Le terme Trusted Platform Module désigne des puces de sécurité intégrées à la carte-mère d’un or­di­na­teur. Avec ses fonctions de sécurité de base, le TPM crée un en­vi­ron­ne­ment sûr qui vérifie l’intégrité du système, au­then­ti­fie les uti­li­sa­teurs ou stocke des clés cryp­to­gra­phiques ou des mots de passe. Publiée en 2018, la version TPM 2.0 ajoute de nouvelles fonc­tion­na­li­tés, notamment l’uti­li­sa­tion de dif­fé­rents al­go­rithmes de hachage, des numéros d’iden­ti­fi­ca­tion per­son­nels et une gestion des clés per­son­na­li­sée.

In­tro­duc­tion : que veut dire Trusted Platform Module ?

Nous con­nais­sons pra­ti­que­ment tous les dis­po­si­tifs de pro­tec­tion clas­siques contre les malwares, les rootkits ou les ran­som­wares. Parmi eux, on peut citer les pare-feu, les antivirus ou encore l’au­then­ti­fi­ca­tion à deux facteurs. Dans la même veine, le Trusted Platform Module est une puce de sécurité qui ajoute un niveau de pro­tec­tion sup­plé­men­taire au système.

La puce TPM est un matériel qui se trouve dans les or­di­na­teurs portables et de bureau, à la fois pour au­then­ti­fier les appareils et les profils, mais aussi pour vérifier l’intégrité du système ou des licences lo­gi­cielles. Une autre fonction im­por­tante des puces TPM consiste à stocker les clés cryp­to­gra­phiques, les mots de passe et des cer­ti­fi­cats. En créant un en­vi­ron­ne­ment sûr et in­vio­lable, TPM vérifie la sécurité des com­po­sants logiciels et matériels l’un après l’autre au démarrage. Par com­pa­rai­son avec des modèles sta­tis­tiques de données en­re­gis­trées, le TPM émet une alerte s’il détecte un schéma intrusif. Si au­pa­ra­vant les TPM étaient gé­né­ra­le­ment utilisés comme des puces de sécurité à part, les or­di­na­teurs les plus récents disposent le plus souvent de fonc­tion­na­li­tés TPM intégrées dès la sortie d’usine.

TPM 2.0, c’est quoi ?

La TPM a été dé­ve­lop­pée par le con­sor­tium in­for­ma­tique TCG (Trusted Computing Group) et nor­ma­li­sée en 2009 par l’Or­ga­ni­sa­tion in­ter­na­tio­nale de nor­ma­li­sa­tion (ISO) et la Com­mis­sion élec­tro­tech­nique in­ter­na­tio­nale (CEI) sous la référence ISO/IEC 11889:2009. Le premier TPM définitif a été publié le 3 mars 2011 sous le nom de TPM version 1.2. Avec TPM 2.0, la nouvelle norme TPM sortie en 2019, sous la référence ISO/CEI 11889:2015, inclut de nouvelles fonctions de sécurité. Des op­ti­mi­sa­tions ont été apportées, entre autres, à l’ar­chi­tec­ture et à la structure TPM ainsi qu’aux commandes TPM et aux routines de support.

Où se trouve le TPM 2.0 ?

Comme la puce TPM 2.0 fonc­tionne comme un pro­ces­seur dédié, elle est di­rec­te­ment intégrée à la carte-mère de l’or­di­na­teur, qu’il soit portable ou de bureau. En règle générale, la plupart des nouveaux PC et or­di­na­teurs portables disposent de TPM intégrés en usine et d’une com­pa­ti­bi­lité TPM. De plus, il est possible de trouver des cartes mères qui ne com­por­tent pas de puce TPM 2.0 préins­tal­lée, mais qui con­tien­nent l’em­pla­ce­ment dédié pour une puce sup­plé­men­taire. Il est ainsi possible d’intégrer après coup une puce de sécurité TPM in­dé­pen­dam­ment de l’unité centrale. Lors de l’achat de puces TPM séparées, il est re­com­mandé d’utiliser de pré­fé­rence des puces qui pro­vien­nent du même fabricant que la carte-mère et de la même année.

Faut-il obli­ga­toi­re­ment un TPM 2.0 pour Windows 11 ?

Avec la sortie de Windows 11, TPM 2.0 est devenu une exigence ma­té­rielle de la nouvelle version du célèbre système d’ex­ploi­ta­tion. De nom­breuses personnes tra­vail­lant tous les jours sur Windows n’avaient pas remarqué l’existence du TPM 2.0 avant la mise à niveau vers Windows 11. Si l’or­di­na­teur ne dispose pas de TPM ou si la fonction TPM est dé­sac­ti­vée, un message s’affiche indiquant que le TPM n’a pas été trouvé ou qu’il n’est pas com­pa­tible. De plus, il est né­ces­saire d’avoir un UEFI (Unified Ex­ten­sible Firmware Interface) avec fonction de démarrage sécurisé.

Sous Windows 11, TPM 2.0 apporte notamment les fonctions suivantes :

  • Windows Hello :contrôle d’accès bio­mé­trique et iden­ti­fi­ca­tion par empreinte digitale et/ou scan de l’iris, re­con­nais­sance faciale au moyen de la clé d’en­dos­se­ment (EKPub) et de la clé d’identité d’at­tes­ta­tion (AIK) ;
  • Chif­fre­ment de lecteur BitLocker : pour le chif­fre­ment de volumes logiques et de lecteurs entiers ;
  • Cartes à puce vir­tuelles : à l’instar des cartes à puce physiques, une Virtual Smartcard sert à contrôler l’accès aux systèmes et res­sources externes ;
  • Mesure de l’état au démarrage du TPM : les métriques TPM de l’état de démarrage de Windows per­met­tent de vérifier l’intégrité des com­po­sants du système et des con­fi­gu­ra­tions Windows en mesurant les séquences de démarrage ;
  • Cer­ti­fi­cats AIK : les cer­ti­fi­cats AIK stockés dans le TPM comparent les données de démarrage mesurées avec les métriques attendues de l’état de l’appareil ;
  • Défense contre les attaques par dic­tion­naire : protège contre les attaques par force brute qui tentent de con­tour­ner la pro­tec­tion du mot de passe en in­ter­ro­geant au­to­ma­ti­que­ment les listes de dic­tion­naires ;
  • Cre­den­tial­Guard : isole les données de connexion et les données uti­li­sa­teur et protège les clés stockées grâce à un contrôle de sécurité basé sur la vir­tua­li­sa­tion.

Quels sont les avantages apportés par Trusted Platform Module 2.0 ?

Les fonctions TPM 2.0 pré­sen­tent de nombreux avantages, notamment :

  • Générer et stocker de clés cryp­to­gra­phiques, de mots de passe et de cer­ti­fi­cats pour les systèmes de chif­fre­ment multi-sécurisés ;
  • Détecter les ma­ni­pu­la­tions du BIOS via une valeur de contrôle dans le Platform Con­fi­gu­ra­tion Register (PCR) 17 ;
  • TPM 2.0 offre une nouvelle fonction d’échange d’al­go­rithmes pour utiliser dif­fé­rents al­go­rithmes en parallèle ;
  • Les sig­na­tures de vé­ri­fi­ca­tion prennent en charge les numéros d’iden­ti­fi­ca­tion per­son­nels ainsi que les données de po­si­tion­ne­ment basées sur des contrôles d’accès bio­mé­triques ou globaux ;
  • Gérer les clés dans TPM 2.0 permet une uti­li­sa­tion limitée ou sous con­di­tions des clés cryp­to­gra­phiques ;
  • Plus flexible, TPM 2.0 peut s’utiliser dans des appareils avec des res­sources moindres ;
  • Vérifier les licences lo­gi­cielles grâce à la gestion des droits nu­mé­riques (DRM) ;
  • Garantir l’intégrité de la pla­te­forme grâce à des métriques de con­fi­gu­ra­tion qui vérifient les séquences de démarrage en termes de sécurité et de mo­di­fi­ca­tions ;
  • Au­then­ti­fier le matériel du système d’ex­ploi­ta­tion par système de chif­fre­ment RSA ;
  • Utiliser le hachage pour les clés d’en­dos­se­ment (EKPub) et les clés d’identité d’at­tes­ta­tion (AIK) afin de vérifier l’intégrité et la sécurité du système ;
  • Combiner des pare-feu sécurisés, des cartes à puce, une pro­tec­tion d’accès bio­mé­trique ainsi que des pro­grammes antivirus pour optimiser la pro­tec­tion contre les malwares, les ran­som­wares, les attaques par force brute et le phishing.

Mon or­di­na­teur est-il équipé d’un TPM 2.0 ?

Pour savoir si votre appareil Windows est déjà équipé du TPM 2.0, utilisez les méthodes suivantes pour vérifier la présence de TPM 2.0 dans le système. À noter que même les puces TPM 2.0 intégrées ne sont pas toujours activées par défaut.

Accéder au TPM 2.0-Manager

Étape 1 : dans la barre de recherche de Windows, tapez la commande « tpm.msc » pour accéder à l’outil intégré de gestion TPM ;

Étape 2 : si votre or­di­na­teur dispose d’une puce TPM 2.0 dédiée, les in­for­ma­tions sur la version du TPM s’affichent dans la fenêtre de menu. S’il n’y a pas de TPM 2.0, Windows vous informe qu’il n’y a pas de com­po­sants TPM com­pa­tibles.

Accéder au Ges­tion­naire de pé­ri­phé­riques

Étape 1 : appuyez sur le raccourci Windows [Windows] + [X] et allez dans « Ges­tion­naire de pé­ri­phé­riques ».

Étape 2 : dans le menu latéral gauche, allez dans « Pé­ri­phé­riques de sécurité » et ouvrez le menu déroulant. Le cas échéant, vous verrez s’afficher « Trusted Platform Module 2.0 ».

Vérifier par l’invite de commande

Étape 1 : ouvrez la boîte de dialogue « Exécuter » avec le raccourci [Windows] + [R], saisissez la commande « cmd » et appuyez ensuite sur le raccourci [Windows] + [Maj] + [Entrée] pour ouvrir l’invite de commande en tant qu’ad­mi­nis­tra­teur.

Étape 2 : saisissez la commande suivante et appuyez sur [Entrée] :

wmic /namespace:\\root\cimv2\security\microsoftTPM 2.0 path win32_TPM 2.0 get /value.
shell

Si votre appareil est équipé d’une puce TPM 2.0, le numéro de version ap­pa­raî­tra dans la ligne « Spec­Ver­sion= ».

Comment activer ou dé­sac­ti­ver TPM 2.0 ?

L’état du TPM 2.0 dépend de l’année de votre or­di­na­teur. Même si les machines les plus récentes disposent en général de TPM intégrés qui peuvent être activés par défaut, il n’y a aucune certitude que ce soit le cas. Parfois, il se peut qu’une mise à jour du BIOS ou de l’UEFI soit né­ces­saire.

Au besoin, il existe plusieurs méthodes pour activer ou dé­sac­ti­ver TPM 2.0 :

Activer ou dé­sac­ti­ver le TPM 2.0 dans le BIOS

Étape 1 : re­dé­mar­rez votre machine et accédez au BIOS. Selon le système d’ex­ploi­ta­tion ou le pé­ri­phé­rique, utilisez pour cela les touches [F2], [F12] ou [Suppr] au démarrage. Attention : il est conseillé de toujours faire une sau­ve­garde du système ainsi qu’une sau­ve­garde pour vos clés, mots de passe et cer­ti­fi­cats im­por­tants avant d’effectuer des mo­di­fi­ca­tions dans le BIOS.

Étape 2 : allez dans le menu Sécurité > Trusted Computing.

Étape 3 : activez l’option Security Device Support.

Étape 4 : activez PTT sous « TPM 2.0-Device ».

Étape 5 : en­re­gis­trez les mo­di­fi­ca­tions et re­dé­mar­rez l’or­di­na­teur. Suivez la procédure stric­te­ment inverse pour le dé­sac­ti­ver.

Activer ou dé­sac­ti­ver le TPM 2.0 via l’outil de gestion

Étape 1 : saisissez « tpm.msc » dans la barre de recherche Windows et en appuyez sur [Entrée].

Étape 2 : naviguez jusqu’à État > Action et lisez at­ten­ti­ve­ment la page « Activer le module de pla­te­forme sécurisée TPM 2.0 » affichée.

Étape 3 : allez sur « Arrêter » ou « Re­dé­mar­rer » et suivez les étapes UEFI cor­res­pon­dantes.

Étape 4 : lors du démarrage, acceptez la re­con­fi­gu­ra­tion TPM 2.0. Le système s’assure ainsi que seules les personnes au­then­ti­fiées peuvent effectuer des mo­di­fi­ca­tions. Vous avez main­te­nant activé TPM 2.0 sous Windows 11.

Étape 5 : pour le dé­sac­ti­ver, retournez dans la section État > Action puis dans la boîte de dialogue « Dé­sac­ti­ver le module de pla­te­forme sécurisée TPM 2.0 », choi­sis­sez si vous souhaitez saisir votre mot de passe pro­prié­taire via un support amovible, ma­nuel­le­ment, ou dé­sac­ti­ver sans mot de passe.

Quelles con­sé­quences après dé­sac­ti­va­tion du TPM ?

En cas de dépannage, de réins­tal­la­tion ou de mise à niveau, la sup­pres­sion ou la dé­sac­ti­va­tion de TPM 2.0 peut, dans certains cas, entraîner une perte in­vo­lon­taire de données : clés cryp­to­gra­phiques, cer­ti­fi­cats et mots de passe stockés dans TPM 2.0. Pour éviter ce type de mauvaise surprise, respectez ces mesures de sécurité suivantes à titre préventif :

  • Créez une sau­ve­garde ou une méthode de res­tau­ra­tion des données stockées via TPM 2.0.
  • Ne supprimez/dé­sac­ti­vez TPM 2.0 que sur vos propres appareils ou en accord avec l’ad­mi­nis­tra­teur in­for­ma­tique compétent.
  • Vérifiez les in­for­ma­tions relatives au TPM 2.0 dans le manuel du fabricant ou sur le site de l’en­tre­prise du fabricant.
  • Si possible, dé­sac­ti­vez TPM 2.0 à l’aide de l’outil de gestion TPM ou sau­ve­gar­dez le système avant d’apporter des mo­di­fi­ca­tions dans le BIOS.

Quels sont les dif­fé­rents types de TPM 2.0 ?

Selon le type de montage, voici les dif­fé­rents TPM 2.0 :

  • Discrete TPM 2.0 : avec sa puce de sécurité dédiée, le TPM 2.0 « discret » propose dif­fé­rents al­go­rithmes de chif­fre­ment, une pro­tec­tion contre les in­tru­sions ainsi qu’une grande stabilité ;
  • TP M 2.0 physique : intégré à l’unité centrale, il offre des fonctions de sécurité physiques qui protègent contre les in­tru­sions et les malwares ;
  • TPM 2.0 firmware : à l’instar de la variante TPM 2.0 physique, le TPM 2.0 mi­cro­gi­ciel utilise un en­vi­ron­ne­ment CPU sécurisé et protège des in­tru­sions et des mo­di­fi­ca­tions non au­then­ti­fiées ;
  • TPM 2.0 virtuel : un hy­per­vi­seur peut créer un TPM 2.0 virtuel pour générer des clés de sécurité in­dé­pen­dam­ment des machines vir­tuelles ;
  • TPM 2.0 logiciel : les TPM 2.0 logiciels sont les moins re­com­man­dés en raison de leur faible niveau de sécurité, de leur vul­né­ra­bi­lité aux malwares et de leur ins­ta­bi­lité.
Aller au menu principal