товаров: 
Оформить заказ
Специалист по цифровой криминалистике демонстрирует стандартный тест на закрытом ИТ-семинаре: рабочий ноутбук без аппаратного шифрования выключают, извлекают SSD-накопитель отвёрткой за девяносто секунд и подключают его через переходник к отдельному стенду. Файловая система монтируется без единого запроса пароля — операционная система, из которой диск вынут, здесь ни при чём, а пароль входа в Windows защищал только сеанс работы, а не содержимое накопителя. На экране стенда открываются документы, почтовые архивы и сохранённые пароли браузера меньше чем за пять минут работы. Второй накопитель, из бизнес-ноутбука Fujitsu LIFEBOOK U9312X с включённым TPM 2.0 и BitLocker, на том же стенде отображается как нечитаемый блок данных без файловой структуры: ключ шифрования физически не покидал чип, оставшийся в разобранном корпусе.
Для рядового пользователя разница между этими двумя накопителями выглядит абстрактной, пока не наступает конкретный инцидент — кража, утеря, изъятие на границе или замена материнской платы при ремонте без предупреждения о содержимом диска. Для ИТ-отдела и специалиста по информационной безопасности разница между «пароль защищён» и «данные зашифрованы аппаратно» — это разница между двумя уровнями угрозы. Ниже разберём, как работают TPM 2.0 и BitLocker в связке: что физически происходит внутри чипа, какие сценарии атак он блокирует и как эту защиту разворачивают не на одном ноутбуке, а на парке из сотен корпоративных устройств.
- TPM 2.0 хранит ключи шифрования внутри чипа и выдаёт их только при неизменной загрузке.
- BitLocker с TPM закрывает кражу SSD, загрузку с USB, Cold Boot и Evil Maid.
- В конфигурациях Fujitsu LIFEBOOK U9312X из каталога магазина модуль TPM 2.0 заявлен в оснащении.
Что такое TPM 2.0 и что хранится внутри чипа
Архитектура TPM: что физически хранится внутри чипа
TPM 2.0 — отдельный криптографический процессор (не эмуляция и не программный модуль), распаянный на материнской плате или интегрированный в чипсет как fTPM (firmware TPM) на уровне защищённого анклава процессора. Внутри чипа хранится Endorsement Key — уникальная пара ключей, «зашитая» производителем на этапе изготовления и никогда не покидающая чип в открытом виде, и Storage Root Key — корневой ключ, от которого порождается вся иерархия ключей шифрования диска, используемых BitLocker. Ни один из этих ключей не существует как файл на диске или в оперативной памяти в расшифрованном виде дольше, чем требуется для одной криптографической операции внутри самого чипа.
Вторая часть чипа, без которой вся схема не работает, — Platform Configuration Registers, PCR-регистры: набор из 24 ячеек памяти внутри TPM, в которые при каждой загрузке записываются криптографические хэши компонентов системы — прошивки UEFI, загрузчика, конфигурации Secure Boot, иногда и отдельных драйверов. TPM выдаёт ключ шифрования диска только в том случае, если текущие значения PCR совпадают с эталонными, зафиксированными при включении BitLocker. Любое несанкционированное изменение цепочки загрузки — попытка подменить загрузчик или загрузить систему с другого носителя — меняет значения PCR, и чип отказывается выдавать ключ — загрузка с изменённым состоянием системы до диска не добирается.
TPM 2.0 против TPM 1.2: криптографический разрыв поколений
TPM 1.2, стандартизированный Trusted Computing Group в середине 2000-х годов, жёстко привязан к алгоритму SHA-1 и ограниченному набору RSA-операций — оба этих ограничения сегодня считаются серьёзным криптографическим долгом, поскольку SHA-1 признан уязвимым к коллизионным атакам, а фиксированный набор алгоритмов не позволяет чипу адаптироваться к новым стандартам без замены железа. TPM 2.0, опубликованный в 2014 году, устроен принципиально иначе: спецификация описывает не фиксированный алгоритм, а гибкую архитектуру, поддерживающую SHA-256, эллиптическую криптографию ECC и возможность добавления новых криптографических примитивов через обновление прошивки самого чипа.
Практическое следствие для бизнеса — TPM 2.0 поддерживает несколько независимых иерархий ключей одновременно, так что BitLocker, корпоративные VPN-клиенты и сторонние PKI-решения работают с одним физическим чипом параллельно и не конфликтуют за доступ к криптографическим ресурсам. Поэтому в 2021 году Microsoft сделала TPM 2.0 обязательным требованием для установки Windows 11: это техническая граница, ниже которой аппаратное шифрование и защищённая загрузка не могут быть гарантированы на приемлемом уровне.
Если вы только начинаете разбираться в теме и ищете менее техническое объяснение того, зачем шифрование нужно руководителю компании, а не только ИТ-отделу, есть отдельный материал на эту тему.
Сценарии атак и как TPM их блокирует
Физический доступ к накопителю: кража SSD и загрузка с внешнего носителя
Атака первая — кража накопителя. Классический сценарий: ноутбук похищен или временно выведен из-под контроля владельца, злоумышленник вскрывает корпус, извлекает SSD и подключает его к другому компьютеру через переходник SATA-USB или напрямую к разъёму M.2. Без TPM операционная система на накопителе для этого сценария не имеет значения вовсе — данные читаются как содержимое обычного внешнего диска, потому что шифрование либо отсутствует, либо реализовано программно с ключом, восстанавливаемым по паролю пользователя, подбираемому офлайн без ограничения на число попыток. С TPM и включённым BitLocker ключ шифрования криптографически привязан к конкретному физическому чипу через процедуру sealing — запечатывание ключа под конкретное состояние PCR конкретного TPM, — и накопитель, извлечённый из корпуса, становится нечитаемым набором байтов на любом другом оборудовании, включая другой ноутбук той же модели.
Атака вторая — загрузка с внешнего носителя в обход операционной системы. Инструмент здесь обычно один — загрузочная флешка с дистрибутивом Kali Linux или аналогичным live-окружением: злоумышленник получает физический доступ к ноутбуку, загружается с USB-накопителя, монтирует внутренний диск средствами Linux и копирует содержимое, минуя пароль Windows полностью, поскольку загрузка происходит в обход штатной операционной системы. Связка Secure Boot и TPM закрывает этот путь на двух уровнях одновременно: Secure Boot проверяет цифровую подпись загружаемого образа и по умолчанию отказывается стартовать неподписанный live-дистрибутив, а даже если этот уровень защиты отключить в BIOS, изменение конфигурации загрузки фиксируется в PCR-регистрах TPM, и ключ BitLocker для основного раздела не выдаётся.
Пароль защищает от случайного любопытства. TPM 2.0 защищает от подготовленного злоумышленника, у которого есть время, инструменты и знание конкретных техник атаки.
Атаки на память и прошивку: Cold Boot и Evil Maid
Атака третья, Cold Boot Attack, эксплуатирует физическое свойство модулей оперативной памяти: содержимое DRAM не исчезает мгновенно при выключении питания, а угасает постепенно, в течение нескольких секунд при комнатной температуре — и до нескольких минут, если модуль резко охладить, например, перевёрнутым баллончиком со сжатым воздухом. За это окно атакующий физически извлекает модуль памяти из недавно работавшего ноутбука, переносит его в стенд для считывания и восстанавливает из дампа памяти криптографические ключи, которые операционная система держала в открытом виде для повседневной работы с зашифрованными файлами. TPM 2.0 меняет саму модель хранения: ключ шифрования диска не живёт в оперативной памяти в статичном виде, доступном для полного дампа, а промежуточные значения, которые TPM передаёт процессору, недостаточны для восстановления мастер-ключа без доступа к самому чипу — атака Cold Boot против системы с корректно настроенным TPM результата не даёт.
Атака четвёртая, Evil Maid Attack, названа в честь гипотетической горничной отеля с физическим доступом к оставленному в номере ноутбуку на несколько минут: злоумышленник не крадёт устройство целиком, а модифицирует загрузчик или прошивку, устанавливая программный кейлоггер или бэкдор, который перехватит пароль или ключ при следующем штатном включении владельцем. Без TPM такая модификация загрузочной цепочки остаётся незамеченной — система просто загружается с изменённым, скомпрометированным загрузчиком, и владелец ничего не подозревает. TPM фиксирует любое изменение конфигурации загрузки как несовпадение PCR-регистров с эталонным значением, зафиксированным при последней легитимной настройке, и отказывает в выдаче ключа BitLocker до тех пор, пока конфигурация не будет проверена и повторно подтверждена — скомпрометированная система физически не получает доступа к зашифрованным данным, даже если сам загрузчик уже заражён.
Коротко о цифрах
- TPM 2.0 хранит состояние загрузки в 24 независимых PCR-регистрах, фиксирующих каждый этап старта системы
- Cold Boot Attack при охлаждении модуля памяти сжатым воздухом расширяет окно извлечения данных из RAM с секунд до нескольких минут
- TPM 2.0 обязателен для установки Windows 11 с 2021 года — без него штатное шифрование диска на уровне ОС не активируется
- Аппаратное ускорение AES-шифрования снижает производительность системы с включённым BitLocker в среднем на 1-2%
BitLocker и TPM: от настройки на одном устройстве до развёртывания на парке техники
Активация на одном устройстве: пять шагов и режимы разблокировки
На одном ноутбуке включение BitLocker с TPM занимает около десяти минут и не требует специализированных навыков — типичный порядок действий выглядит так:
- Проверить в разделе безопасности Windows, что TPM 2.0 определён и активен на аппаратном уровне.
- Открыть панель управления BitLocker и выбрать системный диск для шифрования.
- Запустить шифрование всего диска целиком, а не только занятого пространства — это исключает восстановление данных из ранее удалённых, но физически не перезаписанных секторов.
- Выбрать режим разблокировки при загрузке: только TPM для прозрачной работы без дополнительных действий пользователя, либо TPM + PIN-код для повышенного уровня защиты на устройствах с критичными данными.
- Сохранить ключ восстановления в защищённом месте, отдельном от самого ноутбука — в корпоративном хранилище паролей или в учётной записи Azure AD.
Режим TPM + PIN заслуживает отдельного пояснения: его выбирают организации с повышенными требованиями к защите данных. В базовом режиме TPM ноутбук разблокируется автоматически при прохождении проверки PCR, без участия пользователя — удобно, но теоретически уязвимо к атакам класса bypass, когда TPM физически перехватывают на шине LPC или SPI между чипом и процессором на платформах, где ключ передаётся по этой шине в открытом виде. Режим TPM + PIN требует ввода дополнительного короткого кода при каждой загрузке, и этот PIN участвует в криптографической цепочке формирования ключа — перехват шины сам по себе больше не даёт доступа к данным без знания PIN, известного только пользователю.
Корпоративное развёртывание: Group Policy, Active Directory и мониторинг соответствия
Для парка из десятков или сотен ноутбуков ручная активация BitLocker на каждом устройстве не масштабируется, поэтому корпоративное развёртывание строится через групповые политики Windows. В консоли управления групповыми политиками путь Computer Configuration → Administrative Templates → Windows Components → BitLocker Drive Encryption содержит два основных параметра: политику «Require additional authentication at startup», которая разрешает или требует режим TPM + PIN на уровне домена, и политику, обязывающую сохранять ключи восстановления централизованно, а не оставлять их на усмотрение отдельного сотрудника.
Центральный элемент корпоративной схемы — резервирование ключей восстановления в Active Directory Domain Services: при включённой политике «Store BitLocker recovery information in Active Directory Domain Services» ключ автоматически записывается в атрибут msFVE-RecoveryInformation объекта компьютера в AD, и администратор домена может извлечь его штатными средствами при обращении сотрудника, потерявшего доступ, без необходимости хранить ключи вручную в отдельных таблицах. Для более крупных организаций эту функциональность дополняет Microsoft BitLocker Administration and Monitoring либо современная замена в виде отчётности через Microsoft Intune и Endpoint Manager — оба инструмента дают ИТ-отделу единую панель, показывающую, на каких устройствах парка шифрование включено, а на каких — нет.
- централизованное резервирование ключей восстановления в Active Directory или Azure AD исключает ситуацию, когда ключ существует в единственном экземпляре у уволившегося сотрудника;
- отчётность через Intune или MBAM позволяет ИТ-отделу видеть статус шифрования по всему парку устройств в реальном времени, а не только в момент выборочного аудита;
- политика обязательного PIN для устройств с доступом к особо чувствительным данным закрывает теоретическую уязвимость шинных атак на старых платформах.
Насколько разные методы защиты выдерживают конкретные сценарии атак, удобнее всего сопоставить в таблице.
| Метод защиты | Кража SSD | Загрузка с USB | Cold Boot Attack | Evil Maid Attack |
|---|---|---|---|---|
| Только пароль Windows | Не защищает | Не защищает | Не защищает | Не защищает |
| Программное шифрование без TPM | Частично защищает | Частично защищает | Не защищает | Не защищает |
| Secure Boot без TPM | Не защищает | Частично защищает | Не защищает | Частично защищает |
| Self-encrypting drive (SED) без TPM | Частично защищает | Не защищает | Частично защищает | Не защищает |
| BitLocker + TPM (авто-разблокировка) | Защищает | Защищает | Защищает | Защищает |
| BitLocker + TPM + PIN | Защищает | Защищает | Защищает | Защищает, включая шинные атаки |
| BitLocker + TPM + SmartCard | Защищает | Защищает | Защищает | Защищает, плюс подтверждение личности |
Как проверка на Cold Boot Attack изменила политику ИТ-отдела
Fujitsu LIFEBOOK U9312X и аппаратная безопасность корпоративного класса
TPM 2.0 в оснащении бизнес-линейки
В конфигурациях бизнес-ноутбука Fujitsu LIFEBOOK U9312X из каталога магазина модуль TPM 2.0 заявлен в оснащении — то же указано в карточке LIFEBOOK U5313X, ориентированной на чуть более компактный и лёгкий форм-фактор при сопоставимом уровне защиты. Оба устройства поддерживают полный цикл корпоративного развёртывания, описанный выше: групповые политики, резервирование ключей в Active Directory и отчётность через Intune работают на этих ноутбуках без дополнительной настройки на уровне железа: модуль заявлен в оснащении этих конфигураций. Доступные конфигурации собраны на странице Fujitsu LIFEBOOK U9312X в каталоге.
Для организаций, где требования к защите данных распространяются не только на топовые модели, тот же принцип встроенной аппаратной безопасности применён и в линейке LIFEBOOK U7412 — что важно при формировании единой политики шифрования для смешанного парка техники, включающего устройства разного класса. Такая последовательность в реализации TPM по всей линейке ноутбуков Fujitsu снимает с ИТ-отдела необходимость сегментировать политику безопасности по моделям: правило «шифрование обязательно на всех корпоративных устройствах» применимо единообразно независимо от того, какая именно модель LIFEBOOK досталась конкретному сотруднику. Сравнить модели по набору защитных функций удобно в разделе все ноутбуки Fujitsu LIFEBOOK.
Двухфакторная аппаратная защита: TPM в связке с биометрией и смарт-картой
TPM редко работает в одиночку в сценариях с повышенными требованиями к безопасности — на LIFEBOOK U9312X чип дополняется сканером вен ладони Palm Vein Scanner, и получается двухфакторная аппаратная защита: вход в систему подтверждает биометрия, диск шифрует TPM, и у обоих механизмов нет программной точки отказа, которая есть у любого решения на одном пароле. Для организаций из регулируемых отраслей — юридических, финансовых, медицинских — актуальнее связка TPM со SmartCard Reader: физическая карта сотрудника подтверждает личность при входе и при использовании квалифицированной электронной подписи, а TPM параллельно защищает сами данные на диске.
Как и другие ноутбуки из Японии в портфеле Fujitsu, устройства этой линейки проходят единый цикл контроля качества независимо от конкретной модели — «сделано в Японии» здесь указывает на завод, где корпус, материнская плата и чип TPM физически собираются в одно устройство перед отгрузкой. Для ИТ-отдела, закупающего технику партиями по контракту на несколько лет вперёд, это означает предсказуемую надёжность самого физического носителя TPM: трещины в пайке или брак материнской платы способны вывести из строя чип защиты так же, как и любой другой компонент, так что качество сборки для ИТ-отдела — тоже вопрос безопасности.
Пароль защищает от случайного любопытства — коллеги, заглянувшего в чужой ноутбук, или вора, рассчитывающего быстро просмотреть файлы прямо на месте. TPM 2.0 защищает от подготовленного злоумышленника, у которого есть время, инструменты и знание конкретных техник атаки. Если сегодня из вашего офиса пропадёт один корпоративный ноутбук, у ИТ-отдела должен быть готовый ответ, был ли на нём включён TPM и BitLocker, — выяснять это постфактум уже поздно.
Частые вопросы о TPM 2.0 и BitLocker
Можно ли сбросить TPM через BIOS и обойти защиту?
Сброс TPM Clear в настройках BIOS действительно возможен физически, но он не даёт доступа к уже зашифрованным данным — при сбросе чип уничтожает все ранее сохранённые ключи, включая тот, что защищал диск, и BitLocker переходит в режим восстановления, требующий 48-значный ключ восстановления. Для злоумышленника без этого ключа сброс TPM не открывает данные, а окончательно делает их недоступными даже для законного владельца без резервной копии ключа. Как метод взлома сброс TPM бесполезен; легитимно его применяют только при переустановке системы или замене материнской платы.
Нужен ли PIN-код в дополнение к TPM для большинства сотрудников?
Для рядового пользователя, работающего с типовыми документами и почтой, базового режима TPM без PIN хватает против описанных в статье сценариев атак, а обязательный PIN усложняет повседневную работу без пропорционального роста защиты. Режим TPM + PIN оправдан для устройств с доступом к особо чувствительным данным — финансовой отчётности, персональным данным клиентов, материалам сделок до их публичного объявления, — где организация сознательно жертвует удобством ради дополнительного барьера против теоретических шинных атак.
Как проверить, что BitLocker включён на всех устройствах парка?
Без централизованного инструмента проверить статус шифрования на парке из сотен ноутбуков вручную нереалистично, поэтому используется отчётность через Microsoft Intune, Endpoint Manager или профильные решения класса MBAM, показывающие статус BitLocker по каждому устройству в едином интерфейсе. Эта видимость и превращает требование «шифрование обязательно» из декларации во внутренней политике в проверяемый факт, который можно предъявить при внешнем аудите безопасности или регуляторной проверке.
Где купить Fujitsu LIFEBOOK U9312X?
Конфигурации с аппаратным TPM 2.0 и сканером вен ладони собраны на странице Fujitsu LIFEBOOK U9312X в каталоге магазина. Там же можно сравнить комплектации по объёму памяти, накопителю и наличию LTE.
