Glossaire
Module de plateforme sécurisée (TPM)
Puce de sécurité matérielle qui génère et protège des clés, enregistre les mesures de démarrage et sert d'ancrage à BitLocker, Windows Hello et l'attestation.
Un Trusted Platform Module est un cryptoprocesseur sécurisé, soit une puce dédiée, soit un firmware s'exécutant dans une zone protégée du processeur, qui crée et stocke des clés cryptographiques de façon à ce qu'elles ne puissent pas être exportées. Il contient aussi des registres de configuration de plateforme (PCR) qui enregistrent les mesures du firmware et des composants de démarrage pendant l'initialisation. Des clés peuvent être scellées à un ensemble de valeurs PCR, de sorte qu'elles ne sont libérées que si l'appareil démarre dans un état connu et sain. Le TPM 2.0 est obligatoire pour Windows 11, et son état se vérifie avec tpm.msc ou Get-Tpm.
Le TPM est la racine de confiance de nombreuses protections Windows : BitLocker y scelle la clé du volume, Windows Hello for Business y stocke sa clé privée, Credential Guard peut s'en servir pour protéger ses clés, et l'attestation d'intégrité de l'appareil lit ses mesures. Un TPM seul n'empêche pas un attaquant disposant d'un accès physique d'intercepter une partie du trafic sur le bus : les appareils à haut risque doivent donc le combiner avec un code PIN au prédémarrage. Maintenez le firmware du TPM à jour, car des vulnérabilités passées ont affecté la génération de clés.
Voir Durcir BitLocker : XTS-AES 256, TPM+PIN, dépôt des clés et Secure Boot, UEFI et les atténuations BlackLotus.