Réinitialiser le verrouillage du module de plateforme sécurisée

Le module de plateforme sécurisée (TPM) se verrouille tout seul pour empêcher les falsifications ou les attaques. Ce processus s'appelle le "verrouillage". Le verrouillage dure un certain temps ou perdure jusqu'à ce que l'ordinateur soit éteint. En mode verrouillage, le TPM retourne généralement une erreur lorsqu'il reçoit des commandes nécessitant une valeur d'autorisation. Une seule exception à cette règle cependant : le TPM accorde toujours au propriétaire au moins une chance de réinitialiser le verrouillage en mode verrouillage. Si le TPM est passé en mode verrouillage ou qu'il répond lentement aux commandes, nous vous recommandons de réinitialiser la valeur de verrouillage. La réinitialisation du verrouillage du TPM nécessite l'autorisation du propriétaire du TPM. L'autorisation du propriétaire du TPM est définie lorsque l'administrateur s'approprie le TPM la première fois. Le mot de passe d'autorisation du propriétaire est haché afin de créer une valeur d'autorisation de propriétaire, stockée par le TPM. L'administrateur est encouragé à enregistrer la valeur de hachage d'autorisation du propriétaire dans un fichier de mot de passe de propriétaire du TPM, qui se termine par une extension .tpm contenant la valeur de hachage d'autorisation du propriétaire dans une structure XML. Pour des raisons de sécurité, le fichier de mot de passe du propriétaire du TPM ne contient pas le mot de passe initial du propriétaire. L'appropriation du TPM s'effectue généralement lors de la première activation du Chiffrement de lecteur BitLocker pour l'ordinateur. Dans ce scénario, le mot de passe d'autorisation du propriétaire du TPM est enregistré en même temps que la clé de récupération BitLocker. Lorsque la clé de récupération BitLocker est enregistrée dans un fichier, BitLocker enregistre également un fichier de mot de passe de propriétaire du TPM (.tpm) avec la valeur de hachage du mot de passe du propriétaire du TPM. Lorsque la clé de récupération BitLocker est imprimée, le mot de passe du propriétaire du TPM l'est aussi. Vous pouvez également enregistrer la valeur de hachage du mot de passe de propriétaire du TPM dans les services de domaine Active Directory (AD DS) si les paramètres de stratégie de groupe de votre entreprise sont configurés à cet effet.

Présentation des mécanismes de protection du module de plateforme sécurisée

Dans certains cas, les clés de chiffrement sont protégées par un module de plateforme sécurisée qui exige une valeur d'autorisation valide pour accéder à la clé. (Exemple classique illustrant ce principe : le Chiffrement de lecteur BitLocker est configuré pour utiliser le TPM et un protecteur de clé de code confidentiel, où l'utilisateur doit taper le code confidentiel correct pendant le processus de démarrage pour accéder à la clé de chiffrement de volume protégée par le TPM.) Pour empêcher des entités malveillantes de détecter les valeurs d'autorisation, les TPM implémentent la logique de protection. Cette logique a pour but de ralentir ou d'arrêter les réponses du TPM si elle détecte qu'une entité tente de deviner les valeurs d'autorisation.

Les normes d'industrie publiées par le Trusted Computing Group (TCG) stipulent que les fabricants de TPM doivent implémenter une certaine forme de logique de protection dans les puces des TPM 1.2. Les divers fabricants de TPM implémentent des mécanismes et un comportement de protection différents. L'idée directrice est que le temps de réponse de la puce du TPM augmente de façon exponentielle si des valeurs d'autorisation incorrectes sont envoyées au TPM. Certaines puces de TPM ne conservent pas les tentatives infructueuses dans le temps. D'autres, en revanche, les conservent toutes indéfiniment. Par conséquent, certains utilisateurs peuvent rencontrer des délais de plus en plus longs lorsqu'ils se trompent dans la saisie de la valeur d'autorisation envoyée au TPM, ce qui les empêche d'utiliser le TPM pendant un certain temps. Il est possible de réinitialiser les mécanismes de protection du TPM en suivant la procédure ci-après.

Remarques

La logique de protection du TPM s'applique également à la valeur d'autorisation du propriétaire du TPM. Les normes d'industrie stipulent que l'utilisateur a le droit de réinitialiser le verrouillage du TPM au moins une fois en utilisant la valeur d'autorisation de propriétaire, même lorsque le TPM est verrouillé. Si la valeur incorrecte est utilisée lors de la tentative de réinitialisation du verrouillage du TPM, lors des tentatives futures de saisie de la valeur d'autorisation de propriétaire, le TPM pourra se comporter comme si la valeur correcte était incorrecte ou répondre que le TPM est verrouillé.

Pour réinitialiser le verrouillage du module de plateforme sécurisée

Ouvrez le composant logiciel enfichable Gestion du module de plateforme sécurisée (tpm.msc).
Dans le volet Action, cliquez sur Réinitialiser le verrouillage du module de plateforme sécurisée pour démarrer l'Assistant Réinitialiser le verrouillage du module de plateforme sécurisée.
Choisissez la méthode d'entrée du mot de passe du propriétaire du TPM :
- Si vous avez enregistré votre mot de passe de propriétaire de TPM dans un fichier .tpm, cliquez sur J'ai le fichier de mot de passe du propriétaire, puis tapez le chemin d'accès du fichier ou cliquez sur Parcourir pour accéder au fichier.
- Si vous voulez entrer manuellement votre mot de passe de propriétaire de TPM, cliquez sur Je veux entrer le mot de passe du propriétaire, puis tapez le mot de passe dans l'espace indiqué. Si vous avez activé BitLocker et votre TPM en même temps et avez choisi d'imprimer votre mot de passe de récupération BitLocker lorsque vous avez activé BitLocker, votre mot de passe de propriétaire TPM peut également avoir été imprimé sur le même document.

Une fois que le mot de passe de propriétaire du TPM est authentifié, une boîte de dialogue confirmant que le verrouillage du TMP a été réinitialisé s'affiche.

Forum Aux Questions (FAQ)

Quand dois-je réinitialiser le verrouillage du module de plateforme sécurisée ?

Le cas de figure typique est le suivant : au cours du processus de démarrage, les utilisateurs constatent des temps de réponse lents après avoir utilisé un protecteur de clé (composé du TPM et d'un code confidentiel) et entré un code confidentiel incorrect. Le système se fige pendant un certain temps avant d'informer l'utilisateur qu'un code confidentiel incorrect a été entré et que le TPM est verrouillé. Autre cas de figure, lorsque le TPM est verrouillé, l'utilisateur entre le code confidentiel correct mais le TPM répond comme si ce n'était pas le cas. Un comportement similaire peut se produire avec d'autres applications utilisant le TPM avec des valeurs d'autorisation ; dans ce cas toutefois, il est probable que seule l'application communiquant avec le TPM ne répondra pas si le système d'exploitation a déjà démarré. Comme un TPM peut stocker indéfiniment toutes les tentatives d'autorisation incorrectes qui lui sont envoyées, les utilisateurs peuvent vouloir réinitialiser proactivement le verrouillage du TPM s'ils se trompent dans la saisie des valeurs d'autorisation, par exemple un code confidentiel BitLocker.

Quel est le comportement normal en cas d'activation de la logique de protection du module de plateforme sécurisée pour protéger les valeurs d'autorisation ?

Le comportement de la plateforme matérielle varie selon les choix d'implémentation opérés par le fabricant de la plateforme. En général, les fabricants d'équipements retardent les réponses de la puce du TPM de façon exponentielle. La puce du TPM peut également ne plus répondre et se comporter comme si la valeur d'authentification (pourtant correcte) ne l'était pas pendant un certain temps. Pour plus d’informations sur ces comportements, contactez le fournisseur de votre plateforme.

Si le TPM est verrouillé au moment de l'utilisation de BitLocker, vous aurez la possibilité, pendant le processus de démarrage, d'ouvrir la console de récupération BitLocker ou d'attendre pour réentrer le code confidentiel.

Une fois Windows démarré, le composant Gestion du module de plateforme sécurisée affichera le statut du TPM comme étant verrouillé.

Toutes les commandes impliquant des valeurs d'autorisation ou tentant d'envoyer le mot de passe du propriétaire du TPM au TPM provoqueront l'affichage d'une erreur pendant le verrouillage du TPM.

Que dois-je faire si j'ai oublié mon mot de passe de propriétaire du module de plateforme sécurisée ?

Il est possible que la valeur de hachage d'autorisation du propriétaire du TPM ait été enregistrée dans un fichier se terminant par une extension .tpm, lorsque l'administrateur s'est approprié le TPM sur votre ordinateur pour la première fois. Recherchez dans votre système de fichiers un fichier se terminant par .tpm. Si vous avez imprimé votre mot de passe de récupération BitLocker, votre mot de passe de propriétaire du TPM a certainement été imprimé en même temps. Si vous ne trouvez pas votre mot de passe de propriétaire du TPM, vous pouvez effacer le TPM et vous le réapproprier. Cette opération doit être effectuée soigneusement car les données chiffrées avec le TPM seront perdues. Si vous utilisez BitLocker, veillez à suspendre ou à désactiver BitLocker avant d'effacer le TPM. Pour plus d'informations sur l'effacement d'un TPM, voir Effacer le module de plateforme sécurisée.

Est-il important de garder secrète la valeur de hachage de mon autorisation de propriétaire du module de plateforme sécurisée ?

Oui. Si une entité malveillante a obtenu la valeur de hachage de votre autorisation de propriétaire du TPM, elle pourrait essayer de deviner la valeur d'autorisation de la clé de chiffrement (par exemple, le code confidentiel BitLocker), utiliser la valeur de hachage d'autorisation du propriétaire du TPM pour réinitialiser le verrouillage du TPM, et répéter ce comportement indéfiniment. Il est probable qu'à la longue, la valeur d'autorisation pourrait être détectée si elle est de petite taille.

Comment est le mot de passe du propriétaire du module de plateforme sécurisée par rapport à la valeur de hachage d'autorisation du propriétaire du module ?

Le mot de passe du propriétaire du TPM est haché à l'aide de l’algorithme SHA-256 et il est codé en base 64 pour créer la valeur de hachage d'autorisation du propriétaire du TPM.