordfabrikant. In het verleden zijn kwetsbaarheden ontdekt waarbij aanvallers via timingverschillen informatie over geheime sleutels konden achterhalen. Een bekend voorbeeld is TPM-FAIL uit 2019.

Dat betekent niet automatisch dat een discrete TPM altijd veiliger is. Een losse chip biedt wel meer fysieke scheiding, maar kan ook via de verbinding met het moederbord worden aangevallen. De werkelijke veiligheid hangt af van de implementatie, firmware-updates, apparaatconfiguratie en het type aanval waartegen je je wilt beschermen.

TPM is geen tijdelijke technologie, maar een structureel onderdeel van moderne pc-beveiliging. De rol van de module verschuift wel. Waar TPM vroeger vooral een onzichtbare chip op het moederbord was, vormt de technologie nu een basis voor schijfversleuteling, apparaatverificatie en wachtwoordloos aanmelden.

Voor gebruikers betekent dat vooral minder afhankelijkheid van traditionele wachtwoorden en meer beveiliging die automatisch op de achtergrond werkt. BitLocker kan gegevens beschermen wanneer een laptop wordt gestolen. Windows Hello maakt aanmelden mogelijk met een pincode, vingerafdruk of gezichtsherkenning, terwijl de onderliggende sleutel aan het apparaat gekoppeld blijft.

Geïntegreerde oplossingen zoals Microsoft Pluton brengen de beveiligingsprocessor nog dichter bij de cpu en het besturingssysteem. Daarmee moet het moeilijker worden om gegevens te onderscheppen via de verbinding tussen een losse beveiligingschip en het moederbord.

Concluderend: TPM werkt vooral op de achtergrond, maar speelt wel een belangrijke rol bij het beveiligen van je pc, je gegevens en je aanmeldgegevens. Daarmee vormt het een vast onderdeel van de beveiliging van moderne computers.