Moederbordfabrikanten schakelen Windows 11-vereiste TPM 2.0 nu standaard in

Diverse fabrikanten schakelen TPM 2.0 standaard in op moederborden die vanaf nu van de band rollen. Daarmee spelen ze in op het vereisen van deze functie door Windows 11. Tegen de tijd dat het nieuwe OS uitkomt, zijn geen handmatige aanpassingen aan het bios meer nodig.

ASUS is tot nu toe het voortvarendst aan de slag gegaan met het standaard inschakelen van de 2.0-versie van Trusted Platform Modules. Op een speciale pagina laat de fabrikant weten bios-updates beschikbaar te maken voor praktisch al zijn moederborden sinds de 300-serie chipsets van zowel AMD als Intel. Oudere Intel-moederborden zijn in theorie ook compatibel met de huidige testversies van Windows 11, maar of dat ook in de releaseversie zo zal blijven, hangt af van of Microsoft nog aanpassingen gaat doen aan zijn cpu-supportlist.

Ook ASRock heeft inmiddels updates beschikbaar gemaakt waarin TPM 2.0 standaard actief is, voor zowel AMD- als Intel-borden. Gigabyte en MSI melden daarover vooralsnog niets op hun websites. Tweakers heeft vragen over hun plannen uitstaan bij beide fabrikanten.

AMD en Intel verwerken TPM 2.0-ondersteuning al respectievelijk vier en zes jaar in de firmware van hun processors, maar tot nu toe stond deze functie op los verkochte moederborden vrijwel altijd standaard uit. Microsoft poogde al bij eerdere Windows-releases TPM verplicht te maken, maar krabbelde toen terug. Ondanks de nodige onduidelijkheid toen Microsoft de systeemeisen van Windows 11 bekendmaakte, lijkt de softwaremaker dit keer wel voet bij stuk te houden.

TPM 2.0 is een ISO-standaard voor een veilig gedeelte binnen een processor, waar bijvoorbeeld private keys en virtuele smartcards kunnen worden opgeslagen. Zowel AMD als Intel bieden een firmware-implementatie van deze standaard aan. Enkele voorbeelden van praktische toepassingen voor TPM 2.0 zijn schijfencryptie, biometrische authenticatie en het beveiligen van de opstartconfiguratie. Tweakers schreef vorig jaar een achtergrondartikel over zulke trusted execution environments.

Overigens ligt het niet voor de hand dat het ontbreken van TPM 2.0-ondersteuning gaat betekenen dat je Windows 11 met geen mogelijkheid kunt installeren. Ook de laatste versie van Windows 10 kun je bijvoorbeeld prima handmatig installeren op een pc die officieel niet aan de systeemeisen voldoet. Alleen de automatische upgrade via Windows Update zal niet worden aangeboden, en pc-fabrikanten mogen geen nieuwe Windows 11-pc's meer verkopen die niet aan de eisen voldoen.

Het inschakelen van TPM 2.0 in het bios van een ASRock-moederbord

Reacties (117)

[stuiterveer]

In hoeverre gaat dit problemen opleveren met Linux distributies? Ik weet dat voor de huidige Safe Boot standaard een shim wordt meegeleverd om alsnog naar Linux te booten, maar gaat dit principe hiermee anders worden? Zou namelijk jammer zijn als je met een nieuw moederbord vast zit aan Windows.

[WoutervOorschot]

TPM staat los van secure boot, het is een feature om (encryptie) sleutels veilig in op te slaan. In linux kun je het ook gebruiken voor je disk encryption, echter werkt het niet zo automatisch als op windows.

Android heeft al een tijdje 'hardware backed key storage', wat ongeveer hetzelfde is, en iOS al langere tijd de 'secure enclave'. Beiden gebruikt voor versleuteling, maar ook voor bijvoorbeeld apple/google pay data.

Daarnaast doet het niets als je het niet gebruikt, ik snap dan ook niet waarom je als moederbord-fabrikant een stuk hardware standaard uitzet. Maak je het je klanten alleen maar moeilijk mee.

[TD-er]

TPM staat los van secure boot, het is een feature om (encryptie) sleutels veilig in op te slaan. I[...]

Allemaal leuk en aardig, maar dat is ook gelijk een tamelijk linke bedoening.
Als je de toegang tot TPM verliest, of de inhoud, dan ben je compleet buitengesloten.

Ik heb TPM geactiveerd op mijn AMD Ryzen systeem toen die test-tool van MS uit kwam.
Sindsdien heb ik nu al 2x een melding bij het booten gehad met het verzoek om de oude processor terug te plaatsen. Vermoedelijk omdat de inhoud van TPM leeg was, of een checksum niet meer klopte.
Je zal je harde schijf maar met Bitlocker oid. versleuteld hebben en dit gebeurt je, dan hang je.

Persoonlijk vind ik het dus best wel een heel erg eng idee dat je na een reboot zomaar ineens al je data kwijt kan zijn, zonder dat je een hardware defect hebt.
Geen idee wat Windows allemaal met die TPM wil gaan doen, maar ik vermoed dat er wellicht ook een stuk van de activatie/licentie in opgeslagen zou kunnen worden.

Weet zo even de exacte foutmelding niet meer, maar toen ik het opgezocht had bleek dat er best wel veel mensen vergelijkbare issues hadden.
Voor zover ik weet, heeft AMD de TPM in software/firmware geimplementeerd en het zou me niets verbazen als dit een BIOS/microcode bug is. (AMD Ryzen9 3900X met GigaByte B550 Aorus board)
Maar ik ben er wel van geschrokken dat dit zo makkelijk kan gebeuren. (nu al 2x)
Dit terwijl mijn PC kast niet open geweest is sinds TPM aan staat en volgens mij was bij 1x niet eens de PC van de stroom geweest.

[Adion]

Als je een Microsoft account hebt word de key daar ook standaard in opgeslagen.
Daarnaast vraagt Windows bij het activeren van Bitlocker ook of je een recovery-bestand ergens wil opslaan.

[TD-er]

OK, dat is goed te weten.
Ikzelf heb nog nooit bitlocker gebruikt. Maar bij de foutmelding verwijst men expliciet naar bitlocker als reden om vooral niet door te gaan met deze "nieuwe" CPU. Vandaar dat ik het noemde.

[TJRef]

Volgens mij is het met zo'n tpm eigenlijk de bedoeling dat de bitlocker key daarin wordt opgeslagen zodat je het niet iedere keer handmatig hoeft in te voeren. Maar dat wil niet zeggen dat het niet handmatig kan. En zoals gezegd is de key makkelijk in je Microsoft account op te slaan. Of elders.

Als ik op mijn surface pro bijvoorbeeld ook maar een wijziging in mijn bios uitvoer, moet ik de bitlocker key handmatig invoeren om de laptop te kunnen opstarten. Eenmalig. Eigenlijk is zo'n TPM chip dus voor het gebruiksgemak als je een veilig systeem wilt.

[roberttttt]

Ik heb nog nooit bitlocker gebruikt en TPM zit niet op mijn huidige mobo (dat overigens perfect functioneert, zelfs met de zwaarste toepassingen en dus absoluut niet vervangen gaat worden voor windows 11) en als ik alle berichten hier zo lees denk ik dat ik dat ook maar zo moet houden.

Ik kan me nog herinneren hoeveel moeite het heeft gekost om bepaalde games goed werkend te krijgen onder windows 10 en alles loopt nu soepel.
Ik zit dus echt niet te wachten op windows 11.
Zo lang als mogelijk buiten de deur houden dus.

Vraagje: als ik een nieuw mobo aanschaf is TPM dan ook uit te zetten?

[TJRef]

Ja dat is uit te schakelen. Maar tpm heeft geen impact op je performance ofzo.

[Dykam]

Volgens mij heb ik een bijna situatie met een X570 AORUS PRO, en een identiek probleem. Wat het voor mij irritanter maakt is dat mijn USB hub niet wordt herkent in specifiek dat scherm, dus ik moet telkens weer het toetsenbord direct in de moederbord prikken. Het gebeurt me zo'n één keer per week.

[Jonathan-458]

Ik werk al velen jaren met TPM chips & bitlocker, in nog geen enkel geval ben ik ooit data kwijt geraakt.

Bitlocker geeft je namelijk de keuze om de encryptie key zowel af te drukken als in jouw Microsoft account op te slaan, als je dit overslaat of ervoor kiest niet te bewaren, ja dan ben je wel het haasje.

Overigens betekend inschakelen van de TPM chip nog steeds niet dat automatisch je schijf encrypted wordt of moet worden, je kunt er prima voor kiezen om zonder disk encryptie verder te gaan.

Ik ben er persoonlijk erg blij mee dat TPM eindelijk een verplichting wordt vanuit Microsoft, voor mij is dit vergelijkbaar met DDR5 welke eindelijk standaard ECC krijgt.

TPM brengt soms met vervangen/upgraden van hardware of bios updates wel haar uitdagingen mee, echter niks wat niet op te lossen is, ergste geval reset je deze en begin je opnieuw.

Dit is waarvoor het nu onder windows 10 gebruikt kan worden:
https://docs.microsoft.co.../how-windows-uses-the-tpm

[Reactie gewijzigd door Jonathan-458 op 22 juli 2024 14:07]

[TD-er]

Ik zeg ook niet dat TPM als vereiste van Windows 11 meteen impliceert dat je Bitlocker moet gebruiken.
Waar ik mij wel zorgen over maak is wat er mis gaat als je TPM module gereset is, want dus bij mij al een paar keer gebeurd is (en bij menig ander als je erop zoekt)

Bitlocker is iets wat je zelf activeert en dus kennelijk je key ook ergens kunt opslaan. Maar als MS het vereist voor Windows 11, wat slaan ze er dan in op? En vanuit een gebruikerservaring, wat gaat er mis als je TPM reset?
Als dat keys zijn die prima weer online op te halen zijn, is dat vervelend... tot je ergens zit waar je geen internet hebt bijv.

Maar goed, het is mij dus niet duidelijk wat de gevolgen zijn.
Op dit moment (mits je geen Bitlocker gebruikt) is het niet veel meer dan een extra bevestiging bij het booten.

[randommen]

Ik heb wel bitlocker gebruikt, de key nergens opgeslagen (mijn probleem), alles koek en ei, tot ik een bios update uitvoerde, daarna was de TPM leeg en had ik de key nodig > herinstallatie :-)

[GeroldM]

Personen die losse moederborden kopen, zijn vaak gebruikers die aan zelfbouw doen. En tijdens het functionele leven van de PC geregeld van hardware wisselen zoals bijvoorbeeld videokaarten, RAM enz.

Daar zie ik met TPM dus wel beren op de weg. Voor zover ik had begrepen maakt de TPM module een soort van snapshot van de hardware in het systeem en gebruikt deze willekeurige hardware samenstelling bij het creeren van de uiteindelijke encryptie sleutel.

Een hardware verandering en/of reparatie kan dan dus resulteren in een niet meer startende Windows 11. Het maken van backups word dan dus behoorlijk belangrijk. Waar bedrijven gewoon een image terug kunnen 'rollen', zal dat voor de thuisgebruiker eerder leiden tot herinstallatie en dataverlies. Uit ervaring weet ik dat de gemiddelde thuisgebruiker daar nogal wat moeite mee heeft.

En het master wachtwoord van je favoriete wachtwoordmanager niet vergeten, anders heb je na herinstallatie nog steeds een groot probleem (als je niet synct en/of maar 1 computer hebt) met toegang tot je favoriete websites en cloud-backup(s).

[WoutervOorschot]

Je moet alsnog zelf dan bitlocker of encryptie aanzetten, standaard staat dat op Windows 10 uit bij eigen installatie. Windows slaat volgens mij 'gewoon' je bitlocker key (die je ook te zien krijgt bij activatie ervan) op. Alleen bij vervanging van je moederbord levert het problemen op (dan heb je een nieuwe tpm), maar alsnog alleen wanneer je encryptie hebt aangezet. Ik denk dat de meeste fabrikanten tpm uit hebben laten staan uit gemak.

Windowsinstallatie (bitlocker) en TPM zijn gekoppeld, verder is het onafhankelijk van hardware (windows activatie is wel deels afhankelijk van je hardwareconfiguratie).

Ook een image terugzetten (of herinstallatie) werkt niet, dan kan Windows niet meer bij je bitlockerdata. Je bitlocker recovery key goed opslaan ergens, op papier of in je wachtwoordmanager. En inderdaad het masterwachtwoord niet vergeten.

[jaaoie17]

Dus tpm aan betekent nog geen direct encryptie op 1 van je schijven. Op windows 11 staat bitlocker toch ook standaard uit?

[WoutervOorschot]

Ik denk dat bij 11 home encryptie standaard wel aan staat, gezien je key dan ook op MS account automatisch word gebackupped, maar ik zou het niet zeker weten.

Het is in ieder geval niet direct encryptie nee, zie het als bijvoorbeeld je usb-poorten aan/uit zetten op je mobo. Het is een feature die gebruikt kan worden als het aan staat, maar het doet op zichzelf niets.

[indigo79]

Als je Bitlocker aanzet, krijg je inderdaad een herstelsleutel (meen me te herinneren dat het bijna geforceerd werd die af te drukken of ergens anders dan op je Windows schijf op te slaan)? Met die sleutel kan je de schijf ook ontsleutelen als je aan je hardware sleutelt (of zelfs als je de schijf in een andere machine steekt) en de informatie niet meer uit de TPM opgehaald kan worden. Dus als je conceptueel weet hoe dat werkt en de juiste voorzorgen neemt, is er geen probleem.

[The Zep Man]

Daar zie ik met TPM dus wel beren op de weg.

Voor hardware-ingrijpende zaken kan TPM bescherming tijdelijk uitgeschakeld worden. Dit zie je bijvoorbeeld wel eens met BIOS updates en full disk encryption, wanneer laatstgenoemde afhankelijk is van PCR waardes die relateren aan het initiële boot proces.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 14:07]

[bwolke]

PowerShell
Suspend-BitLocker -MountPoint "C:" -RebootCount 0

This command suspends Bitlocker encryption on the BitLocker volume specified by the MountPoint parameter. Because the RebootCount parameter value is 0, BitLocker encryption remains suspended until you run the Resume-BitLocker cmdlet.

Resume-BitLocker -MountPoint "C:"

bron: https://docs.microsoft.co...view=windowsserver2019-ps

[Zer0]

Voor zover ik had begrepen maakt de TPM module een soort van snapshot van de hardware in het systeem en gebruikt deze willekeurige hardware samenstelling bij het creeren van de uiteindelijke encryptie sleutel.

Dat heb je verkeerd begrepen...

Een hardware verandering en/of reparatie kan dan dus resulteren in een niet meer startende Windows 11.

Dat heeft meer met bitlocker te maken dan met TPM.

Het maken van backups word dan dus behoorlijk belangrijk.

Dat is het nu al.....

[stuiterveer]

Duidelijk, bedankt! Zag het inderdaad al vaker op m'n mobo als optie staan, maar ik dacht dus dat het gedoe met Linux zou opleveren waardoor ik eigenlijk nooit echt er in ben gedoken.

[sprankel]

Vermoedelijk wilt MS TPM gaan gebruiken om standaard alle private keys in te bewaren ipv dat die zoals vandaag in de softwarelaag zitten. Van een security point of view zou het daardoor veel lastiger worden om bijvoorbeeld opgeslagen credentials uit te lezen.

Het zou ook een hybride oplossing kunnen worden waarbij wel nog credentials in de softwarelaag zitten maar dat die altijd nog is apart versleuteld zijn met een private key die in de TPM zit.

Echter krijg je dan een nieuw probleem, je moet een trust hebben tussen hardware TPM en je softwarelaag met garantie dat daar geen malafide root-kit tussen zit. En dat komt dan weer in de vorm van secure boot die moet garanderen dat tussen de Uefi boot en de OS boot er geen niet geauthoriseerde code word uitgevoerd.

Je kan dus technisch gezien wel TPM gebruiken zonder secure boot maar van een security point of view, zeker als je TPM niet enkel voor disk encryptie gebruikt, ben je bijna verplicht secure boot te gebruiken want anders kan je de TPM niet vertrouwen.

Echter voor zover ik begrepen heb ondersteund Linux ook secure boot maar is het complexer omdat moederbord fabrikanten standaard vaak enkel MS keys in de Uefi stoppen.
Het probleem is natuurlijk als ik een eigen Linux distro uitbreng en ik kan die zomaar laten valideren zodat alle Uefi's die als trusted zien, welke garantie hebben we dan dat secure boot nu geen rootkit gevalideerd heeft? Secure boot en Linux zullen dus altijd een moeilijk verhaal blijven maar mogelijks kan iemand met meer Linux ervaring hier op aanvullen.

[Archcry]

In principe levert dit geen problemen op voor Linux gebruikers.

TPM is eigenlijk een soort kluisje voor encryption keys die gebruikt kunnen worden alvorens het operating system draait. Dit staat dan ook los van Secure boot.

Secure boot zorgt er natuurlijk wel voor dat een mogelijk vendor lock ontstaat maar Microsoft heeft een shim gesigned die gebruikt wordt door bijvoorbeeld Ubuntu om hun operating system te laten draaien op systemen met secure boot ingeschakeld. Daarnaast bieden veel moederbord fabrikanten ook de optie om eigen certficaten in de UEFI te deployen waardoor je zelf in controle bent over welke binaries wel en welke binaries niet tijdens boot mogen draaien. Daarmee kan je dus elke willekeure bootloader en kernel binary signen zodat je deze kan opstarten.

Waarom Microsoft in beheer is over de certificaten die standaard met een moederbord geleverd worden vind ik persoonlijk nog steeds vreemd maar gelukkig zijn er voldoende mogelijkheden om alsnog andere besturingssystemen te installeren. Ik verwacht ook niet dat dit met de komst van de nieuwe eisen voor Windows 11 zal gaan veranderen.

Je kan ook altijd secure boot uitschakelen hoewel dit er mogelijk wel voor zal zorgen dat je geen gebruik (meer) kan maken van Windows 11.

[Reactie gewijzigd door Archcry op 22 juli 2024 14:07]

[rhuijben]

In de bios kunnen handmatig certificaten ingelezen worden, voor secure boot bijvoorbeeld vanaf USB. Standaard staat het certificaat voor Microsoft er meestal al in en bij sommige moederbord fabrikanten ook al anderen.

Omdat inlezen in de bios niet erg gebruikersvriendelijk is, is er die bootloader getekend door Microsoft, maar je kan gerust andere certificaten gebruiken.

[Reactie gewijzigd door rhuijben op 22 juli 2024 14:07]

[Remzi1993]

Ik heb alles aan staan behalve secure boot, omdat ik als web developer Linux nodig heb voor mijn development tools en omgeving. Dual booten enz.. Echter secure boot is nog steeds niet volledig ondersteund door Linux (Ja Ubuntu en sommige Linux distributies ondersteunen het - matig moet ik zeggen) en brengt veel problemen met zich mee. Ook Windows zorgt voor problemen naast Linux als dual boot.

Elke Upgrade is het weer een gedoe. Eerst Windows installeren en dan Linux er naast. Het begint me echt goed te irriteren dat Microsoft zich niet aan allerlei standaarden houd en bewust Linux dual installaties kapot maakt.

[Reactie gewijzigd door Remzi1993 op 22 juli 2024 14:07]

[Tripp024]

Ik draai hier dual boot Solus en Windows 11 en ik heb geen problemen, hoef alleen maar de secure boot modus te veranderen van Other OS naar Windows UEFI en de standaard boot device te wijzigen. Heb je Windows wel op een aparte SSD staan?

[Remzi1993]

Secure Boot wordt enkel ondersteund door een aantal Linux distros en het is nog steeds een gedoe met elke Windows upgrade waarbij Windows het vaak verpest met de boot ook zonder Secure Boot is het irritant.

Ik wil Arch Linux installeren als dual boot, echter lijkt dit een heel gedoe. Want je moet Secure Boot eerst uitzetten om Arch te installeren en daarna kan je het configureren en weer aanzetten. Te veel gedoe. En Ubuntu is echt bloated (wel mijn eerste Linux OS). Het is gewoonweg te veel gedoe en gekloot.

Ik heb echt een pesthekel aan Secure Boot en aan Windows die bij elke grote upgrade alles verpest. Dat is één van de redenen waarom ik een schijthekel aan Microsoft heb alhoewel ze wel een betere koers zijn gaan varen nadat Satya Nadella het stokje had overgenomen van Steve Ballmer. Ballmer was echt een ramp voor Microsoft en voor open source.

[Reactie gewijzigd door Remzi1993 op 22 juli 2024 14:07]

[Tripp024]

Haha ik ben het volledig met je eens dat Microsoft een vervelend bedrijf is. Ze zijn totaal niet bezig om de computer ervaring voor iedereen te verbeteren.

Waarom wil je trouwens per se Secure Boot aan hebben staan terwijl je Linux draait? Zover ik het begrijp betekent de optie Other OS dat Secure Boot uitstaat. Denk zelf dat ik persoonlijk niet echt een risico loop zonder Secure Boot.

BTW, ik ben zelf erg tevreden met Solus en KDE Plasma. Het heeft wel iets weg van Arch maar dan zonder gedoe en vaak kan ik alsnog gewoon de Arch wiki gebruiken.

[Remzi1993]

Waarom wil je trouwens per se Secure Boot aan hebben staan terwijl je Linux draait?

Zodat ik in de toekomst Windows 11 kan draaien naast Linux. Ik gebruik Windows om bepaalde dingen te testen en om te gamen. Ik ga in de toekomst een aparte PC voor gamen gebruiken nadat ik genoeg heb gespaard. Tot zover moet ik het nog uitzingen of ik kan bij Windows 10 blijven. Ik moet nog even nadenken hierover. Echter mijn studie en werk vereisen meestal de laatste Windows versie (vooral om de testen).

[Tripp024]

Aight ik begrijp wat je bedoelt, het lijkt mij makkelijker om gewoon even de Secure Boot modus te veranderen wanneer je van OS wilt wisselen. Of een VM draaien natuurlijk.

[Aardedraadje]

TPM staat eigenlijk los van Secure Boot. Hier draait Ubuntu prima met TPM ingeschakeld.

[Archcry]

Volgens mij werkt Ubuntu ook prima met secure boot aan omdat canonical standaard een shim meelevert met een certificate die door Microsoft gesigned is. Waarom Microsoft nog steeds in beheer is van secure boot certificates vind ik nog steeds een beetje vreemd maar het is mogelijk om Ubuntu met Secure boot te draaien.

https://wiki.ubuntu.com/UEFI/SecureBoot

Daarnaast kan de meer geavanceerde gebruiker altijd zijn eigen certificaten maken en binaries signen zodat deze gestart mogen worden met secure boot geactiveerd. Men kan dan ook de Microsoft certificates signen zodat Windows ook werkt met eigen certificaten.

Voor meer informatie over de impact van TPM2 op alternatieve besturingssystemen zie mijn reactie op de @stuiterveer hieronder.

[Reactie gewijzigd door Archcry op 22 juli 2024 14:07]

[Blokker_1999]

De reden dat MS in beheer is, is omdat zij de enige zijn die tot op heden met UEFI makers een overeenkomst hebben afgesloten om hun root certificaten op te nemen.

Andere organisaties kunnen dat ook, maar dat kost veel tijd en dus ook geld om alles geregeld te krijgen. Ik ben al blij dat MS open staat om de bootloaders van anderen te ondertekenen

[The Zep Man]

Andere organisaties kunnen dat ook, maar dat kost veel tijd en dus ook geld om alles geregeld te krijgen. Ik ben al blij dat MS open staat om de bootloaders van anderen te ondertekenen

Of je daar blij mee moet zijn... Dit hebben wij wel eens eerder besproken.

[Blokker_1999]

Tsjah, je kan het MS moeilijk kwalijk nemen dat zij de enige zijn die het hebben opgezet. Waarom gaat bijv. een Canonical niet onderhandellen om hun eigen certificaten erkent te krijgen? Het is niet dat het niet kan. Zij nemen gewoon de beslissing dat het veel te veel tijd en geld kost om dat te doen en vragen dan maar aan MS om het te tekenen.

[The Zep Man]

Tsjah, je kan het MS moeilijk kwalijk nemen dat zij de enige zijn die het hebben opgezet.

Maar je kan het ze wel kwalijk nemen dat ze kwaadaardige binaries ondertekenen.

[Zer0]

Wil je nu wel of niet dat ze linuxdistributies ondertekenen?

[MSalters]

Je neemt ten onrechte aan dat Microsoft de beheerder is van Secure Boot certificates.

Microsoft is een beheerder van Secure Boot certificates, want ze maken Windows. Elke OS maker kan z'n eigen certificates maken. En als je thuis Linux compileert, dan kun je het zelf ook.

Waar het lastig wordt is met multi-boot. Dan is je boot loader typisch GRUB. Wat Microsoft dus óók doet is de Ubuntu GRUB bootloader signen.

Niet dat het heel erg nodig is tegenwoordig. Ubuntu draait prima in de WSL2 omgeving. Dan heb je geen GRUB nodig, of zelfs maar een reboot.

[CAPSLOCK2000]

Je neemt ten onrechte aan dat Microsoft de beheerder is van Secure Boot certificates.

Microsoft is een beheerder van Secure Boot certificates, want ze maken Windows. Elke OS maker kan z'n eigen certificates maken. En als je thuis Linux compileert, dan kun je het zelf ook.

Die certificaten maken is het probleem niet zo. De moederbordfabrikanten overtuigen om jouw certificaat op te nemen in hun software is dat wel. Dat je thuis zelf je certificaat kan installeren is leuk voor een hele kleine doelgroep maar is redelijk nutteloos voor mensen die "gewoon" een computer kopen en daar een ander OS op willen proberen. Die zullen dan eerst het certificaat van hun OS met de hand moeten gaan installeren. Dat is voor 99% van de gebruikers veel te veel gevraagd.
Ik zal direct toegeven dat het in praktijk maar een kleine groep is maar op deze manier zal die groep alleen maar kleiner worden.

MS zit in de luxe positie dat het zo'n groot marktaandeel is dat moederbordfabrikanten er zelf wel voor zorgen dat de MS certificaten zijn opgenomen. Alle concurrenten moeten zelf de boer op om moederbordfabrikanten te smeken om hun key op te nemen. Voor zover ik weet is dat nog niemand ooit gelukt.

Gelukkig is MS zo sympathiek geweest om GRUB te signen zodat er nog een tussenweg is, maar voor alle concurrenten is het natuurlijk geen fijne gedachte dat ze daar van afhankelijk zijn. Ze kunnen er niet op rekenen dat dit in de toekomst zo blijft.

[The Zep Man]

Die certificaten maken is het probleem niet zo. De moederbordfabrikanten overtuigen om jouw certificaat op te nemen in hun software is dat wel. Dat je thuis zelf je certificaat kan installeren is leuk voor een hele kleine doelgroep maar is redelijk nutteloos voor mensen die "gewoon" een computer kopen en daar een ander OS op willen proberen. Die zullen dan eerst het certificaat van hun OS met de hand moeten gaan installeren.

Of die gebruikers schakelen Secure Boot uit. Op zich is dat geen ramp voor een persoonlijk systeem, als FDE en trusted boot gebruikt worden.

[Remzi1993]

Ja, totdat Microsoft secure boot verplicht (Windows 11) en jij als dual boot gebruiker nu met de gebakken peren zit. Extra tijdverspilling (installeren, configureren en opletten met upgrades en opnieuw), want er is geen enkel bewijs of hardware beveiliging een extra beveiligingslaag is, want TPM, secure boot enz... hebben geen enkel effect als het besturingssysteem nog steeds lek is als een mandje.

Linux is één van de veiligste besturingssysteem ter wereld en niet omdat het een klein marktaandeel heeft (op servers is dat dus incorrect) maar omdat het besturingssysteem zijn beveiliging en rechtensysteem goed op orde heeft

[Reactie gewijzigd door Remzi1993 op 22 juli 2024 14:07]

[psychicist]

Ik zou dan specifiek een systeem kopen en/of bouwen voor Windows 11, als het dan echt fysiek moet draaien. Verder ga ik ervan uit, dat je met de verschillende hypervisors gewoon Windows 11 in een virtuele machine kunt draaien op hardware die er niet geschikt voor is om het fysiek te draaien.

Aan dual boot zou ik dan niet meer doen, omdat het teveel moeite en gedoe is, zoals je zelf al zegt. Microsoft snijdt zichzelf hiermee overduidelijk in de eigen vingers, maar dat interesseert ze klaarblijkelijk niets.

[Remzi1993]

Als student (HBO informatica) zijnde heb ik nu alleen een heel oude desktop pc ergens liggen en een laptop waarbij ik helaas Windows nodig heb om bepaalde dingen te testen en gamen en Linux nodig heb voor ontwikkelen. Ik heb in het verleden met VirtualBox allerlei VM's zitten maken, echter daarin kan je niet gamen (want de VM kan niet de volledige grafische kaart benutten) en andersom met Linux werken in een VM is nog steeds heel traag (alleen als je echt een beest van een machine heb kan je lekker soepel in een VM werken).

Ik denk dat ik helemaal over ga naar Linux en alleen ga gamen via Google Stadia of bepaalde spellen op Steam.

[psychicist]

Ik heb voor gaming alleen maar Linux en ben de afgelopen dagen aan de slag geweest met Steam en GOG. Deze laatste heeft ook een aantal native Linux games en ik heb een aantal Windows games via Wine geïnstalleerd.

Ik heb een oude desktop waarbij ik Windows 10 op een aparte SSD geïnstalleerd heb staan en die is er slechts voor bepaalde gevallen waarin een fysieke Windows nodig is. Die houdt het nog 4 jaar vol en tegen die tijd zie ik wel wat ik daarvoor in de plaats gebruik.

[xFeverr]

Een OS-bakker kan toch ook keys geven om in te laden in je BIOS? Ik weet dat Ventoy ook zo'n truck uithaalt waardoor je gewoon met Secure Boot aan gebruik kunt maken van Ventoy.

[vDorst]

Je eigens keys toevoegen is volgens mij niet altijd mogelijk.
Ik ben een groot voorstander van de Secure Boot maar alleen als je zelf de keys kan beheren.

[R4gnax]

Je eigens keys toevoegen is volgens mij niet altijd mogelijk.

Microsoft's hardware requirements voor Windows en de ondersteuning van SecureBoot vereisen sinds Windows 8 al dat de zgn. 'Custom' modus waar een fysiek presente gebruiker extra public keys aan de UEFI Secure Boot key storage toe kan voegen, ondersteund moet zijn. Ze gebruiken daar het woord must wat in dit soort specificaties een beladen term is die betekent dat het echt een geen-uitzonderingen-mogelijk keiharde eis is.

Het oeverloze gezeur en gezanik over het feit dat MS met SecureBoot de PC-markt in een wurgreep zou houden is precies dat: oeverloos gezeur en gezanik. Een hoop FUD dat van origine uit de expliciet anti-Microsoft hoek van de open-source wereld komt en daar nog steeds door aangewakkerd blijft worden.

[Reactie gewijzigd door R4gnax op 22 juli 2024 14:07]

[blinchik]

Alleen zijn er honderden OS-bakkers. Elke Linux distributie is een andere OS-bakker. En misschien wil ik wel mijn eigen Linux distributie compileren. Kan je dan je eigen keys zelf toevoegen in je lokale PC ?

[xFeverr]

Jazeker, dat kan gewoon.

[hackerhater]

Mits je moederbord het ondersteund.
Dat is helaas nog steeds het hangijzer.

[blinchik]

Interessant, bedankt! Dat wist ik niet, ik ga er eens meer over opzoeken.

[Wolvganger]

Volgens mij zijn het Ubuntu, Fedora (Red Hat) en (open)Suse die het out-of-the-box ondersteunen. Denk dat het te maken heeft met het feit dat die van origine ook gericht zijn op commerciële/zakelijke ondersteuning.

[Hydranet]

Ik zie mijzelf ook als een geavanceerde gebruiker maar ik ga niet zelf mijn eigen keys gebruiken alleen om gebruik te kunnen maken van secure boot op mijn distributie.

Warning: Replacing the platform keys with your own can end up bricking hardware on some machines, including laptops, making it impossible to get into the UEFI/BIOS settings to rectify the situation. This is due to the fact that some device (e.g GPU) firmware is signed using Microsoft's key.

Omdat zelf te doen klinkt mij toch wat te hoog risico dus ik ben benieuwd hoe alle distributies het gaan oplossen wanneer in de toekomst het niet meer mogelijk is om secure-boot uit te zetten want ik verwacht wel dat we die richting op gaan.

[Zer0]

Er zijn nu al diverse distro's die niet moelijk doen met SecureBoot, ook arch

[bartje]

tpm is een ISO standaard, grote kans dan Linux dit ook gaat ondersteunen.
daarnaast is het nog altijd uit te schakelen in de Bios als ik het artikel goed begrijp

[EraYaN]

Linux kan al gewoon omgaan met TPMs hoor. Linux heeft exact dezelfde voordelen aan een TPM als Windows. Dus het is niet zo dat ze het daar niet ook gewoon willen, je kunt LUKS ook gewoon opzetten met TPM keys.

[orvintax]

Ze gaan het nu standaard aan zetten, maar de mogelijkheid om het uit te zetten blijft er natuurlijk gewoon.

[DennisH82]

Dat lijkt me wel, nu kun je het ook gewoon zelf aanzetten

[GaMeOvEr]

Ik vermoed dat de optie om secure boot uit te schakelen en CSM in te schakelen en dergelijke nog steeds aanwezig zal zijn, maar dat het nu default aan staat ipv uit.

Maar zo ver ik weet zijn Secure boot en TPM twee verschillende zaken, waarbij de TPM settings het booten van Linux niet in de weg zitten en Secure Boot potentieel wel.

[Reactie gewijzigd door GaMeOvEr op 22 juli 2024 14:07]

[CyberJack]

Volgens de wiki van Arch linux heeft Linux sinds kernel versie 3.20 support voor TPM 2.0.

[EnigmaNL]

TPM is niet hetzelfde als Secure Boot. Door het aanzetten van TPM wordt Secure Boot niet vanzelf aangezet.

[Broodkast98]

Om het even heel kort samen te vatten, zou het geen probleem moeten vormen. TPM slaat meer op de hardware, de CPU, dan op de software. Secure boot moet je wel uitschakelen om Linux te gebruiken.

Hier een uitleg over UEFI, Secure boot en TPM: https://jarnobaselier.nl/wat-zijn-uefi-tpm-en-secure-boot/

[The Incantation]

Hier een uitleg over UEFI, Secure boot en TPM: https://jarnobaselier.nl/wat-zijn-uefi-tpm-en-secure-boot/

Interessant leesvoer, bedankt voor de link!

[Sixer]

nieuwe moederbord worden geleverd met TPM AAN in de bios , je kan altijd in de bios gaan en het UIT zetten.

[computerjunky]

Dat is nog maar de vraag. Het zou niet de eerste keer zijn dat ons iets door de strot geduwd zou worden en er geen weg terug is.

[Slavy]

https://paolozaino.wordpr...-tpm-2-0-module-on-linux/

[goarilla]

Ik denk dat deze wat praktischer is:
https://www.krose.org/~krose/measured_boot

Wel voor Debian.

[goarilla]

Ik deel dezelfde vrees. Dit lijkt me als paranoide Linux gebruiker vendor lockin verkocht als must-have wereldverbeterende beveiligingsfeatures.

[EraYaN]

Als je paranoïde bent als gebruiker dan had je allang je TPM2.0 en je Secure Boot helemaal zelf opgezet. Want daar wordt ook je linux computer gewoon veiliger van, helemaal als het een laptop is kan het erg belangrijk zijn.

[goarilla]

Als je paranoide bent dat iemand je hardware (meermaals) onder handen krijgt en de beveiliging van je FDE, indien je dat hebt, mogelijk breekt. Dat is niet waarvoor ik paranoide ben. Ik ben paranoide dat derden zoals producenten beperkingen stellen op hoe Ik mijn computer kan gebruiken.

Mijn machines zijn ook oud (AMD Bulldozer uit 2013 en Macbook Pro uit 2010). En nu heb ik geen upgrade pad meer naar Windows 11, en kan Ik hopelijk, als Microsoft geen RedHatje pleegt, Windows 10 nog ondersteund gebruiken tot Oct 14, 2025 (https://docs.microsoft.co...s/windows-10-home-and-pro).

Zucht, ...

[EraYaN]

Hoe zou TPM dat nou weer doen, je moet het notabene allemaal zelf instellen... Dus als je een probleem hebt heb je het aan niemand anders te wijten dan jezelf.

[jellybrah]

In principe kan ik dus mijn z390 moederbord BIOS flashen en hij is gereed voor W11?

[GaMeOvEr]

Hij is nu ook al "voorbereid" op Windows 11, alleen moet je wel zelf wat opties in het BIOS aanzetten. Met de nieuwe BIOS versies worden deze voor je aangezet.

Let wel, als je nu geen secure boot gebruikt en je bootpartitie is geen GPT, moet je wel eerst nog onder je huidige Windows installatie wijzigingen doorvoeren, anders start daarna je PC niet meer op....

Bijvoorbeeld: https://beebom.com/convert-mbr-gpt-windows-10/

[Blokker_1999]

TPM is niet hetzelfde als secure boot. En denk ook niet dat Secure Boot op zich GPT vereist, zou als ik het me goed herinner ook gewoon met MBR moeten werken.

[GaMeOvEr]

Klopt, Secure Boot staat los van TPM. Maar Secure Boot is wel een eis van Windows 11. Dus in het kader van "gereed voor Windows 11" hoort het er wel bij. Net zoals GPT ook een Windows 11 eis is.

Dus in het kader van gereed voor Windows 11 is dat TPM 2.0, Secure Boot, GPT partitie. (En nog diverse andere zaken)

[Bliksem B]

Echter, alledrie (TPM 2.0, Secure boot en GPT) zijn vereist voor Windows 11 https://www.windowscentra...oot-pc-install-windows-11

[Midnight4u]

Met TPM ingeschakeld (plus eventueel secure boot ), hoe is dan de ervaring(en) bij uit te voeren reparaties? Dat lijkt mij toch een behoorlijke 'valkuil'. Ik noem maar wat, zoals nu kan ik zowat ieder schijf even in een ander systeem zetten (en zelfs ervan opstarten). Een hard schijf heeft geen eeuwig leven.

[EraYaN]

Bitlocker forceert je bijna die herstel sleutel te printen of op een niet windows schijf op te slaan. Dus als je die niet hebt is het echt HEEL erg je eigen schuld.

[[eNeRGy]]

Ik kan alleen spreken voor Bitlocker keys in de TPM-chip.
Soms is de TPM-chip gereset, dan moet je dus de keys weer intikken.

In mijn situatie:
- Zakelijk worden de keys opgeslagen in Active Directory. Dus je kan ze opvragen bij een systeembeheerder (soms is er een portal waar je dit via een browser kan doen)
- Prive hangen de keys ook aan mijn Microsoft-account. Je kan dan bij Microsoft inloggen en eenmalig de key even over tikken.

Heb je dit niet, dan moet je zelf zorgen dat je Bitlocker keys ergens veilig opslaat.

[SirBlade]

Waarom is TPM (nog) geen selectiecriteria in de pricewatch? Als ik straks voor een nieuw moederbord ga shoppen zal TPM 2.0 1 van de vereisten zijn.

[Tomas Hochstenbach]

TPM is in principe geen feature van het moederbord, maar van de processor. Elk modern moederbord functioneert als doorgeefluik van de virtuele TPM-functie van de cpu, dus een filter daarvoor zou niet erg zinnig zijn.

Je kunt overigens wel filteren op de aanwezigheid van een TPM-header voor een hardwarematige module (Aansluitingen -> Aansluiting (overige) -> TPM connector), maar die heb je voor alle duidelijkheid niet per se nodig voor Windows 11.

[dvdmeer]

Volgens mij zou dit voor virtual machines niet gaan gelden. Ik draai namelijk proxmox op mijn desktop en daaronder mijn Windows 10 hoofdsysteem volledig virtueel.
TPM 2.0 staat aan op de host en secure boot ook maar dat heeft natuurlijk geen effect op de VM dus hoop dat ze restricties hiervoor niet gebruiken anders gaat het wel wat lastiger worden voor mij.
Ik weet dat in de huidige builds de checks uit staan dus die zijn zo te installeren maar dat zal in de final uiteraard niet meer zo zijn.

[Xm0ur3r]

Ook in de Final kun je Windows 11 gewoon installeren zonder problemen, het enige verschil is dat hij dan niet als ''Upgrade'' aangeboden wordt binnen Windows 10. En mogelijk; ik verwacht waarschijnlijk met een waarschuwing.

[Blokker_1999]

Als MS voet bij stuk houdt zal de final niet werken zonder TPM2

[GertMenkel]

MS heeft zelf aangegeven dat de final gewoon niet gaat werken op systemen zonder TPM 2.0. De huidige workarounds worden getolereerd maar de intentie van MS is om die bij release gewoon uit te schakelen en de nodige standaarden af te dwingen.

Zelfs als je met workarounds de final weet te installeren heb je wel mooi een Windows-installatie die bij de eerste de beste update niet meer wil opstarten. Ik zou de gok niet wagen, eigenlijk.

[Blokker_1999]

Een goede hypervisor ondersteunt vandaag ook gewoon virtuele TPM modules. En als je die helemaal goed opzet gebruiken die virtuele modules ook weer de echte TPM om hun sleutels in op te slaan.

[vDorst]

Qemu heeft de mogelijkheid om de TPM als een passthru of als virtuele TPM chip aan te bieden.
https://qemu.readthedocs.io/en/latest/specs/tpm.html

Nog een howto: https://en.opensuse.org/Software_TPM_Emulator_For_QEMU

Ik had verwacht dat zoektermen vTPM en KVM wat betere hits hadden opgeleverd.
Maar dat is niet zo.

[bartje]

de disclaimer op de ASUS site is ook belangrijk als je van plan bent om deze update nu door te voeren.

Daarnaast is het volgens mij zo dan Bios updates voor Asus vaak ook via windows update aangeboden worden. Dit zou betekenen dat de gebruiker hier helemaal niks voor hoeft te doen?

[pharmacist]

Hier een nieuwe B450 build met Ryzen 3700x, perfect in orde met TPM 2.0....echter ik heb een Geforce 750 Ti erin zitten, enkel DirectX 11, nochtans voor mij meer dan snel genoeg. Ik vind het jammer dat ze een dergelijke kaart niet meer ondersteunen onder Windows 11.

[gimbal]

Een videokaart van begin 2014. Je mag al van geluk spreken dat hij het nog doet man Klinkt als een perfect excuus om hem te vervangen met een leuk budget modelletje die weer vele jaren mee kan.

[Reactie gewijzigd door gimbal op 22 juli 2024 14:07]

[pharmacist]

Mahhh, als het goed werkt gooi ik het niet weg. Met al dat E-waste erbij voor iets dat zelfs nog werkt, gaan we het nog een tijdje gebruiken totdat het echt niet meer gaat.

[jaaoie17]

Hopelijk kun je bij de final die tpm er nog uitslopen.

[Blokker_1999]

En dan weer klagen dat Windows toch zo instabiel is en het de schuld van MS is ondanks dat je zelf het OS loopt te slopen.

[faim]

Want TPM heeft ook heel veel te maken met een instabiel OS.

[GertMenkel]

Als je PC niet meer opstart omdat je gepatchte DLL in een update kapot is gegaan of doordat de registersleutel die een stiekeme workaround aanbood is uitgeschakeld zou ik dat systeem instabiel noemen, ja.

Dikke kans dat ze de TPM willen gebruiken om Windows Hello (de PIN-variant) standaard te maken, waardoor je dus toegang tot inloggen of het uitvoerenvvan programma's als administrator kunt verliezen omdat het authenticatiesysteem ineens niet meer goed werkt.

Als je willens en wetens de systeemvereisten van software negeert, moet je ervan uitgaan dat er iedere update iets kapot kan gaan.

Je kunt ze niet geloven en zelf alle checks en waarschuwingen bypassen, maar als (zodra) er iets kapot gaat, heb je dat helemaal aan jezelf te danken. Los zelf het probleem op, ga niet naar Windows 11 of accepteer dat het niet werkt, maar ga niet de softwaremaker de schuld geven. Niet de TPM kunnen of willen gebruiken is natuurlijk een prima reden om niet naar Windows 11 over te stappen, en je hoeft dat ook nog lang niet te doen!

[jaaoie17]

Maar er kunnen al wel snel al features komen voor gaming die niet naar windows 10 komen.

[Loller1]

Encryptie-componenten slopen uit een OS dat verwacht dat die componenten er zijn kan inderdaad wel eens lijden tot problemen, ja.

[TheDeeGee]

Jep, ik heb geleerd om niet te veel met de Windows 10 installatie te klooien en dingen eruit te slopen.

Als het niet via Apps the verwijderen is niet meer verder knoeien, krijg je spijt van.

[Verwijderd]

Dolos group heeft eind vorige maand laten zien dat met een logic analyzer keys voor bitlocker eenvoudig uit een tpm zijn te halen.

https://dolosgroup.io/blo...nside-the-company-network

[Blokker_1999]

Geeft wel direct aan waarom MS TPM2 wil gaan verplichten. Daarin kan de communicatie met de TPM chip versleuteld worden en wordt ook die aanval weer onmogelijk.

[deneys]

AMD en Intel verwerken TPM 2.0-ondersteuning al respectievelijk vier en zes jaar in de firmware van hun processors

Maar ik dacht dat de eerste generatie Ryzen processoren niet compatibel was?