Сообщение в утилите Windows 11 PC Health Check, что новая ОС не установится на систему пользователя из-за отсутствия в ней поддержки технологии Trusted Platform Module (TPM) 2.0.28 июня 2021 года Microsoft объяснила, зачем Windows 11 нужен модуль TPM 2.0. Также компания закрыла доступ к утилите PC Health Check, которая только путала пользователей своим анализом их систем.
Microsoft в своем блоге пояснила, что позиционирует Windows 11 как защищенную и безопасную систему. Поэтому и возникло требование по поддержке и наличию в ПК или ноутбуке пользователя модуля TPM 2.0 при установке новой ОС. Разработчик с помощью этой технологии собирается защищать пользователей от растущего уровня киберпреступности в мире, включая распространение фишинговых рассылок и внедрение программ-вымогателей. Microsoft настаивает, что ПК с TPM и новой ОС помогут обеспечить более высокий уровень защиты от различных атак. Позиция компании — все новые ПК с Windows 11 будут поставляться с TPM 2.0.
Эксперты считают, что Windows 11 будет поставляться без требований TPM для систем специального назначения и в те страны, которые не используют западные технологии шифрования, к примеру, в Китай и Россию.
Примечательно, что вопросы про TPM и поддержку многих процессоров в Windows 11 (AMD (Ryzen 2000 и выше), Intel (Intel Core 8 и выше) и ARM (Qualcomm)) начали серьезно беспокоить пользователей после анонса новой ОС.
Microsoft после презентации Windows 11 сообщила о системных требованиях для компьютеров и ноутбуков, владельцы которых смогут обновиться до новой операционной системы. Для удобства компания выпустила утилиту PC Health Check, которой можно было проверить компьютер на совместимость с Windows 11.
Оказалось, что эта программа показывает иногда непонятные ошибки и выдает в итоге, что система не сможет обновиться, хотя все ее компоненты удовлетворяют минимальным требованиям Microsoft по установке ОС Windows 11. В настоящий момент Microsoft прекратила поддержку этой утилиты и закрыла к ней доступ, чтобы не вводить пользователей в заблуждение. Microsoft пообещала устранить ошибки в утилите и сделать ее более удобной для пользователей в ближайшее время.
25 июня 2021 года Microsoft обновила утилиту Windows 11 PC Health Check. Компания добавила в вывод программы показ причины, из-за которой ПК пользователя не сможет обновиться на новую ОС. В первой версии этого приложения было просто уведомление, что система не удовлетворяет минимальным требованиям и пользователь сможет работать только на Windows 10.
Первая предрелизная сборка Windows 11 build 21996.1 появились в Сети 15 июня.
24 июня Microsoft представила Windows 11.
28 июня 2021 года Microsoft выпустила первую официальную предварительную версию Windows 11 Insider Preview build 22000.51 в рамках программы предварительной оценки Windows.
logran
Отмазки конечно у майкрософта. Secure Boot и DRM — вот их основные цели скорее всего, а не безопасность пользователей.
SpyzeR
А что же такого плохого в Secure Boot и TPM?
Да, многие обижаются что у них просто нет TPM и они не смогут обновится, но, имхо, давно уже пора включать шифрование ОС по-умолчанию.
PS: забавно вспоминать как народ бушевал насчет HTTPS, так как, видите ли, его повсеместное использование замедлит Интернет, а шифрование кроме банков никому не нужно :)
thousandsofthem
Вы в слове DRM опечатались. Вот он то и корень всех зол. Для владельцев контента он очень полезный, а вот для конечных пользователей - не очень. Когда 80-90% компьютеров будет оснащено TPM можно будет забанить всех остальных, скажем пускать в ютуб только через drm шифрование. Собственно уже сейчас сервисы типа netflix режут качество всем кроме обладателей девайсов с нужными tpm.
Вот будет праздник у правообладателей когда без анального зонда/черного ящика/trusted compute module нельзя будет даже музыку послушать
P.S. Основная проблема в том, кто управляет устройством и говорит что можно запускать и что нет. Подсказка: с TPM это не вы
SpyzeR
Ну то есть, предполагается, что с приходом TPM на существенное колличество устройств сервисы, которые DRM-free сегодня повально начнут использовать этот модуль, что в итоге обернется невозможностью использовать эти сервисы с того же Linux? Я правильно вас понял?
thousandsofthem
Да. И даже необязательно фильмы/музыка
mrdubz
Безлимитная музыка стоит 2 доллара. Меньше школота будет своих Моргенштернов слушать
rorc
Пока огромная конкуренция включая сайты без лицензии - да, стоимость не значительна. Но какие цены будут, когда смогут диктовать большинству свои условия, можно только предположить. В среднем рост от 5 до 20 раз, если брать похожие истории в других сферах. Музыка за 40$ - не так, чтобы очень дорого, но уже заставит задуматься.
Clasen01
Для меня и за 2$ дорого :)
logran
В этой вашей безлимитной музыке нет 60% того, что я слушаю.
geirby
С «прокатными» фильмами такая же ситуация. Ширпотреб. Массмаркет. Да еще и с региональными ограничениями.
dartraiden
Но ведь это ложь. Secure Boot как раз и позволяет загружаться лишь коду, авторизованному владельцем устройства. TPM не позволяет осуществлять расшифровку накопителя в случае, когда прошивка изменена кем-то, кроме владельца устройства. Если владелец устройства вы, то и служить эти технологии будут вам. Нужно распространять знания о том, как это настроить, а не теории заговора.
На моей машине эти технологии подконтрольны мне и защищают меня, выстраивая цепочку доверенной загрузки. Без неё я банально не могу даже быть уверен, включая устройство, что прошивка или загрузчик не были изменены кем-то, кто полчасика повозился с моим ноутбуком в моё отсутствие.
Основная проблема в другом — кому выгодно, чтобы моё устройство было менее защищённым? Люди, которые пытаются уговорить других ослаблять защиту («анальные зонды») они сознательно подментованные или просто используемые втёмную, что льют воду на мельницу трёхбуквенных (ФСБ, ФБР, АНБ, тысячи их) террористических контор?
K10
Шифрование это случаем не Bitlocker?
Если да, то это фикция, а не шифрование.
anonymous
Почему?
K10
Мастер ключ («восстановления») находится у Microsoft.
Систему шифрования, где ключ доступен третьим лицам, в принципе нельзя серьезно рассматривать.
up40k
Извините, а зачем вы позволяете ключу восстановления (и нет, это не мастер-ключ) попадать к Майкрософт?
thousandsofthem
Если бы это было так, то корпорации не тратили бы такие усилия на вот это вот всё. Все ключи доступа у корпораций, которые создали железо и софт. Ну вот например хочу я сделать скриншот окна программы (или фильма) - а ее создатель поставил "secure" флаг, и теперь это сделать невозможно. От кого, спрашивается, защищаемся? Я вроде бы и владелец, и в то же время нет - любая модификация в мою пользу ведет к тому что программа не запускается, фильм не играется.
Massacre
Утверждение было бы верным, если бы использовались исключительно ключи, сгенерированные владельцем устройства. И без доверия к сторонним организациям, типа Microsoft.
vikarti
Только вот:
Вот как может выглядеть настройка компьютера где главный — владелец:
Наконец продавец притащил новенький ноутбук, поставил его на стол перед Карлом и предложил сконфигурировать дерево доверия.
Карл слегка озадачился. Вообще-то он знал, что в системе Оникс все программы обязательно должны быть подписаны электронной подписью, но до сих пор как-то не задумывался, кто и как решает, чьим подписям доверять. Его разработки для ВКФ в Вене подписывались ключом лаборатории, а при поступлении на «Марианну» Синтия выдала ему сертификат, который признавали все компьютеры и роботы на борту, в том числе ноутбук Торвальдыча.
Теперь же вдруг выяснилось, что когда человек становится владельцем компьютера, то он и только он решает, чьим подписям доверять. Конечно, было бы глупо не доверять подписям производителя операционной системы. Но главный, корневой сертификат, который прошивается в специальную область памяти, и на котором проверяются все прочие — это сертификат владельца компьютера. Для того, чтобы его прошить, нужно не просто загрузиться со специального брелока, а ещё и установить специальную перемычку под небольшой крышкой на нижней стороне корпуса. После того, как была произведена эта операция, продавец залил легкоплавким пластиком разъём, из которого извлекли перемычку, и оттиснул на нем печать.
Кроме этого, имелась специальная область памяти, куда прописывались доверенные сертификаты, подписанные на корневом, чтобы можно было протянуть цепочку доверия от корневого до того, на котором подписано ядро системы.
Несмотря на то, что эти сертификаты были защищены подписью, запись в эту область была возможна только при загрузке с того же самого брелока, на котором лежал свежесозданный корневой ключ — а там была специальная версия системы с полностью удалёнными сетевыми возможностями. То есть сделать что-то с деревом доверия можно было, только держа ноутбук в руках.
В принципе, достаточно было иметь в дереве всего два сертификата: производителя операционной системы, который обеспечивал доверие не только программам, включённым в состав этой системы, но и некоторым сторонним приложениям, за качество которых ручался производитель системы — и системного администратора корабля, поскольку в Торгфлоте было принято, что корабельный сисадмин имеет кое-какие права в том числе и на личных ноутбуках экипажа. Но Лада посоветовала Карлу сразу же поместить туда ещё и собственный сертификат разработчика, ключом от которого можно было пользоваться без перезагрузки со специального носителя.
Идея, что компьютер действительно принадлежит ему, была для Карла довольно необычной, и он долго крутил её в голове, пока Лада чуть ли не на буксире волокла его от магазина электроники к следующим намеченным целям. До сих пор Карл никогда не был полновластным хозяином на компьютере, где работал. Поставщик операционной системы, родители, системные администраторы школы и университета, операторы сети связи, заказчики… Все они всегда оставляли за собой право что-то требовать от компьютера, на котором когда-либо работал Карл, и расценивали вторжение в свою область как нарушение — либо условий договора, либо просто как злостное компьютерное хулиганство. Поэтому ноутбук Торвальдыча Карл тоже воспринимал как какую-то вещь в себе. Вот завела Лада ему логин, вот принимает этот компьютер сертификат ключа Карла для подписи программ, выданный Синтией — больше вроде ничего и не надо… Потребовалось улететь от родной системы на двадцать пять световых лет, чтобы наконец завести компьютер, которому он является полновластным хозяином.
Тоже (по сути) TPM. Только сделанный максимально удобно для людей.
K10
Т.е. я правильно понимаю, что это не даст работать сторонним загрузчикам?
yoda776
Сервисы типа рутрекера вам в помощь.
vikarti
Если у нас "доверенная" ОС то:
…
…
...
....
bgBrother
Не сложно при этом представить, что первыми на роль «запуск неавторизованного неисследованного кода» на клиентских машинах будут спец. службы.
K10
DRM предполагает выполнение стороннего загружаемого кода?
Просто никогда не интересовался этой технологией.
bgBrother
В каждом из популярных процессоров есть Intel SGX, TrustZone или AMD PSP, выполняющие функцию запуска неисследуемого никем кроме владельца приватного ключа в процессоре. fTPM и Windows 11 этому только способствуют. Шифровать код могут все «партнёры», получившие публичный ключ.
Как только ключ какого-то вендора будет слит — сразу появятся вирусы. Даже ядро ОС не сможет получить доступ к trusted memory и trusted functions этих вирусов, не говоря уже о антивирусах. Публичная информация о утечке ключей появляется чуть ли не каждый год. А ещё есть уязвимости самих платформ типа Intel ME…
Смотрите подробности в «Технология Intel Software Guard Extensions в картинках» и «Аппаратное шифрование DRAM уже близко. Чем оно грозит простым пользователям?».
Можно с уверенностью заявлять, что основные подвижки с TPM именно из-за улучшения показателей DRM, а не ради блага конечного пользователя десктоп системы, как это и было ранее со смарт-картами и первыми криптопроцессорами, которые сейчас и используются для TPM. На серверах действительно плюсы TPM перевешивают, но не на десктопах.