TPM 2.0: зачем нужен Windows 11 и как включить

Windows 11 при установке проверяет наличие чипа TPM 2.0 и без него отказывается ставиться. На старых ПК и даже на относительно свежих сборках 2018-2020 годов это становится сюрпризом: Windows 10 без TPM работала, а 11 уже нет. Разбираемся, что такое TPM, зачем Microsoft сделал его обязательным, как проверить наличие на вашем железе и включить если он есть, но отключён в UEFI.

Если коротко

TPM 2.0 это специальный чип безопасности на материнской плате, который хранит криптографические ключи и помогает защитить систему от атак на уровне загрузки. Windows 11 использует его для BitLocker, Windows Hello, Secure Boot и защиты учётных данных. Без TPM 2.0 официальная установка Windows 11 невозможна. На большинстве ПК 2016 года и новее TPM 2.0 уже встроен, но часто отключён в UEFI. Включается одной галочкой в настройках UEFI после перезагрузки.

Что такое TPM 2.0

TPM (Trusted Platform Module) это микросхема на материнской плате компьютера или встроенный модуль внутри процессора. Версия 2.0 это стандарт безопасности, утверждённый организацией Trusted Computing Group в 2014 году. До неё была версия 1.2, она менее криптографически устойчива и в Windows 11 не подходит.

Главные функции TPM:

Хранение криптографических ключей. Ключи генерируются и хранятся внутри чипа, никогда не покидают его в открытом виде. Даже если вирус получит полный доступ к ОС, ключи он не украдёт.

Проверка целостности загрузки. При включении ПК TPM сверяет хеши компонентов UEFI, загрузчика и ядра Windows. Если что-то изменилось (руткит, буткит), TPM отказывается отдать ключи дешифрования диска.

Генерация случайных чисел. Встроенный аппаратный генератор для криптографических операций. Намного устойчивее программных аналогов.

Защита учётных данных Windows. Хэши паролей и токены Windows Hello шифруются ключами из TPM. Извлечь их с украденного диска без TPM физически невозможно.

Зачем Microsoft сделал TPM 2.0 обязательным

Несколько причин, по которым Windows 11 без TPM не ставится.

Первая. Защита от современных атак на загрузчик. Руткиты и буткиты прошлых лет (как Trickbot, MoonBounce) живут в UEFI и переживают переустановку Windows. TPM с Secure Boot блокирует такие атаки на уровне железа, а не ОС.

Вторая. BitLocker по умолчанию для всех. В Windows 11 BitLocker должен «просто работать» без сложной настройки на любом современном устройстве. Это возможно только при наличии TPM, который безопасно хранит ключ шифрования диска.

Третья. Windows Hello и беспарольная аутентификация. Распознавание лица и отпечатка пальца требует безопасного хранилища биометрических шаблонов. TPM это хранилище и есть.

Четвёртая. Соответствие корпоративным требованиям. Многие крупные клиенты Microsoft (банки, госструктуры) требуют hardware-based security. TPM 2.0 это стандарт индустрии.

5543 отзыва

Microsoft Windows 11 Pro

2 390 ₽1 990 ₽

В корзину

5543 отзыва

Microsoft Windows 11 Домашняя (Home)

2 350 ₽1 950 ₽

В корзину

5456 отзывов

Microsoft Windows 10 Pro

2 290 ₽1 890 ₽

В корзину

5543 отзыва

Microsoft Windows 11 Pro

2 390 ₽1 990 ₽

В корзину

5543 отзыва

Microsoft Windows 11 Домашняя (Home)

2 350 ₽1 950 ₽

В корзину

5456 отзывов

Microsoft Windows 10 Pro

2 290 ₽1 890 ₽

В корзину

Как проверить наличие TPM 2.0 на ПК

Самый быстрый способ. Откройте Win+R, введите команду:

tpm.msc

Запустится консоль управления TPM. Если внизу окна написано «Версия спецификации: 2.0» и статус «Готов к использованию», значит TPM 2.0 включён и работает. Можете не читать дальше эту статью.

Если консоль показывает «Не удаётся найти совместимый доверенный платформенный модуль» — TPM либо отсутствует физически, либо отключён в UEFI. Переходите к следующему разделу.

Если показано «Версия 1.2» — у вас старый TPM, для Windows 11 он не подходит. Апгрейд возможен только заменой материнской платы или добавлением отдельного TPM 2.0 модуля (если на материнке есть TPM-header).

Как включить TPM 2.0 в UEFI BIOS

Часто TPM физически есть, но отключён производителем по умолчанию. Включается так:

1. Перезагрузите ПК.
2. На начальном экране нажмите клавишу входа в UEFI Setup. Чаще всего F2, Del, F10 или Esc. На ноутбуках Lenovo это обычно F2 или Fn+F2, HP — F10, Dell — F2 или F12, ASUS — F2 или Del.
3. Найдите раздел «Security» или «Advanced» или «Trusted Computing».
4. Внутри ищите пункт с одним из названий: TPM, TPM State, Security Device, Intel PTT, AMD fTPM, AMD PSP fTPM Switch.
5. Переведите его в «Enabled».
6. Если есть пункт «TPM Version», выберите 2.0.
7. Сохраните настройки и перезагрузитесь (обычно F10 → Yes).

После перезагрузки откройте tpm.msc и проверьте: версия должна быть 2.0, статус «Готов к использованию».

fTPM (firmware) vs дискретный TPM

Современные процессоры умеют эмулировать TPM 2.0 внутри себя без отдельной микросхемы. Это называется firmware TPM (fTPM).

У Intel это технология PTT (Platform Trust Technology), доступна на процессорах с 7-го поколения и новее (Kaby Lake и далее). У AMD это fTPM, доступна на процессорах Ryzen первого поколения (Summit Ridge 2017 года) и новее.

Дискретный TPM это отдельная микросхема на материнской плате или модуль, который вставляется в специальный TPM-header. На серверных и старых корпоративных ноутбуках обычно стоит дискретный, на современных потребительских материнках чаще fTPM прямо в процессоре.

Для Windows 11 разницы между fTPM и дискретным TPM нет, оба полностью соответствуют требованиям. Дискретный считается чуть более безопасным (отдельный чип сложнее взломать через программный эксплойт CPU), но для домашних задач это не критично.

Что делать, если TPM 2.0 физически нет

Несколько сценариев в зависимости от возраста железа.

Процессор Intel 6-го поколения (Skylake) или старше. PTT нет, дискретный TPM на материнке тоже редко. Установка Windows 11 официально невозможна. Варианты: оставаться на Windows 10 до её EOL в октябре 2025 года, потом перейти на Windows 11 IoT Enterprise LTSC 2024, у которой требования мягче и TPM не обязателен. Подробности в нашей статье про IoT vs LTSC.

Процессор Intel 7-го+ или AMD Ryzen. PTT/fTPM есть, но отключён. Включите по инструкции выше.

Старая материнка с TPM-header. Можно купить отдельный TPM 2.0 модуль (TPM 2.0 Header Module от Asus, MSI, Gigabyte стоят 1500-3000 рублей) и вставить в свободный header. Узнать наличие header можно в мануале к материнке.

Обход требования через хак реестра при чистой установке Windows 11 технически возможен, но Microsoft предупреждает: устройства без TPM могут не получать обновления безопасности и переход на следующие версии Windows 11 (например, 25H2) может сломаться. Для домашней одиночной установки это терпимо, для рабочего ПК — нет.

TPM и BitLocker

Главное практическое применение TPM 2.0 для домашнего пользователя это автоматический BitLocker. В Windows 11 на устройствах с TPM 2.0, Secure Boot и Modern Standby BitLocker автоматически включается при первой настройке с учётной записью Microsoft. Ключ восстановления сохраняется в облаке Microsoft.

Это удобно: при потере или краже ноутбука диск зашифрован, данные не извлечь. Но есть и обратная сторона: если вы переустановили UEFI, обновили BIOS, поменяли материнку или просто очистили TPM, BitLocker запрашивает ключ восстановления, которого вы можете не помнить.

Подробнее про настройку BitLocker и работу с ключом восстановления в нашей статье про включение BitLocker.

Очистка TPM перед продажей ПК

Если продаёте или передаёте ПК, очистите TPM перед тем, как отдать устройство. В очищенном TPM нет ваших ключей шифрования, биометрии, токенов Windows Hello. Новый владелец начнёт с чистого листа.

Очистка делается через tpm.msc → справа «Очистить TPM», либо в UEFI Setup → Security → Clear TPM. После очистки потребуется ввод ключа восстановления BitLocker, поэтому сначала выключите шифрование диска через Параметры → Конфиденциальность → Шифрование устройства.

Часто задаваемые вопросы

Можно ли установить Windows 11 без TPM 2.0?

Официально нет, установщик блокирует процесс. Существуют способы обхода через правку реестра во время чистой установки, но Microsoft предупреждает о возможных проблемах с обновлениями и поддержкой. Для долговременного использования рекомендуется железо с TPM 2.0.

В чём разница между TPM 1.2 и TPM 2.0?

TPM 1.2 использует устаревшие алгоритмы (SHA-1, RSA-2048), TPM 2.0 поддерживает современные SHA-256, SHA-384, ECC. Windows 11 требует именно 2.0, версия 1.2 не подходит даже на относительно свежих ПК с дискретным модулем.

Где найти TPM на материнской плате?

Если это дискретный модуль, он выглядит как маленькая зелёная или чёрная плата, вставленная в специальный TPM-header на материнке. Если у вас fTPM (Intel PTT или AMD fTPM), физического чипа отдельно нет, всё внутри процессора. Чтобы узнать наверняка, читайте мануал к материнской плате.

Нужен ли TPM для обычной работы за компьютером?

Для пользования Word, Chrome, играми и большинства задач TPM не задействован. Он работает фоном для BitLocker, Windows Hello, Secure Boot. Если вы не пользуетесь шифрованием диска и биометрией, TPM лежит без дела, но Windows 11 всё равно требует его наличия для установки.

Сбрасывается ли активация Windows при очистке TPM?

Нет, ключ продукта Windows не привязан к TPM. Активация хранится в Hardware ID и учётной записи Microsoft. После очистки TPM Windows остаётся активированной.

Можно ли купить TPM-модуль отдельно?

Да, для материнок с TPM-header модули продаются у производителей (Asus TPM-M R2.0, MSI TPM 2.0 Module, Gigabyte CTM010 и аналоги). Стоят 1500-3000 рублей. Перед покупкой проверьте, что header на материнке физически есть и совместим с конкретной моделью модуля.

Безопасно ли покупать ключ Windows 11 на digi-keys.ru?

На digi-keys.ru продаются Retail-ключи Windows 11 Pro и Home через лицензионных поставщиков. После активации статус проверяется в учётной записи Microsoft (Параметры → Учётные записи). Гарантия активации действует через онлайн-чат или Telegram @digi_keys.