TPM 2.0: что это и почему требует Windows 11

Второе обязательное требование Windows 11 вместе с Secure Boot из главы 02 — и, вероятно, самая частая причина, по которой клиентский ноутбук официально "не поддерживает" обновление, хотя по факту чип уже есть, просто выключен.

Что такое TPM физически

TPM (Trusted Platform Module) — специализированный защищённый модуль, генерирующий и хранящий криптографические ключи и выполняющий операции шифрования в изолированном аппаратном окружении. Ключевая идея — приватные ключи никогда не покидают сам модуль в незашифрованном виде, даже операционная система не имеет к ним прямого доступа, только может попросить модуль выполнить конкретную криптографическую операцию.

Дискретный TPM против встроенного в прошивку

Тип	Особенности
Дискретный (dTPM)	Отдельная физическая микросхема на плате — встречается на старых системах и некоторых платах для энтузиастов, где есть отдельный разъём для установки такого модуля отдельно
Встроенный в прошивку (fTPM/PTT)	Та же функциональность, реализованная программно внутри самого процессора — у Intel называется PTT (Platform Trust Technology), у AMD — fTPM (реализован в подсистеме AMD PSP). Практически всё железо примерно с 2013–2016 года имеет встроенную поддержку — она просто чаще всего по умолчанию выключена в UEFI.

Зачем это вообще нужно Windows

• BitLocker — шифрование всего диска, где ключ шифрования привязан именно к конкретному TPM компьютера — украденный или изъятый диск без соответствующего TPM не расшифровывается напрямую.
• Windows Hello — биометрический вход (отпечаток, распознавание лица) — сами биометрические данные и связанные ключи защищены аппаратно через TPM.
• Credential Guard и подтверждение целостности устройства — дополнительные уровни защиты учётных данных и проверки, что система не была скомпрометирована на низком уровне.

Требование TPM 2.0 для Windows 11 — попытка Microsoft поднять базовый уровень безопасности для всей экосистемы разом, а не просто формальная придирка к старому железу.

TPM 1.2 против TPM 2.0 — не апгрейд, а другая спецификация

Практическая проверка и включение

Внутри Windows состояние TPM смотрится командой tpm.msc — покажет версию и статус готовности. Если модуль отсутствует или не активен, ищи в UEFI (глава 01) пункт с названием, отличающимся у разных производителей:

Производитель	Типичное название пункта
Материнские платы на Intel	PTT (Platform Trust Technology)
Материнские платы на AMD	fTPM или AMD PSP fTPM
Lenovo (ноутбуки)	Security Chip
Dell (ноутбуки)	TPM Security

Обходной путь через реестр — когда он реально уместен

Для действительно старого железа, где TPM 2.0 или Secure Boot физически недоступны, существует известный обходной способ через реестр (ключи в разделе LabConfig, флаг BypassTPMCheck) — программа установки Windows 11 можно заставить проигнорировать проверку требований. Это легитимный, широко известный в среде мастеров приём, но стоит понимать его ограничения: система, установленная в обход официальных требований, может показывать водяной знак "система не поддерживается" на рабочем столе и в будущем не гарантированно получать все обновления тем же путём, что официально поддерживаемые конфигурации. Для клиента стоит явно проговорить этот компромисс, а не устанавливать в обход требований молча.

Очистка TPM — с чем нужно быть осторожным

Что дальше

Финальная глава этого блока — GPT против MBR: разметка диска, напрямую связанная и с режимом загрузки UEFI, и с самой возможностью официально установить Windows 11.