Microsoft แสดงเหตุผลว่าทำไม TPM และ Secure Boot จึงจำเป็นสำหรับ Windows 11

เมื่อกว่า 3 ปีที่แล้ว เมื่อ Microsoft ประกาศเปิดตัว Windows 11 ระบบปฏิบัติการดังกล่าวก็ก่อให้เกิดความขัดแย้งมากมายทันที ไม่เพียงแต่เพราะอินเทอร์เฟซที่ไม่ธรรมดาเท่านั้น แต่ยังรวมถึงความต้องการฮาร์ดแวร์ที่สูงอีกด้วย ซึ่งทำให้ระบบต่างๆ จำนวนมากยังคงมีความเป็นไปได้ที่จะไม่สามารถเรียกใช้ Windows 11 อย่างเป็นทางการได้ เช่น ในกรณีของ TPM และ Secure Boot

Microsoft ได้อธิบายซ้ำแล้วซ้ำเล่าว่าเหตุใดคุณสมบัติเช่น TPM (Trusted Platform Module) 2.0, VBS (Virtualization-based Security) และ Secure Boot จึงมีความสำคัญสำหรับพีซี Windows 11 Microsoft กำหนดให้พีซีของผู้ใช้รองรับคุณลักษณะเหล่านี้เพื่อใช้ Windows 11 ได้ เนื่องมาจากสิทธิประโยชน์ด้านความปลอดภัยที่ได้รับการปรับปรุงที่มอบให้ และได้เผยแพร่การสาธิตภาพเพื่ออธิบายการทำงานของคุณลักษณะเหล่านี้ได้ดีขึ้น

เมื่อไม่นานนี้ Microsoft ได้อัปเดตฟีเจอร์ Windows 11 24H2 โดยหนึ่งในบทความสนับสนุนบนเว็บไซต์อย่างเป็นทางการที่มีชื่อว่า “การเข้ารหัสอุปกรณ์อัตโนมัติผ่าน BitLocker” ซึ่ง Microsoft เรียกว่า “Auto-DE” สิ่งสำคัญคือเอกสารนี้กล่าวถึงว่าเหตุใดจึงต้องใช้ TPM และ Secure Boot สำหรับการเข้ารหัสอุปกรณ์

ด้านล่างนี้เป็นเนื้อหาของเอกสารประกอบก่อนการแก้ไข

เหตุใดจึงไม่สามารถใช้การเข้ารหัสอุปกรณ์ได้

ต่อไปนี้เป็นขั้นตอนในการตรวจสอบว่าเหตุใดการเข้ารหัสอุปกรณ์อาจไม่พร้อมใช้งาน:

1. จากเมนู Start (เริ่ม) พิมพ์ System Information (ข้อมูลระบบ) คลิกขวาที่ System Information (ข้อมูลระบบ) ในรายการผลลัพธ์ แล้วเลือก Run as administrator (เรียกใช้ในฐานะผู้ดูแลระบบ)

2. ในรายการสรุประบบ - รายการ ให้ค้นหาค่าการสนับสนุนการเข้ารหัสอุปกรณ์อัตโนมัติหรือการสนับสนุนการเข้ารหัสอุปกรณ์

• ค่านี้ระบุเหตุผลว่าทำไมไม่สามารถเปิดใช้งานการเข้ารหัสอุปกรณ์ได้
• หากค่าแสดงว่าตรงตามข้อกำหนดเบื้องต้น แสดงว่าการเข้ารหัสอุปกรณ์พร้อมใช้งานบนอุปกรณ์ของคุณในปัจจุบัน

และนี่คือเนื้อหาของเอกสารประกอบหลังจากได้รับการแก้ไขแล้ว

เหตุใดจึงไม่สามารถใช้การเข้ารหัสอุปกรณ์ได้

ต่อไปนี้เป็นขั้นตอนในการตรวจสอบว่าเหตุใดการเข้ารหัสอุปกรณ์อาจไม่พร้อมใช้งาน:

1. จากเมนู Start (เริ่ม) พิมพ์ System Information (ข้อมูลระบบ) คลิกขวาที่ System Information (ข้อมูลระบบ) ในรายการผลลัพธ์ แล้วเลือก Run as administrator (เรียกใช้ในฐานะผู้ดูแลระบบ)

2. ในรายการสรุประบบ - รายการ ให้ค้นหาค่าการสนับสนุนการเข้ารหัสอุปกรณ์อัตโนมัติหรือการสนับสนุนการเข้ารหัสอุปกรณ์

ค่านี้จะอธิบายสถานะการสนับสนุนของการเข้ารหัสอุปกรณ์:

• ตรงตามข้อกำหนดเบื้องต้น: การเข้ารหัสอุปกรณ์พร้อมใช้งานบนอุปกรณ์ของคุณ
• TPM ไม่สามารถใช้งานได้: อุปกรณ์ของคุณไม่มี Trusted Platform Module (TPM) หรือ TPM ไม่ได้เปิดใช้งานใน BIOS หรือ UEFI
• ไม่ได้กำหนดค่า WinRE: อุปกรณ์ของคุณไม่ได้กำหนดค่า Windows Recovery Environment
• ไม่รองรับการเชื่อมโยง PCR7: Secure Boot ถูกปิดใช้งานใน BIOS/UEFI หรือคุณมีอุปกรณ์ต่อพ่วงเชื่อมต่อกับอุปกรณ์ของคุณในระหว่างการบูต (เช่น อินเทอร์เฟซเครือข่ายเฉพาะ สถานีเชื่อมต่อ หรือการ์ดจอภายนอก)

โดยพื้นฐานแล้ว บทความจะให้รายละเอียดว่า "ข้อกำหนดเบื้องต้น" ที่ไม่ได้รับการตอบสนองเหล่านั้นคืออะไร ซึ่งรวมถึง TPM, WinRE (Windows Recovery Environment) และ Secure Boot

นอกจากนี้ Microsoft ยังได้กล่าวถึง PCR7 อีกด้วย PCR หรือ Platform Configuration Register เป็นตำแหน่งหน่วยความจำบน TPM และใช้เพื่อจัดเก็บอัลกอริทึมแฮช โปรไฟล์ PCR 7 หรือ PCR7 คือสิ่งที่ BitLocker เชื่อมโยงด้วย ลิงก์นี้จะช่วยให้แน่ใจว่าคีย์การเข้ารหัส ในกรณีนี้คือคีย์ BitLocker จะโหลดในช่วงระยะเวลาหนึ่งเท่านั้นในระหว่างกระบวนการบูต ไม่ใช่ก่อนหรือหลัง

นี่คือจุดที่ Secure Boot เข้ามามีบทบาทเนื่องจากจะทำการตรวจสอบและรับรองใบรับรอง Microsoft Windows PCA 2011 ที่จำเป็นในระหว่างการบูต เนื่องจากลายเซ็นที่ไม่ถูกต้องจะส่งผลให้ BitLocker ใช้โปรไฟล์อื่นที่ไม่ใช่ 7

ความสนใจใหม่ใน BitLocker และการเข้ารหัสบน Windows 11 24H2 เกิดขึ้นเมื่อไม่นานมานี้เมื่อยักษ์ใหญ่ Redmond ลดข้อกำหนด OEM สำหรับ Auto-DE บน Windows เวอร์ชันล่าสุดโดยไม่คาดคิด และด้วยเหตุนี้ แม้แต่พีซีที่บ้านก็สามารถเข้ารหัสโดยอัตโนมัติได้ ไม่นานหลังจากนั้น บริษัทก็ได้เปิดตัวคู่มือการสำรองและกู้คืนข้อมูลที่มีประโยชน์สำหรับคีย์ BitLocker อีกด้วย

เมื่อไม่นานมานี้ Microsoft ยังได้ยืนยัน TPM 2.0 อีกครั้งว่าเป็นมาตรฐานที่ไม่สามารถต่อรองได้บนระบบปฏิบัติการของตน