Microsoft тихо изменила правила игры для TPM в Windows 11. Начиная с процессоров, выпущенных в 2026 году, фирменный защищённый процессор Pluton больше не будет выполнять функции Trusted Platform Module на платформах AMD и Qualcomm. Вместо него TPM 2.0 станет реализовываться через прошивочный TPM (fTPM) производителя чипа или через отдельную микросхему TPM. Об этом говорится в примечании к документации Microsoft «Pluton as TPM», последнее обновление которой датировано 16 сентября.
Сама Windows 11 по-прежнему требует TPM 2.0 — это требование из минимальных системных требований, и в конце 2024 года Microsoft называла его неоспоримым стандартом. Так что для обычного пользователя ничего не ломается: BitLocker и Windows Hello продолжат работать как раньше. Меняется другое — кто именно отвечает за исправление уязвимостей в TPM и как быстро эти исправления доходят до вашего компьютера.
Что именно написано в документации
Цитата из примечания Microsoft: «Beginning with 2026 silicon, Microsoft Pluton no longer serves as the TPM on AMD and Qualcomm platforms. On these platforms, as well as on Intel, TPM 2.0 functionality is instead delivered through the vendor’s firmware TPM (fTPM) or a discrete TPM».
В некоторых публикациях это подавалось как отказ Pluton от роли TPM и на Intel, но Microsoft называет только AMD и Qualcomm. При этом в документации Intel тоже указан в этой схеме: на компьютерах с Intel TPM 2.0 обычно обеспечивается фирменным прошивочным TPM Platform Trust Technology (PTT) или отдельной микросхемой. Процессоры Intel Core Ultra 200V и Core Ultra Series 3 содержат Pluton, но, судя по формулировке, он там тоже не выступает в роли TPM.
Компания не объяснила причину решения и не уточнила, какие именно чипы считаются «2026 silicon». Например, ноутбуки на Snapdragon X2 были представлены на CES 2026, хотя Qualcomm анонсировала эти чипы в сентябре 2025 года. Ирония в том, что основная страница Microsoft, посвящённая Pluton и обновлённая в мае, до сих пор гласит: «Microsoft Pluton is designed to provide the functionality of the Trusted Platform Module (TPM)».
Три вида TPM и как проверить свой
Согласно рекомендациям Microsoft, TPM 2.0 бывает трёх видов:
- Дискретный TPM — отдельная микросхема на материнской плате;
- Интегрированный TPM — встроен в корпус чипа, но логически отделён от него;
- Прошивочный TPM (fTPM) — работает в доверенной среде выполнения на самом процессоре.
Windows использует любой совместимый TPM одинаково, и Microsoft заявляет, что не отдаёт предпочтения ни одному из вариантов. Правда, тут же признаёт: «There are variations in the security properties of different TPM implementations».
Проверить, какой TPM стоит у вас, можно так: нажмите Win + R, введите tpm.msc и посмотрите раздел TPM Manufacturer Information. В поле Specification Version должно быть указано 2.0, а в Manufacturer Name — производитель. Заодно имеет смысл проверить и другие недавние изменения в системе: например, Windows 11 KB5124008, после которого File History тихо перестала делать бэкапы, — такие сбои всплывают только при попытке восстановить данные.
Кого изменения не касаются
Существующие ноутбуки и ПК на чипах AMD и Qualcomm 2025 года и более ранних, где Pluton настроен как TPM, остаются полностью обслуживаемыми и поддерживаемыми. В примечании Microsoft прямо сказано: «Devices built on 2025 or earlier AMD and Qualcomm silicon that ship with Pluton configured as the TPM remain fully serviced and supported». Сам Pluton никуда не исчезает — он продолжит присутствовать и поддерживаться на существующих и будущих устройствах Windows, обеспечивая изолированную аппаратную среду безопасности.
Microsoft анонсировала Pluton вместе с AMD, Intel и Qualcomm в ноябре 2020 года. Тогда Дэвид Уэстон, ныне корпоративный вице-президент по безопасности ИИ, объяснял, что злоумышленник с физическим доступом может «target the communication channel between the CPU and TPM», а архитектура Pluton «removes the potential for that communication channel to be attacked». Первые ПК с Pluton должны были эмулировать TPM, а сама разработка опиралась на опыт Microsoft с Xbox One и Azure Sphere. К маю 2024 года Microsoft заявила, что Pluton «will be enabled by default on all Copilot+ PCs».
Чем это грозит на практике: обновления через BIOS
Главный козырь Pluton — обновления. Microsoft говорит, что он «allows for other Pluton firmware and OS features to be delivered over time via Windows Update», и при загрузке Windows загружает более свежую прошивку Pluton, если она есть. Прошивочный TPM — часть прошивки производителя чипа, поэтому исправления обычно приходят в виде обновления BIOS от изготовителя компьютера.
В августе AMD раскрыла две уязвимости высокой степени опасности в эталонном коде TPM 2.0, затрагивающие её прошивочные TPM, и рекомендовала пользователям «contact your OEM for the BIOS update specific to your product(s)». Если производитель ноутбука медлит с BIOS, ваш TPM может оставаться незащищённым дольше.
У fTPM от AMD и раньше была не лучшая репутация. В 2022 году он вызывал случайные подтормаживания на некоторых ПК с Ryzen, а исправление пришло через обновления BIOS с AGESA 1207 или более поздней версии. Годом позже исследователи из TU Berlin взломали fTPM AMD на процессорах Zen 2 и Zen 3, потратив около 200 долларов на оборудование и несколько часов физического доступа.
Если вы ставите обновление BIOS, держите под рукой ключ восстановления BitLocker: изменения прошивки могут вызвать экран восстановления BitLocker. О том, как в Windows 11 обстоят дела с другими критичными сроками, напоминает и материал про последний сертификат Secure Boot, истекающий 19 октября: просроченные сертификаты и непроверенные обновления прошивки бьют по одной и той же цепочке доверия при загрузке.
Плата за перемены: совместимость и доверие
У Pluton тоже были свои издержки. Lenovo выпустила ThinkPad на Ryzen 6000 в 2022 году с отключённым по умолчанию Pluton, а Linux потребовалось ядро 6.3 для поддержки TPM на Pluton — разработчик Мэтью Гарретт добавил её без какой-либо документации.
Прошивочный TPM работает внутри процессора, поэтому он не подвержен атакам на шину между CPU и TPM, о которых говорил Уэстон. А вот дискретная микросхема TPM такой уязвимости подвержена.
По мнению автора оригинальной статьи, Microsoft отказалась от важной части преимуществ Pluton в примечании к документации, не дав дополнительных объяснений. Если вы покупаете ноутбук на AMD или Snapdragon 2026 года, стоит заранее выяснить, как часто его производитель выпускает обновления BIOS. Кому вы доверите исправлять TPM — Microsoft или изготовителю ноутбука?
Частые вопросы
Кого касается изменение?
Тех, кто покупает или будет покупать компьютеры на процессорах AMD и Qualcomm, выпущенных в 2026 году и позже. Устройства на чипах 2025 года и более ранних, где Pluton уже работает как TPM, остаются на прежней схеме.
Windows 11 теперь можно ставить без TPM 2.0?
Нет. Требование TPM 2.0 в минимальных системах Windows 11 сохраняется. Меняется только то, какой именно модуль TPM используется — прошивочный или дискретный вместо Pluton.
Как узнать, какой TPM установлен на моём компьютере?
Нажмите Win + R, введите tpm.msc и откройте раздел TPM Manufacturer Information. Поле Specification Version должно показывать 2.0, а Manufacturer Name укажет производителя модуля.
Перестанет ли работать BitLocker после смены TPM?
Нет. Microsoft подтверждает, что BitLocker и Windows Hello работают как обычно. Ключи шифрования по-прежнему хранятся в TPM, просто в другом его виде.
Что будет с Pluton на новых процессорах?
Pluton останется внутри чипов и продолжит обеспечивать изолированную аппаратную среду безопасности для Windows, но перестанет выполнять функции TPM на платформах AMD и Qualcomm 2026 года.
Как теперь будут приходить исправления безопасности TPM?
Через обновления BIOS от производителя компьютера, а не через Windows Update, как было с Pluton. Скорость установки патчей будет зависеть от расторопности вендора ноутбука или материнской платы.
Опаснее ли прошивочный TPM, чем Pluton?
Он защищён от атак на шину между CPU и TPM, поскольку работает внутри процессора. Но у fTPM AMD уже были проблемы: случайные подтормаживания в 2022 году и взлом исследователями из TU Berlin на Zen 2 и Zen 3. Дискретный TPM, наоборот, уязвим к атакам на шину.
Нужно ли что-то делать владельцам существующих ПК с Pluton?
Нет. Устройства на чипах 2025 года и старше с Pluton в роли TPM остаются полностью обслуживаемыми и поддерживаемыми, включая обновления безопасности.
Почему Microsoft не объяснила причину смены?
Компания не дала публичных пояснений и не уточнила, какие именно чипы попадают под определение «2026 silicon». В документации лишь зафиксирован сам факт изменения с 16 сентября.
Источник: windowslatest.com