Glosario
Módulo de plataforma segura (TPM)
Chip de seguridad de hardware que genera y protege claves, registra mediciones del arranque y sirve de anclaje a BitLocker, Windows Hello y la atestación.
Un módulo de plataforma segura (Trusted Platform Module) es un criptoprocesador seguro, ya sea un chip discreto o firmware que se ejecuta en una zona protegida de la CPU, que crea y almacena claves criptográficas de forma que no puedan exportarse. También contiene registros de configuración de plataforma (PCR) que registran las mediciones del firmware y de los componentes de arranque durante el inicio. Las claves pueden sellarse con un conjunto de valores de PCR, de modo que solo se liberan cuando el dispositivo arranca en un estado conocido y correcto. TPM 2.0 es un requisito de Windows 11, y su estado puede comprobarse con tpm.msc o Get-Tpm.
El TPM es la raíz de confianza de muchas protecciones de Windows: BitLocker sella en él la clave del volumen, Windows Hello para empresas almacena en él su clave privada, Credential Guard puede usarlo para proteger sus claves y la atestación de estado del dispositivo lee sus mediciones. Un TPM por sí solo no impide que un atacante con acceso físico intercepte parte del tráfico del bus, por lo que los dispositivos de alto riesgo deben combinarlo con un PIN previo al arranque. Mantenga actualizado el firmware del TPM, porque vulnerabilidades pasadas afectaron a la generación de claves.
Consulte BitLocker con TPM y PIN y Protección del arranque seguro y UEFI.