Users Guide

9
信頼済みプラットフォームモジュール と
BitLocker のサポート
信頼済みプラットフォームモジュール（TPM）は、暗号化キーに関連する基本的なセキュリティ機能を提供
するように設計された暗号化機能を持つセキュアマイクロコントローラです。これはシステムのマザーボー
ド上に取り付けられており、ハードウェアバスを使用してシステムの他のコンポーネントと通信します。
BIOS セットアップコマンドを使用して、システムとその TPM の所有権を確立することができます。
TPM は、プラットフォームの構成を値のセットとしてプラットフォーム構成レジスタ（PCR）のセットの中
に格納します。従って、例えば、こうしたレジスタの 1 つにはマザーボードの製造元、もう 1 つにはプロセ
ッサの製造元、3 つ目のレジスタにはプラットフォームのファームウェアバージョン、というように構成が
格納されます。TPM を組み込んだシステムはプラットフォームの測定値に関連付けられたキーを作成しま
す。このキーは、プラットフォームの測定値がキーの作成時と同じ値である場合にのみアンラップできます。
このプロセスは TPM のキーの シール と呼ばれます。復号化は シール解除 と呼ばれます。シールされたキー
が初めて作成されるとき、TPM は構成値とファイルハッシュのスナップショットを記録します。シールされ
たキーは、現在のシステム値がスナップショットの記録と一致する場合にのみ シール解除 できます。
BitLocker はシールされたキーを使用してシステムの整合性を脅かす攻撃を検知します。データは、特定のハ
ードウェアまたはソフトウェア条件が満たされるまでロックされた状態になります。
BitLocker は、次の 2 つの主要データ保護機能を組み合わせて不正なデータアクセスを防ぎます。
• ハードディスク上の Windows オペレーティングシステムボリューム全体の暗号化：BitLocker は、オペ
レーティングシステムボリュームにあるユーザーファイルとシステムファイルをすべて暗号化しま
す。
• 初期ブートコンポーネントとブート構成データの整合性のチェック：TPM バージョン 1.2 を備えたシ
ステムでは、BitLocker は TPM の拡張セキュリティ機能を利用して、システムのブートコンポーネント
に変更がなく、暗号化されたディスクが元のシステムにある場合にのみ、データにアクセスできるよ
うにします。
BitLocker は互換性のある TPM マイクロチップと BIOS が搭載されたシステム用に設計されています。互換
TPM はバージョン 1.2 TPM として定義されています。互換 BIOS は TPM と Static Root of Trust Measurement
（SRTM）をサポートしています。BitLocker は TPM 内のマスター暗号化キーをシールし、前回のセキュア起
動時からコード測定値に変更がない場合にのみキーの解放を許可します。1 対多の BIOS アップデートシナ
リオは、BitLocker によるアップデート停止、および起動完了前のリカバリキー要求につながります。
BitLocker は、 フルボリューム暗号化 および セキュアスタートアップ によってシステムに格納されているデー
タを保護します。BitLocker は、オペレーティングシステムが実行されていないときにシステムが侵害された
場合でも、システムに格納されたデータの暗号化された状態が維持されることを確実にし、BitLocker キーが
提示されるまでオペレーティングシステムの起動およびドライブの復号化を阻止します。
TPM は BitLocker と連携してシステム起動時の保護を提供します。BitLocker で TPM を使用できるようにする
には、TPM を有効化してアクティブにしておく必要があります。起動情報が変更された場合、BitLocker はリ
カバリモードとなり、データへのアクセスにはリカバリパスワードが必要になります。
メモ: BitLocker をオンにする方法については、Microsoft TechNet ウェブサイトを参照してください。TPM
をアクティブにする手順については、システムに付属のマニュアルを参照してください。TPM は
BitLocker に必須ではありませんが、起動時のシステム整合性検証に追加のセキュリティを提供するの
は
TPM を搭載したシステムのみです。TPM がない場合、BitLocker を使用できるのはボリュームの暗号
化のみで、セキュア起動には使用できません。
49