知識マップ: WindowsのTPMとは何か ── 図解でわかる「鍵を外に出さない金庫」と測定起動

記事「WindowsのTPMとは何か ── 図解でわかる「鍵を外に出さない金庫」と測定起動」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

TPMは秘密鍵をチップの外に出さないまま使わせる金庫と、起動時に読み込まれたものをPCRに記録する台帳を兼ねた受動的なセキュリティプロセッサです。BitLockerはこのPCRの測定値に鍵を封印し、ファームウェア更新やハードウェア交換で測定値が変わると回復モードに入ります。Windows Hello・Credential Guard・デバイスの正常性証明・仮想スマートカードはいずれもTPMを土台にしており、開発者は自社アプリの鍵保護にCNGのPlatform Crypto Providerを使います。

WindowsのTPMの知識マップTPMの内部構造(EK・SRK・AIK・PCR)、測定起動がPCRに起動時の測定値を積み上げる仕組み、BitLockerがPCRへ鍵を封印し測定値の変化で回復モードに入る関係、Windows Hello・Credential Guard・デバイスの正常性証明・仮想スマートカードといったTPMを土台にする機能、dTPM・fTPM・PlutonというTPMの実装形態、Windows 11のTPM 2.0要件とIoT Enterpriseでの緩和、開発者向けのCNG Platform Crypto Providerの関係を示す図利用する利用する前提とする実装を担う利用する利用する利用する利用する軽減する原因になり得る原因になり得る原因になり得るより先に行うべき利用する前提とする前提とする両立しない前提とする利用する実装を担う用いるのは非推奨推奨される対応利用する利用する利用する利用するの後継利用する両立しない利用するで確認できるで確認できる用いるのは非推奨原因になり得るTPMEK(保証鍵/Endorsement Key)SRK(ストレージルート鍵/Storage Root Key)AIK(証明用の鍵/Attestation Identity Key)PCR(Platform Configuration Register)測定起動(Measured Boot)BitLockerUEFIセキュアブートBitLocker回復モードファームウェア更新ハードウェア交換TPMのクリア保護の一時停止(サスペンド)Windows Hello for BusinessTPMの辞書攻撃対策(ロックアウト)Windows 11の最小要件TPM 2.0レガシー/CSM(Compatibility Support Module)モードWindows 11 IoT EnterprisePlatform Crypto ProviderCNG(Cryptography API: Next Generation)TBS(TPM Base Services)アプリの秘密情報Credential Guardデバイスの正常性証明(Device Health Attestation)仮想スマートカードディスクリートTPM(dTPM)ファームウェアTPM(fTPM)Microsoft PlutonGet-Tpmmanage-bdeデータ消去手順

概念間の関係(全34件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

主要概念の定義

TPM
暗号鍵を外部に出さずに保護し、起動環境の改ざん検証を担うセキュリティモジュール。
AIK(証明用の鍵/Attestation Identity Key)
EKの代わりに外部へ提示する身分証となる鍵。EKをそのまま公開するとPCが一意に識別されプライバシー上の問題になるため、認証局がEK証明書を使って発行する。
測定起動(Measured Boot)
実行する前に次に読み込むコンポーネントを測定(ハッシュ化)してTPMのPCRに記録する起動プロセス。BitLockerの鍵封印の土台になる。
BitLocker
ドライブ全体を暗号化して紛失・盗難・不適切な廃棄によるデータ流出を防ぐWindowsの機能。
UEFIセキュアブート
署名検証に通ったブートコンポーネントだけを起動させるUEFIの仕組み。
ファームウェア更新
PCのBIOS/UEFIファームウェアを更新する作業。
ハードウェア交換
マザーボード交換やドライブの別PCへの移設など、起動環境が変わるハードウェアの変更。
TPMのクリア
TPMに紐づく鍵と、その鍵で保護されたデータ(仮想スマートカードやサインインPINなど)をすべて失わせる操作。ディスク上のデータそのものは消去しない。
保護の一時停止(サスペンド)
暗号化を保ったままBitLockerの保護を一時的に無効化する操作。既定では再起動で自動再開する。
Windows Hello for Business
デバイスごとにプロビジョニングされた鍵と、PINや生体情報を組み合わせて認証する仕組み。TPMがあれば鍵をTPMが保護する。
Windows 11の最小要件
互換性のある64bit CPU、メモリ4GB、ストレージ64GB、DirectX 12以上・WDDM 2.0のグラフィックス、720p以上のディスプレイ、「UEFI、セキュアブート対応」のファームウェア、TPM 2.0を含む、Windows 11の最小システム要件。
TPM 2.0
複数の暗号アルゴリズムに対応し(暗号アジリティ)、ISO/IEC 11889:2015として国際標準化されたTPM仕様。Windows 11の要件で、ネイティブUEFI構成を前提としレガシー/CSMモードでは動作しない。
Windows 11 IoT Enterprise
専用機向けに緩和された最小要件(TPM・セキュアブートが任意になりうる)を持つWindows 11のエディション。緩和対象はIoT Enterprise LTSCと非LTSCの24H2以降で、非LTSCの21H2〜23H2はTPM 2.0が必須。IoTなしのWindows 11 Enterprise LTSCは緩和対象外。
Platform Crypto Provider
TPMを利用するCNGキーストレージプロバイダー(KSP)。秘密鍵を安全に保管し、悪意あるソフトウェアからも取り出せないようにする。
CNG(Cryptography API: Next Generation)
暗号プロバイダーとキーストレージプロバイダーを分離したWindowsの暗号API。Platform Crypto ProviderはこのキーストレージプロバイダーのTPM実装。
TBS(TPM Base Services)
アプリケーション横断でTPMアクセスを調停する、RPC経由のAPIを提供する低レベルシステムサービス。鍵保管用途にはより高水準なキーストレージAPIの利用が推奨される。
Credential Guard
資格情報のハッシュ処理をカーネルからアクセスできない分離メモリ領域で行う機能。TPMを使ってその領域の鍵を測定値で保護する。
デバイスの正常性証明(Device Health Attestation)
TPMの測定起動情報をAIKで解析し、BitLockerやセキュアブートの有効性などを単純な表明に変換して、MDMの条件付きアクセス判断に使うサービス。
仮想スマートカード
TPMを常に挿さっているスマートカードとして振る舞わせる機能。現在はWindows Hello for BusinessやFIDO2セキュリティキーへの移行が推奨されている。
ディスクリートTPM(dTPM)
マザーボード上に実装された独立した専用TPMチップ。OEMがシステム本体とは別に評価・認証できる。
Microsoft Pluton
CPUに統合された、マイクロソフト設計のセキュアな暗号プロセッサ。TPMの機能を提供しつつTPM 2.0仕様の範囲を超えた機能も持ち、ファームウェアをWindows Update経由でも更新できる。

機械可読データ

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。