Moduł TPM (Trusted Platform Module), z którego korzysta szyfrowanie BitLocker, służy do
A. bezpiecznego przechowywania kluczy kryptograficznych.
B. tworzenia kopii zapasowej dysku.
C. integracji danych na dyskach.
D. kompresji przestrzeni dyskowej.
Moduł TPM w kontekście BitLockera służy przede wszystkim do bezpiecznego przechowywania i ochrony kluczy kryptograficznych, a dokładniej do takiego zabezpieczenia klucza szyfrującego, żeby nie dało się go łatwo skopiować z dysku czy odczytać z systemu. TPM to układ sprzętowy zgodny ze standardami Trusted Computing Group, najczęściej w wersji TPM 2.0, który potrafi przechowywać sekrety w sposób odizolowany od zwykłego systemu operacyjnego. BitLocker wykorzystuje go np. do odblokowania zaszyfrowanego woluminu tylko wtedy, gdy stan startowy komputera wygląda poprawnie, czyli zgadzają się pomiary rozruchu zapisane w rejestrach PCR. W praktyce oznacza to, że jeśli ktoś wyjmie dysk z laptopa i podłączy go do innego komputera, dane nadal pozostaną zaszyfrowane. Moim zdaniem to jedna z ważniejszych funkcji bezpieczeństwa w firmowych laptopach, bo chroni dane przy kradzieży sprzętu. Dobrą praktyką jest używanie TPM 2.0 razem z BitLockerem, zapisanie klucza odzyskiwania w bezpiecznym miejscu, np. w Active Directory, Microsoft Entra ID albo firmowym sejfie haseł, oraz rozważenie dodatkowego PIN-u przed startem systemu dla komputerów z danymi wrażliwymi. Warto też pamiętać, że TPM nie kompresuje danych i nie robi kopii zapasowych, tylko pomaga utrzymać zaufany, bezpieczny mechanizm przechowywania kluczy.
TPM łatwo pomylić z innymi mechanizmami systemowymi, bo działa w tle i użytkownik zwykle widzi tylko komunikat BitLockera albo prośbę o klucz odzyskiwania. Jego rola nie polega jednak na kompresji przestrzeni dyskowej. Kompresja to zupełnie inna funkcja, realizowana przez system plików, aplikację archiwizującą albo narzędzia do zarządzania danymi. Ma ona zmniejszyć ilość zajmowanego miejsca, a nie chronić klucze szyfrujące. BitLocker może szyfrować cały wolumin, ale samo szyfrowanie nie oznacza automatycznie oszczędzania miejsca, wręcz czasem pojawia się narzut organizacyjny, chociaż dla użytkownika zwykle mało widoczny.
Nie jest też poprawne traktowanie TPM jako narzędzia do integracji danych na dyskach. Jeśli chodziło o integralność danych, to temat jest trochę bliżej bezpieczeństwa, bo TPM może wspierać zaufany rozruch i pomiary komponentów startowych, ale nie scala danych ani nie porządkuje struktury dysku. Od integralności systemu są inne mechanizmy, na przykład Secure Boot, podpisy cyfrowe, sumy kontrolne, dziennikowanie systemu plików czy funkcje wykrywania modyfikacji. TPM może przechować informacje potrzebne do oceny, czy środowisko startowe nie zostało zmienione, ale nie jest narzędziem do naprawy czy organizowania danych.
Tworzenie kopii zapasowej dysku to również nie ta warstwa technologii. Backup wykonuje się narzędziami systemowymi lub specjalistycznym oprogramowaniem, najlepiej zgodnie z zasadą 3-2-1, czyli kilka kopii, różne nośniki i jedna kopia poza główną lokalizacją. TPM nie zapisuje obrazu dysku ani nie pozwala odzyskać plików po awarii. Typowy błąd myślowy polega tu na wrzuceniu wszystkich funkcji bezpieczeństwa do jednego worka. BitLocker zabezpiecza poufność danych, TPM chroni klucze i wspiera zaufanie do platformy, a kopie zapasowe zapewniają odtwarzanie danych po utracie. To są powiązane, ale jednak osobne obszary administracji.
Nie jest też poprawne traktowanie TPM jako narzędzia do integracji danych na dyskach. Jeśli chodziło o integralność danych, to temat jest trochę bliżej bezpieczeństwa, bo TPM może wspierać zaufany rozruch i pomiary komponentów startowych, ale nie scala danych ani nie porządkuje struktury dysku. Od integralności systemu są inne mechanizmy, na przykład Secure Boot, podpisy cyfrowe, sumy kontrolne, dziennikowanie systemu plików czy funkcje wykrywania modyfikacji. TPM może przechować informacje potrzebne do oceny, czy środowisko startowe nie zostało zmienione, ale nie jest narzędziem do naprawy czy organizowania danych.
Tworzenie kopii zapasowej dysku to również nie ta warstwa technologii. Backup wykonuje się narzędziami systemowymi lub specjalistycznym oprogramowaniem, najlepiej zgodnie z zasadą 3-2-1, czyli kilka kopii, różne nośniki i jedna kopia poza główną lokalizacją. TPM nie zapisuje obrazu dysku ani nie pozwala odzyskać plików po awarii. Typowy błąd myślowy polega tu na wrzuceniu wszystkich funkcji bezpieczeństwa do jednego worka. BitLocker zabezpiecza poufność danych, TPM chroni klucze i wspiera zaufanie do platformy, a kopie zapasowe zapewniają odtwarzanie danych po utracie. To są powiązane, ale jednak osobne obszary administracji.