Trusted Platform Modules (TPM) กลายเป็นส่วนสำคัญของความปลอดภัยประจำวัน ติดตั้งบน PC แล้ว จะป้องกันระบบหลายระดับ ป้องกันผู้ไม่ได้รับอนุญาตแฮกเข้า หรือขโมยข้อมูล แม้เป็นข้อกำหนดสำคัญของ Windows 11 สามารถ Bypass ได้ แต่ไม่ควรทำ โดยเฉพาะเมื่อเข้าใจว่ามันช่วยรักษาความปลอดภัยอย่างไร คู่มือนี้รายละเอียดเพิ่มเติม และแนะนำวิธีติดตั้งชิป TPM บนเมนบอร์ด
หน้าที่ของ TPM
TPM เล่นบทบาทสำคัญในความปลอดภัย PC ดูบ้าง:
1. BitLocker Drive Encryption
BitLocker เข้ารหัส Partition ทั้งหมดของไดรฟ์ขณะ PC พัก (At rest) รวม Primary Volume ที่เก็บ Boot Components และ System Information
กรณีเสียหายหรือสูญหาย Hard Drive ข้อมูลยังคงเป็นความลับ ไม่มีใคร Boot เข้า OS เพื่อเข้าถึงข้อมูลได้
TPM ทำงานร่วมกับ System Firmware บันทึกพารามิเตอร์ Startup ของระบบ รวมซอฟต์แวร์ที่โหลดตอน Startup เช่น บันทึก Boot Sequence (จาก Hard Drive หรือ USB)
TPM จะอนุญาตให้ Private Key ถอดรหัสไดรฟ์ได้ก็ต่อเมื่อพารามิเตอร์ที่บันทึกตรงกัน และ Boot เกิดขึ้นอย่างที่คาดไว้ System Firmware และ TPM ทำงานร่วมกันเพื่อเพิ่มความปลอดภัยข้อมูล
2. Windows Hello for Business
Microsoft สร้าง Windows Hello for Business เป็นทางเลือกยืนยันตัวตน (Authentication) ตอนล็อกอิน บางครั้งลืมรหัสผ่าน หรือโดนแฮกเกอร์ขโมย หลายคนใช้รหัสผ่านเดียวทุกบัญชี ถูกโจมตีครั้งเดียว ข้อมูลระบุตัวตนก็อาจโดนขโมย
Windows Hello อนุญาต Provision อุปกรณ์หลายตัวทีละตัว รวมกันและเพิ่ม Cryptographic Keys เข้าไป ทำให้ยืนยันตัวตนได้ดีขึ้นข้ามอุปกรณ์ด้วยบัญชีเดียว TPM เข้ามามีบทบาทที่นี่
ระบบเก็บ Cryptographic Key ไว้ใน TPM ป้องกันจากโจมตี Trojan-horse จาก Malware ที่แอบแฝงเป็น TPM
3. Platform Crypto Provider
Microsoft ใช้ Cryptographic API: Next Generation (CNG) Framework ใช้ Algorithm บนคอมพิวเตอร์เพื่อความปลอดภัย ซอฟต์แวร์/แอปที่ใช้ Cryptography ใช้ CNG API ได้โดยไม่ต้องรู้รายละเอียด Algorithm
Windows จัดเตรียม Algorithmic Implementation ของ CNG ที่ระบบรันผ่าน TPM Hardware บนเมนบอร์ด Implementation นี้ใช้คุณสมบัติเฉพาะของ TPM ป้องกัน Private Keys จากการถูก Duplicate โดย Malware ป้องกัน Dictionary Attacks ที่เดา PIN หลายครั้ง
ต่างจาก Software Solutions แฮกเกอร์ Reverse-engineer TPM เพื่อขโมย/คัดลอก Private Keys ออกมาไม่ได้
วิธีติดตั้งและเปิดใช้งาน Hardware TPM Chip บนเมนบอร์ด PC
ก่อนลงลึกติดตั้งชิป มีข้อพิจารณาสำคัญ:
- PC ผลิตก่อน 2016 อาจไม่รองรับ TPM Chip ในกรณีนี้ ทำไม่ได้มาก แนะนำอัปเกรด Laptop/PC รุ่นใหม่
- PC แต่อาจมี TPM Chip ติดตั้งอยู่แล้วแต่อาจเป็น TPM 1.2 อัปเดต Firmware แก้ไขได้
- PC ผลิตหลัง 2016 โอกาสมากที่มี TPM Chip อยู่แล้ว ต้องแค่ Activate TPM Chip ดูคู่มือวิธีเปิดใช้งาน
- PC ใหม่แต่อาจไม่มี TPM Chip ติดตั้ง ซื้อมาและติดตั้งบนเมนบอร์ดได้
อัปเกรด TPM 1.2 เป็น 2.0
หาก PC มี TPM 1.2 อยู่แล้ว อัปเกรดเพียงพอ ขั้นตอน:
- ติดตั้ง Windows Updates ทั้งหมดก่อนดำเนินการ Updates ทำให้ระบบเสถียรและปลอดภัยขณะอัปเกรด Firmware TPM เป็น 2.0 หากอัปเดตแล้วหรือเปิด Auto-update ข้ามข้อนี้ได้
- Backup ข้อมูลก่อน
- ถ้าใช้ Windows Hello for Business ให้ปิดก่อนอัปเดต TPM ต้อง Clear TPM ภายหลัง จะสูญเสีย PIN หรือ Biometric Details
- ถ้าใช้อุปกรณ์ Microsoft (เช่น Surface Book) ดาวน์โหลด Microsoft TPM Update Tool สำหรับรุ่นเฉพาะ อื่นๆ ต้องหา Firmware Update จากผู้ผลิต มี Link ไปยัง TPM Updates ของผู้ผลิตยอดนิยมด้านล่าง
- ดาวน์โหลด Utility Tool จากผู้ผลิตคอมพิวเตอร์ และรันอัปเดต
- Dell
- HP
- HP Enterprise
- Infineon
- Lenovo
- Panasonic
- Toshiba
- Fujitsu
หลังรันอัปเดต ให้ Clear TPM ด้วยขั้นตอน:
- กดปุ่ม Windows Menu ไป "Settings → Updates and Security → Windows Security → Device Security"
- จะเห็น "Security Processor" คลิก "Security Processor details"
- เลือก "Security processor troubleshooting"
- กดปุ่ม "Clear TPM"
- Restart อุปกรณ์
ติดตั้งชิป TPM บนเมนบอร์ด
ก่อนดำเนินการ: เช็คอุปกรณ์ว่ามี TPM Chip หรือยัง? ถ้ามี มี TPM Header ว่างบนเมนบอร์ดไหม?
2 วิธี: หากเก่งเทคนิค เปิดเคสเช็คเมนบอร์ด เช็คเว็บผู้ผลิตรายละเอียดเทคนิค หรือเช็ค Model Number เมนบอร์ดออนไลน์
สิ่งที่หา: พอร์ทที่หน้าตาแบบนี้ (รูป TPM Port)
TPM Port นี้เปิดอยู่ ติดตั้ง Aftermarket TPM Chip ได้
สำคัญที่สุด: เลือก TPM Chip ให้ถูกต้อง ไม่ใช่ทุกชิปเหมือนกัน เพราะมาตรฐานผู้ผลิตต่างกัน มี 4 รูปแบบ TPM: 12-1 (12-pin), 14-1 (14-pin), 18-1 (18-pin), 20-1 (20-pin)
TPM Module ที่เลือก ต้องมีจำนวน Pin เท่ากับ TPM Header บนเมนบอร์ด 20-pin TPM เข้า 12-pin Header ไม่ได้ และในทางกลับกัน หาจำนวน Pin บน TPM Header
มักจะมีรูหนึ่ง (Anti-insertion Key) บล็อกบน TPM Module เป็นเรื่องปกติ Anti-insertion Key ต้องตรงกับ TPM Header ด้วย
หลังติดตั้ง TPM Chip การ Activate ขึ้นกับอุปกรณ์ สามารถ Activate TPM จาก BIOS หรือ Windows Settings ได้
ดูวิดีโอช่วยสอนติดตั้ง TPM Module ได้ที่นี่
คำถามที่พบบ่อย
1. ใช้ BitLocker โดยไม่มี TPM ได้ไหม?
ได้ สามารถตั้งค่า BitLocker ให้ทำงานโดยไม่มี TPM Module แต่ BitLocker จะเก็บ Encryption Keys นอกคอมพิวเตอร์ (มักเป็น USB Drive) ที่ต้องเสียบทุกครั้งที่ Restart
2. ทำไม TPM ถูก Disable โดย Default?
ถ้า TPM สีเทาบน System BIOS โดย Default หมายถึง Platform Trust Technology (PTT) Enabled อยู่ ต้อง Disable PTT บน PC BIOS เพื่อ Activate TPM Module
3. TPM อยู่ที่เมนบอร์ดหรือ CPU?
TPM Chip อยู่ที่เมนบอร์ด บางครั้งเมนบอร์ดไม่มี Dedicated Chip ใช้ Integrated TPM หรือ Firmware TPM แทน
