Win8 TPM可信平台模組管理詳細解析：定義、核心功能與硬體綁定風險

TPM (Trusted Platform Module，可信平台模組) 是現代筆電主機板內建的專用安全晶片，為 Windows 8/8.1/10/11 核心安全功能（BitLocker、Windows Hello、虛擬智慧卡、憑證保護）提供硬體級信任錨點。本文詳細解析定義、功能與關鍵風險。

定義

TPM 是可信運算平台 (TCG) 核心元件，內含處理器、非揮發性儲存體 (NVRAM)、隨機數產生器、非對稱加解密引擎 (RSA/ECC)、平台設定登錄器 (PCR)。所有加解密運算在 TPM 內部完成，私鑰永不離開晶片，抵禦軟體層面竊取。

核心功能（需專用安全軟體/作業系統支援）

Windows 整合應用

• BitLocker：TPM 2.0 + PIN/啟動金鑰 → 系統盤透明加密，防離線攻擊。
• Windows Hello：生物辨識模板與金鑰儲存於 TPM，防竊取重放。
• 虛擬智慧卡：軟體模擬智慧卡，私鑰在 TPM，支援 PKI 登入/簽章。
• Credential Guard：虛擬化隔離 LSASS，NTLM/Kerberos 憑證儲存於 VTL (虛擬信任層級)，TPM 保護 VTL 金鑰。

關鍵風險：一對一硬體綁定

• TPM 晶片與主機板物理綁定（焊接或專用插槽），不可單獨移植。
• 啟用 TPM 保護 (BitLocker/Windows Hello) 後遺忘密碼/PIN/復原金鑰 → 資料永久無法恢復，主機板與 TPM 必須同時更換才能重新使用，但加密資料仍無法解密。
• 企業部署必須建立 復原金鑰備份機制 (AD 儲存、Azure AD、MBAM、列印/USB 備份)。

TPM 版本演進

檢查裝置 TPM 狀態

• Win+R → tpm.msc → 狀態顯示「TPM 已準備好供使用」、規格版本、製造商資訊。
• PowerShell：Get-Tpm 查看 TpmPresent、TpmReady、TpmEnabled、SpecVersion。

理解 TPM 定義、功能與風險，是現代 Windows 安全架構的基石知識。