Secure Boot и TPM 2.0: проверка на ноутбуке и включение в прошивке

Secure Boot и TPM 2.0: проверка на ноутбуке и включение в прошивке

Коротко. Windows 11 требует UEFI с поддержкой Secure Boot и TPM версии 2.0. Проверить это можно через msinfo32 и tpm.msc, не заходя в прошивку. Если TPM выключен, он обычно включается в UEFI как Intel PTT, AMD fTPM или «Security Device». В режиме Legacy/CSM TPM 2.0 не работает — нужен чистый UEFI.

Проверка без входа в прошивку

Secure Boot:

1. Нажмите Win + R, введите msinfo32.
2. Найдите строку «Режим BIOS» — должно быть «UEFI».
3. Найдите «Состояние безопасной загрузки» — «Вкл.» означает, что Secure Boot активен.

TPM:

1. Нажмите Win + R, введите tpm.msc.
2. Проверьте «Состояние» и «Спецификация».
3. Если указано «Спецификация версии 2.0» и статус «Готово», всё в порядке.
4. Если написано, что TPM не найден, — модуль отключён в прошивке или отсутствует.

Альтернатива: «Безопасность Windows» → «Безопасность устройства» → «Сведения о процессоре безопасности».

Требования Windows 11

Secure Boot должен быть поддерживаем; включён он или нет — зависит от настроек и сценария. Для установки обычно достаточно поддержки.

Как включить TPM

1. Перезагрузитесь в прошивку: «Параметры» → «Система» → «Восстановление» → «Перезагрузить сейчас» → «Поиск и устранение неисправностей» → «Дополнительные параметры» → «Параметры встроенного ПО UEFI».
2. Найдите раздел Security, Advanced или Trusted Computing.
3. Ищите пункт с одним из названий:
   • Intel PTT / Intel Platform Trust Technology;
   • AMD fTPM;
   • Security Device Support;
   • TPM State;
   • Discrete TPM.
4. Включите и сохраните настройки (F10 обычно).
5. После загрузки проверьте tpm.msc снова.

Названия отличаются у Dell, HP, Lenovo, ASUS и Acer — ориентируйтесь на смысл, а не на точное слово.

Как включить Secure Boot

1. В прошивке отключите CSM/Legacy, если он включён.
2. Убедитесь, что режим загрузки — UEFI.
3. Найдите Secure Boot и переключите в Enabled.
4. Если есть «Setup Mode», переключите в «User Mode» и при необходимости восстановите ключи.
5. Сохраните и перезагрузитесь.

Не отключайте Secure Boot «навсегда» ради установки: после установки его стоит вернуть.

Если Windows не загружается после включения Secure Boot

• Проверьте, что система установлена в UEFI-режиме, а диск размечен как GPT.
• Отключите сторонние загрузчики и неподписанные драйверы.
• Верните Secure Boot в прежнее состояние, если загрузка не восстанавливается.
• Не начинайте установку заново, пока не сохранили данные.

Что даёт TPM на практике

• Хранение ключей шифрования диска.
• Защита PIN и биометрических данных Windows Hello.
• Поддержка функций безопасности, включая Device Encryption.
• Проверка целостности загрузки вместе с Secure Boot.

Без TPM шифрование диска и часть функций аутентификации недоступны или ограничены.

Частые ошибки

• Включение TPM при активном Legacy-режиме — не заработает.
• Сброс ключей TPM без сохранения ключа восстановления BitLocker.
• Отключение Secure Boot без возврата настройки.
• Попытки «обойти требования» ради установки на неподдерживаемое железо.

Если TPM не включается

• Проверьте, что режим загрузки — UEFI, а CSM/Legacy выключен.
• Найдите пункт «Security Device Support» и включите его.
• На некоторых моделях TPM отключён по умолчанию и включается только в разделе Security.
• Обновите прошивку с сайта производителя: иногда поддержка появляется в новых версиях.
• Если дискретный модуль отсутствует физически, остаётся только firmware TPM (Intel PTT или AMD fTPM).

Как это связано с шифрованием

TPM хранит ключи, которыми защищён зашифрованный диск. Если сбросить TPM без сохранённого ключа восстановления, доступ к данным может быть потерян.

Поэтому перед любыми экспериментами с TPM и Secure Boot:

1. Проверьте, включено ли шифрование.
2. Найдите и сохраните ключ восстановления.
3. Только потом меняйте настройки прошивки.

Проверка перед покупкой б/у ноутбука

Попросите продавца показать msinfo32 и tpm.msc, проверьте версию TPM и режим загрузки. Это быстрее, чем выяснять совместимость после покупки.

Как проверить, что TPM готов к работе

После включения:

1. Откройте tpm.msc.
2. Убедитесь, что статус — «Готово», а спецификация — 2.0.
3. Проверьте «Безопасность Windows» → «Безопасность устройства».
4. Убедитесь, что Windows Hello и шифрование доступны.

Если TPM включён, но система его не видит, перезагрузитесь и проверьте настройки ещё раз. Иногда требуется сброс TPM через саму оснастку — но только после сохранения ключей восстановления.

Обновление прошивки

Производители выпускают обновления UEFI, которые исправляют ошибки и добавляют поддержку функций. Обновляйте прошивку только с официального сайта и при подключённом питании. Прерывание обновления прошивки может вывести ноутбук из строя.

После обновления проверьте настройки Secure Boot и TPM: иногда они сбрасываются к значениям по умолчанию.

Итог

Проверка занимает пару минут: msinfo32 показывает режим загрузки и Secure Boot, tpm.msc — версию TPM. Включение требует UEFI и отключённого Legacy-режима. Перед изменениями сохраните ключи восстановления, а после — верните настройки безопасности, если отключали их для установки.

Если параметр не найден ни под одним из названий, проверьте документацию модели: на части ноутбуков TPM включён постоянно и не имеет отдельного переключателя.

Если ноутбук корпоративный, настройки прошивки могут быть защищены паролем администратора. В этом случае изменения согласуются с ИТ-отделом, а не выполняются самостоятельно.

FAQ

Обязательно ли включать Secure Boot?

Для установки нужна поддержка. Включённый Secure Boot повышает защиту загрузки, но может мешать нестандартным загрузчикам.

TPM есть, но версия 1.2. Что делать?

Windows 11 требует 2.0. Проверьте, можно ли переключить режим в прошивке; если нет — устройство не соответствует требованиям.

Сброс TPM удалит данные?

Сброс TPM может сделать недоступным доступ к зашифрованному диску, если ключ восстановления не сохранён. Сначала сохраните ключ.

Как проверить поддержку без установки?

Через msinfo32, tpm.msc и список поддерживаемых процессоров Microsoft.

Можно ли обновить прошивку, чтобы появился TPM?

Иногда производитель добавляет поддержку в новых версиях. Проверьте страницу поддержки модели.

Связанные материалы

• Загрузка с флешки для установки Windows 11.
• Windows Hello: PIN и распознавание лица.
• Настройка Microsoft Defender в Windows 11.