Reimpostare il blocco TPM

Per impedire manomissioni o attacchi, il TPM (Trusted Platform Module) si blocca automaticamente, condizione nota appunto come blocco TPM. Questo blocco spesso si protrae per un intervallo di tempo variabile o fino allo spegnimento del computer. Mentre il TPM è in modalità di blocco, in genere restituisce un errore quando riceve comandi che richiedono un valore di autorizzazione. Un'eccezione a tale comportamento è rappresentata dal fatto che il TPM in modalità di blocco consente sempre al proprietario almeno un tentativo di reimpostazione del blocco. Se il TPM è passato alla modalità di blocco o risponde con lentezza ai comandi, è infatti consigliabile reimpostare il valore di blocco. Tale reimpostazione richiede l'autorizzazione del proprietario del TPM, che viene impostata quando l'amministratore inizialmente assume la priorità del TPM. La password dell'autorizzazione del proprietario viene sottoposta a hashing per creare un valore di autorizzazione del proprietario, che viene archiviato dal TPM. È opportuno che l'amministratore salvi il valore hash dell'autorizzazione del proprietario in un file della password del proprietario del TPM (con estensione tpm) contenente il valore hash all'interno di una struttura XML. Per motivi di sicurezza, in tale file non è inclusa la password del proprietario originale. La proprietà del TPM di solito viene assunta alla prima attivazione di Crittografia unità BitLocker per il computer. In questo caso la password dell'autorizzazione del proprietario del TPM viene salvata insieme alla chiave di ripristino di BitLocker. Quando tale chiave viene salvata in un file, viene inoltre salvato un file della password del proprietario del TPM (con estensione tpm) con il valore hash della password. Quando invece tale chiave viene stampata, viene contemporaneamente stampata anche la password del proprietario del TPM. Se le impostazioni di Criteri di gruppo dell'organizzazione sono configurate specificamente, sarà inoltre possibile salvare il valore hash della password del proprietario del TPM in Servizi di dominio Active Directory.

Informazioni sui meccanismi di protezione del TPM

In alcuni scenari le chiavi di crittografia sono protette da un TPM e per accedervi è necessario un valore di autorizzazione valido. Un tipico esempio è rappresentato da Crittografia unità BitLocker configurata per l'utilizzo della protezione con chiave (costituita dal TPM e da un PIN), situazione in cui l'utente deve digitare il PIN corretto durante il processo di avvio per accedere alla chiave di crittografia del volume protetta dal TPM. Per impedire a entità dannose o a malintenzionati di individuare i valori di autorizzazione, i TPM implementano una logica di protezione sviluppata per rallentare o arrestare le risposte del TPM nel caso di un tentativo di risalire ai valori di autorizzazione.

Gli standard di settore del Trusted Computing Group (TCG) prevedono che i produttori di TPM implementino una forma di logica di protezione nei chip TPM 1.2. I diversi produttori implementano perciò comportamenti e meccanismi di protezione diversi. La tendenza generale è che il chip TPM richieda un tempo esponenzialmente più lungo per rispondere quando riceve valori di autorizzazione non corretti. Alcuni chip TPM con il tempo possono non archiviare i tentativi non riusciti, altri possono archiviare ogni tentativo non riuscito a tempo indeterminato. Alcuni utenti, digitando in modo errato un valore di autorizzazione inviato al TPM, potrebbero pertanto incorrere in ritardi sempre più estesi e non essere in grado di utilizzare il TPM per un certo periodo di tempo. Gli utenti possono reimpostare i meccanismi di protezione del TPM eseguendo la procedura seguente.

Nota

La logica di protezione del TPM inoltre si applica al valore di autorizzazione del proprietario del TPM. Gli standard di settore prevedono che all'utente sia consentito almeno un tentativo di reimpostazione del blocco TPM mediante l'utilizzo del valore di autorizzazione del proprietario, anche mentre il TPM è bloccato. Se viene utilizzato il valore errato quando si tenta di reimpostare il blocco TPM, ai successivi tentativi di immettere il valore di autorizzazione del proprietario, il TPM potrebbe rispondere come se il valore corretto fosse errato o rispondere che è bloccato.

Per reimpostare il blocco TPM

Aprire lo snap-in Gestione TPM (tpm.msc).
Nel riquadro Azioni fare clic su Reimposta blocco TPM per avviare la relativa procedura guidata.
Scegliere il metodo per immettere la password del proprietario del TPM:
- Se la password è stata salvata in un file con estensione tpm, fare clic su File della password del proprietario disponibile e quindi digitare il percorso del file oppure fare clic su Sfoglia per accedere al percorso del file.
- Se si desidera inserire manualmente la password, fare clic su Password del proprietario da immettere e quindi digitare la password nello spazio visualizzato. Se BitLocker e il TPM sono stati attivati contemporaneamente e si è scelto di stampare la password di ripristino di BitLocker al momento dell'attivazione di BitLocker, è possibile che anche la password del proprietario del TPM sia stata stampata sullo stesso foglio.

Dopo l'autenticazione della password del proprietario del TPM, verrà visualizzata una finestra di dialogo a conferma dell'avvenuta reimpostazione del blocco TPM.

Domande frequenti

Quando è consigliabile reimpostare il blocco TPM?

Il caso più probabile è quando, durante il processo di avvio, gli utenti rilevano lunghi tempi di risposta se si avvalgono di una protezione con chiave (costituita dal TPM e da un PIN) e immettono un PIN errato. Il sistema potrebbe risultare bloccato per un certo periodo di tempo prima di segnalare l'immissione del PIN errato e il blocco del TPM. Quando il TPM è bloccato, è inoltre possibile che l'utente immetta il PIN corretto, ma che per un determinato intervallo il TPM risponda come se fosse errato. Un comportamento analogo può essere riscontrato anche per altre applicazioni che utilizzano il TPM con valori di autorizzazione, ma è più probabile che non risponda solo l'applicazione che comunica con il TPM se il sistema operativo si è già avviato. Poiché un TPM può archiviare per un periodo di tempo infinito tutti i tentativi di autorizzazione errati che riceve, gli utenti possono scegliere preventivamente di reimpostarne il blocco se spesso commettono errori durante la digitazione dei valori di autorizzazione, ad esempio del PIN di BitLocker.

Quale comportamento è possibile prevedere se la logica di protezione del TPM è attivata allo scopo di proteggere i valori di autorizzazione?

Il comportamento della piattaforma hardware varierà in base alle scelte di implementazione effettuate dal produttore. È prassi comune che i produttori hardware facciano ritardare esponenzialmente le risposte del chip TPM. È inoltre possibile che per un certo periodo di tempo tale chip risponda, ma come se il valore di autorizzazione non fosse corretto, anche se effettivamente lo è. Per informazioni più specifiche sul comportamento, contattare il produttore della piattaforma.

Se attualmente il TPM è bloccato mentre si utilizza BitLocker, durante il processo di avvio si avrà la possibilità di aprire la console di ripristino di BitLocker oppure di attendere di poter reinserire il PIN.

Dopo l'avvio di Windows, in Gestione TPM lo stato del TPM risulterà bloccato.

Qualsiasi comando riguardante valori di autorizzazione o qualsiasi tentativo di inviare al TPM la password del proprietario darà luogo a un errore mentre il TPM è bloccato.

Come è possibile procedere se si dimentica la propria password di proprietario del TPM?

È possibile che il valore hash di autorizzazione del proprietario del TPM sia stato salvato in un file con estensione tpm quando l'amministratore ha originariamente assunto la proprietà del TPM nel computer in uso. Ricercare nel file system un file con estensione tpm. Se la password di ripristino di BitLocker è stata stampata, è possibile che con essa sia stata stampata anche la password del proprietario del TPM. Se non si riesce a reperire la password del proprietario del TPM, è possibile cancellare il TPM e assumerne di nuovo la proprietà. Adottare questa soluzione con cautela perché i dati crittografati con il TPM andranno perduti. Se si sta utilizzando BitLocker, sospenderlo o disattivarlo prima di cancellare il TPM. Per ulteriori informazioni sulla cancellazione del TPM, vedere Cancellare il TPM.

È importante mantenere segreto il proprio valore hash di autorizzazione del proprietario del TPM?

Sì. Se un'entità dannosa o un malintenzionato ottiene tale valore, può effettuare diversi tentativi per risalire a un valore di autenticazione con chiave di crittografia, quale ad esempio il PIN BitLocker, utilizzare il valore hash per reimpostare il blocco TPM e ripetere queste operazioni all'infinito. Se le dimensioni sono ridotte, è persino possibile che alla fine il valore di autenticazione venga individuato.

In che modo la password del proprietario del TPM è correlata al valore hash di autorizzazione del proprietario del TPM?

La prima viene sottoposta a hashing tramite SHA-1 e codificata in base 64 per creare il secondo.