Kein TPM 2.0

[Klever]

@RalphS

Heißt also im Endeffekt, wenn aus welchen Gründen auch immer die CPU kaputt geht oder einen Defekt entwickelt und man hat dabei das integrierte PTT/fTPM 2.0 aktiviert für die Windows 11 Nutzung, und man die defekte CPU tauschen möchte, man ohne ein externes Backup weder an die Daten auf dem PC kommt noch das OS weiterbenutzen kann, und somit das Laufwerk mitsamt OS neu aufsetzen muss (mit dem Verlust alles Daten und Konfigs)?

Betrifft es die CPU bzw verlötete MB oder auch andere PC Komponenten wie RAM, GPU etc? Kann im Internet wenig zu Komponententausch finden ausser Antworten wie "TPM betrifft nur Firmen- oder Regierungshardware" wo User sich mit der Harware eh nie auseinandersetzen müssen, die schon paar Jahre alt sind. Nun, dank Microsoft kriegt jeder User jetzt diese ungewollte Änderung, und da TPM "für die Integrität der Platform sorgt", wenn man nicht mal die Komponenten mehr tauschen kann, wäre das noch der Gipfel.

 

[Ranayna]

@Klever:
Nein, das heisst es nicht. Denn nur weil Windows ein TPM verlangt, musst du es noch laengst nicht nuzten. Wenn du keinen Bitlocker einsetzt langweilt sich das TPM nur.
Und selbst wenn du verschluesselst gibt es einen Recoverykey den du sichern kannst, bzw solltest, mit dem du auch ohne TPM entschluesseln kannst.

In der Zukunft soll das TPM gegebenenfalls auch unter Windows abgespeicherte Passwoerter, zB fuer verbundene Laufwerke, oder im Edge, speichern, aber auch da kannst (und solltest) du die Passwoerter anderweitig sichern.

Dass das TPM bei den Gamingboards nicht drauf ist, ist schlicht eine Kostensache: Privat braucht es eigendlich keiner, es ist keine Systemvorraussetzung von Windows 10, und Fertigrechner mit koennen dann ein Modul einbauen um das Logo verwenden zu duerfen.

Zuguterletzt ist die TPM Vorraussetzung noch laengst nicht in trockenen Tuechern. Das Windows 11 auch ohne funktioniert (was dafuer spricht das es halt keinen Zwang fuer die Verwendung gibt) ist ein offenes Geheimnis. Da kann sich noch einiges aendern.

 

[Klever]

@Ranayna

Erstens, wenn Windows es verlangt, muss man es auch anstellen. D.h. TPM muss aktiviert sein (als Platform Trust Technology im UEFI bei Intel), rein der Logik nach und gemäß den Anleitungen. Sonst würde Windows 11 es nicht offiziell laut Microsoft verlangen und TPM wäre kein Muss.

Zweitens, beantwortet dies leider nicht meine Frage nach dem Komponentenwechsel. RalphS hat schon angemerkt, dass ein CPU Wechsel bei integriertem TPM nicht mal mehr einfach so möglich ist, und meine Frage war bezüglich anderen Komponenten.

So oder so ist es ein massiver Einschnitt in die Rechte und Möglichkeiten des Benutzers, seine Platform selber konfigurieren zu können, und ein Schritt in die falsche Richtung. Zumal TPM selbt Schwächen hat und schon umgangen wurde.

 

[Ranayna]

Ja, du musst es aktivieren. Aber du musst es (vorraussichtlich) nicht benutzen. Bzw. musst du die Features die das TPM verwenden, nicht benutzen.
Wenn du kein Bitlocker aktivierst, dann wird auch keine Platte verschluesselt. Hier wird immer und immer wieder das TPM nur verteufelt, aber wenn man es nicht benutzt dann macht es auch nichts.

Moeglicherweise, ich habe mich nicht belesen ob das schon sicher ist oder nur Spekulation, wird das TPM automatisch dafuer verwendet gespeicherte Passwoerter zu schuetzen. Der Windows Login sowieso, erst recht wenns ein Online-Konto ist. Da sehe ich aber ehrlicherweise kein Problem, denn TPM hin oder her, saemtliche gespeicherte Passwoerter musst, bzw solltest du, so oder so separat sichern.
Denn wenn dir zB eine Festplatte abraucht waeren sie ja genauso weg wie bei Verlust des TPMs.

 

[M-X]

Zweitens, beantwortet dies leider nicht meine Frage nach dem Komponentenwechsel. RalphS hat schon angemerkt, dass ein CPU Wechsel bei integriertem TPM nicht mal mehr einfach so möglich ist, und meine Frage war bezüglich anderen Komponenten.

So oder so ist es ein massiver Einschnitt in die Rechte und Möglichkeiten des Benutzers, seine Platform selber konfigurieren zu können, und ein Schritt in die falsche Richtung. Zumal TPM selbt Schwächen hat und schon umgangen wurde.

Frage beantwortet: Du kannst die Hardware problemlos wechseln auch wenn sich das TPM ändert. Selbst wenn du Bitlocker nutzt.

Keinerlei Einschnitt vorhanden. Es ist noch nicht einmal sicher ob W11 ein TPM brauchen wird oder nicht, auch wenn es das aktuell tut.

Daher ABWARTEN. Die Mistgablen wieder in die Scheune und den Aluhut absetzen.

 

[Klever]

@M-X Deine sinnbefreite Aussage bezüglich den Hüten hättest du dir auch sparen können. Mit so einer herabsetzenden Einstellung deinerseits brauchen wir gar nicht zu diskutieren.

Und dass man die Hardware "problemlos" wechseln kann mit TPM stimmt auch nicht, nicht wenn man sich die Berichte dazu liest oder was RalphS in seinem Beitrag bezüglich der CPU, die nun mal auch ein Komponent ist, geschrieben hat.

Und was Kritik an TPM Pflicht angeht die in einem privaten Bereich ziemlich unnütz ist, und auch schon umgangen wurde, so wird sie nicht nur von vielen Nutzern geführt, auch durch Berichterstatter bei diversen englisch- und deutschsprachigen Communities, sei es tom's Hardware oder PC Welt (wie auch immer man zu denen steht). Einfach mal die Scheukappen absetzen, um es mit deinen Worten zu beschreiben.

 

[M-X]

Zugegeben etwas provokativ aber das Gejammere über eine komplett unfertige Software ohne finale Anforderungen ist auch nicht sinnvoll.

RalphS spricht von Verschlüsselung vermutlich also Bitlocker, das ist aktuell auch das einzige wofür in Windows ein TPM ernsthaft genutzt wird. Daher aktiviert != in Benutzung. Nutzt du Festplattenverschlüsselung auf deinem System ? Außerdem kannst du sehrwohl die Verschlüsselung aktiv lassen wenn das Mainboard und dann ggf. sich das TPM ändert. Du musst halt dann den Recovery Key eingeben. Ist nicht gerade aufwendig.

Das TPM Mechanismen bereits ausgehebelt wurden ist auch korrekt. Daher kann es nur ein Baustein in einer Kette sein die die Sicherheit erhöhrt. MS will einfach weiter an der Basis Sicherheit schrauben weshalb wohl auch Secureboot zur Pflicht werden wird.

 

[RalphS]

Hups, da werde ich hier namentlich erwähnt und krieg gar keine Info? Sorry, erst jetzt zufällig gesehen.

Mir ging es hauptsächlich um fTPM als Kompromißlösung in bezug auf das externe Modul und, ja, zunächst Bitlocker als Komponente zur Sicherstellung der Systemintegrität. Und das dann insbesondere im Firmenumfeld.

fTPM steckt halt sämtliche geschütze Information in eine Komponente, die durch TPM selber abgesichert werden soll. Man macht also den Bock zum Gärtner.

Richtig, man muß TPM nicht nutzen, wobei sich das - gehe ich stark von aus -- ändern wird, wenn TPM tatsächlich zur Systemanforderung wird.
Aber im Sinne einer Argumentation ist das die triviale Option. Die müssen wir nicht anschauen. "Wie erkläre ich meiner Tochter die Bienchen und Blümchen? Scheißegal, gibt eh keine Jungs weit und breit. Thema durch."

Interessant sind nur die Fälle, wo das TPM auch genutzt wird. Und da muß man sich bewußt sein, daß man vom TPM nicht lesen kann. Man kann da nur schreiben und dann einen auf Challenge-Response machen (im weitesten Sinne). Eben so wie bei zB Yubikeys (oder Smartcards) geht der Ansatz weg von "proof of knowledge" (ich kenne das PW) hin zu "proof of ownership" (ich habe den Key/das TPM bei mir).

Tausche ich die CPU, dann habe ich das TPM nicht mehr. Ich habe die Smartcard oder den Yubikey nicht mehr. Die Information drauf ist weg und da ich sie per design auch nicht sichern kann, ist sie weg und bleibt sie weg. Mir bleibt nur die Option, soweit das vorgesehen ist, die "geschützte" Information neu zu schreiben. Dazu muß ich vorher die Recovery-Option berücksichtigt haben (zum Beispiel via Bitlocker-Recoverykey). Kann ich das nicht, oder habe ich das nicht, dann habe ich ganz einfach Pech.

Das gilt natürlich für dedizierte TPM genauso. Wenn ich da in die UEFI-Einstellungen gehe und RESET sage, oder mit dem Fuß drauftrete, oder sonst wie die Information im TPM zerstöre, dann ist sie unwiderruflich und unwiederherstellbar weg.

Exakt deshalb dürfen Backups nicht verschlüsselt werden. Schon gar nicht per TPM oder sowas. Denn im Zweifel sind sämtliche Daten, die ich unter Zuhilfenahme des TPMs verschlüsselt hatte, verloren.

 

[NotNerdNotDau]

Vielen Dank für die Infos, @RalphS​

Das sind ja dann mal aufschlussreiche Erkenntnisse und mir gefällt das ganz und gar nicht.

Sollte das so bleiben mit TPM als Voraussetzung für Windows 11, dann ist für mich die Ära Windows, nach dem Supportende von Windows 10, definitiv beendet. Und das nach den vielen Jahren der Nutzung von Windows und MS-Office.
Diesen Schwachsinn kann mitmachen wer will, ich garantiert nicht. Bei allem Verständnis für vieles, aber das ginge zu weit.

In dem Falle nehme ich dann halt etwas mehr Geld in die Hand und schaffe mir ein Gerät mit MacOS an. Als zweites OS dann Ubuntu Linux, welches ich jetzt schon nebenbei verwende.

 

[Ponderosa]

dann ist für mich die Ära Windows, nach dem Supportende von Windows 10, definitiv beendet

Bis Support Ende von Win 10, hat man ja noch bis Ende 2025 Zeit. Da kann noch viel passieren.
Jetzt erst mal warten, bis Win 11 offiziell ( im November 2021 ? ) startet.

 

[M-X]

Dazu muß ich vorher die Recovery-Option berücksichtigt haben (zum Beispiel via Bitlocker-Recoverykey). Kann ich das nicht, oder habe ich das nicht, dann habe ich ganz einfach Pech.

Wenn du in einer Umgebung arbeitest indem der Recovery Key nicht gesichert wird hast du andere Probleme als das TPM.

Und nein ein TPM wird nicht und wurde nie für die Verschlüsselung von Backups eingesetzt. Der Hauptgrund ist für Festplattenverschlüsselung wie Bitlolocker.

Hier wird Panik völlig ohne Grund gemacht. Ist dein TPM oder dein fTPM (also die CPU) kaputt tauscht du aus und gibst deinen Recovery Key ein. Wenn du Bitlocker nicht nutzt wird das TPM oder fTPM gar nicht genutzt!

 

[Ranayna]

@M-X: TPM

@RalphS: Beim Einrichten von Bitlocker muss man soweit ich mich erinnere explizit bestaetigen dass man den Recoverykey gesichert hat. Ein schnelles Handyfoto reicht da ja schon.
Wenn man ein Online Konto fuer den Login an Windows verwendet, wird der Key zusaetzlich automatisch gesichert. Deswegen kann ich mir persoenlich allerhoechstens bei der Home Version einen Bitlocker Zwang vorstellen.

Und ja, das Bitlocker Key-Management ist ein Punkt der beim Backup beachtet werden muss. Dabei ist aber eigendlich irrelevant ob ein TPM im Einsatz ist oder nicht; vergisst du dein Passwort ist genauso Essig.
Das ist auch einer der Gruende warum ich privat nicht viel von verschluesselung lokaler Daten halte. Es macht vieles komplizierter ohne einen grossen Mehrwert zu haben.
Fuer lokale Daten auf dem NAS und auf dem Rechner selber ist das einzige relevante Szenario ein Einbruch und folgender Diebstahl der Geraete. Die wahrscheinlichkeit das der Dieb sich dabei fuer die Daten anstelle dem Wert der Geraete interessiert geht wohl gegen null. Und falls doch, soll er doch Spass mit meiner Pornosammlung haben .

Allerdings habe ich nur einen Desktop der das Haus nicht verlaesst, bei einem Laptop saehe das moeglicherweise etwas anders aus.

 

[RalphS]

Nochmal; es ging mir ums FIRMENUMFELD. Da wird bitlocker, wenn überhaupt, automatisch ausgerollt. Niemand fragt nach ner Bestätigung. Die meisten wissen nicht mal daß bitlocker eingesetzt wird oder was das ist.


Und ja, da gibt es auch solche privathansel. Vielleicht noch nicht hier, aber es gibt sie und wenn sie ein Problem haben, dann kommen sie auch hierher. Die haben dann halt Weiter, weiter geklickt oder haben den RK sicherheitshalber auf dem verschlüsselten Volume gespeichert.

Und um den Kreis zu schließen: es geht immer noch primär um ftpm vs dedicated. Das muss natürlich jeder selber überlegen, was das bedeutet.

Ich selbst verwende dTpm wo ich kann, schon bevor es zur oem Pflicht wurde. Freiwillig, man höre und staune.
Aber wenn ich was nutze - oder erstmal nutzen will — dann muß ich mich damit auseinandersetzen. Schon um zu begreifen ob ich was damit anfangen kann.

 

[M-X]

Im FIRMENUMFELD (ist das besonders wichtig oder warum alles groß?) wird der Recovery Key doch automatisch gespeichert, wenn nicht ist das keine echte IT sondern Hobbyspielerrei. Sollen wir jetzt TPMs verbieten weil die Leute zu doof sind Bitlocker vernünftig zu nutzen ?

weiter geklickt oder haben den RK sicherheitshalber auf dem verschlüsselten Volume gespeichert.

Das geht übrigens nicht, Windows will das an dein MS Konto binden oder einen externen Datenträger oder drucken. Man muss also maximal dämlich sein um das hinzubekommen.

 

[NotNerdNotDau]

TPM im Firmenumfeld könnte ich ja noch nachvollziehen. Da sind die Sicherheitsstandards halt höher gesteckt als in den privaten Umgebungen. Eine halbwegs kompetente IT wird das alles schon gebacken kriegen.

Mir -und sicher vielen anderen auch- geht es um die private Nutzung von Windows 11. Stand jetzt soll es eben TPM (2.0) als Hauptkriterium voraussetzen. Auch die Voraussetzung, die CPU betreffend, so vorzugeben, ist mehr als ein schlechter Scherz. Da scheint man aber mittlerweile etwas zurückzurudern.

Dass sich dann viele Nutzer neue Hardware anschaffen sollen, nur weil auf deren 3 Jahre alten Geräten kein TPM vorhanden ist und der Prozessor aufgrund des Alters nicht mehr zeitgemäß sein soll, ist ja der Anstoß der Empörung.
Im Moment sieht alles danach aus, dass durch die Einführung von Windows 11 so ganz "nebenbei" der Geräteverkauf angekurbelt werden soll. Nicht etwa durch Werbung oder Überzeugungsfähigkeit, sondern durch Vorgaben, die einfach nur absurd sind. Absurd vor allem auch aus umwelttechnischen Aspekten.

Nach dem Motto: Aus "alt" mache so schnell wie möglich neu, schmeiße den "alten Schrott" auf den Müll und den Support stellen wir auch noch ein.
Die Hauptsache, die Aktionäre bekommen ihre Renditen.

Bis zum Supportende von Windows 10 sind jetzt noch vier Jahre hin. Ich hoffe doch sehr, dass es da noch ein Umdenken seitens MS geben wird. Unter der Führung Nadellas habe ich allerdings so meine Zweifel.

 

[Ranayna]

Im Firmenumfeld, zumindest wenn ein sauberes Lifecycle Management gemacht wird, werden eh schon alle relevanten Geraete ein TPM haben, bzw so alt sein das die bald getauscht werden wuerden.
Da tauscht man naemlich garnichtmal primaer wegen der Performance oder wegen Neuerungen, sondern weil der Supportvertrag auslaeuft, bzw die Wahrscheinlichkeit eines Ausfalls zu hoch wird.

Und selbst wenn nicht, eine Firma wuerde im Leben niemals voreilig auf Windows 11 upgraden. Dann laufen halt die Maschinen ohne TPM, und bei denen es sich nicht nachruesten laesst, mit Windows 10 weiter. Zur Not als LTSC bis 2029, oder bei moeglicher Netzwerkisolation auch bis zum Sankt-Nimmerleins-Tag.

Dazu kommt das insbesondere im Firmenumfeld im Zusammenhang mit Bitlocker, das TPM die Usability deutlich erhoeht, wie erwaehnt, in einem AD koennen die Recoverykeys ebenfalls automatisch gesichert werden. Ob da ein TPM im Spiel ist oder nicht ist da an sich auch irrelevant.
Als weiterer Faktor in die Gegenrichtung gilt dann aber auch, das auf einem Endgeraet in der Firma keine Daten zu liegen haben. Alles ist zwingend auf den gesicherten Fileservern abzulegen. Denn wenn ein Geraet zickt wird es schlicht neuinstalliert. Von der Moeglichkeit von Diebstahl oder schlichtem Festplattenausfall mal zu schweigen.

Was den Aspekt der Datenverfuegbarkeit betrifft spielt im Firmennetzwerk das TPM ueberhaupt keine Rolle.
Fuer den Aspekt der Datensicherheit dagegen ist ein TPM dagegen sehr nuetzlich.