Das weiß der TE ganz genau und das war auch nicht die Frage.
N3o hat geschrieben: 18.10.2021, 15:09
beim Wechseln des CPU wieder ins BIOS gehen und TPM secure aktivieren. Fertig it that
Jain. Das große Problem an der Sache ist Bitlocker oder jedes andere Programm welches Daten verschlüsseln kann und mit dem TPM Modul zusammenarbeitet. Wird die Festplatte vor dem CPU Wechsel nicht entschlüsselt ist sie auf der neuen CPU, trotz aktiviertem TPM, nicht entschlüsselbar. Für dieses Szenario gibt es Keys die generiert werden mit denen man eine verschlüsselte Festplatte, bei Wechsel von TPM, also hier der CPU, wieder zugreifbar machen kann. Der Teufel steckt hier aber im Detail. Bei Bitlocker z.B. ist es so, dass der Schlüssel in Windows eingegeben werden muss. Sprich ich kann auf eine nicht systemrelevante Festplatte so locker wieder zugreifen.
Ist aber die Systemplatte verschlüsselt, sprich da wo sich das BS befindet, bekomme ich ein größeres Problem. Aber auch nur(!) wenn die Verschlüsselung mit einem aktiven TPM Modul durchgeführt wurde. Wurde die Verschlüsselung ohne TPM Modul gemacht ist es Bitlocker völlig egal welches TPM Modul verbaut wurde oder ist.
Mit aktiviertem TPM und anschließender Verschlüsselung hinterlegt Bitlocker (oder das Programm der Wahl) nämlich einen Hashwert im TPM Modul, und stimmt der nicht verweigert Bitlocker den Dienst, sprich die Platte ist nicht bootbar außer man formatiert sie.
Hier kommt dann der Schlüssel ins Spiel. Die Theorie ist: Schlüssel eingeben, das neue TPM gleicht ab, speichert das, alles prima.
Praxis: 50/50. Kann funktionieren, muss aber nicht. Stand heute.
Verlegt man dann noch den Schlüssel ist Hopfen und Malz verloren. Daher tendiere ich eher dazu ein seperates TPM Modul zu verbauen, auch wenn die CPU TPM kann. Dumm daran ist nur, dass jeder Mainboardhersteller seinen eigenen Krams macht. Geht also angenommen das Gigabyte Mainboard ins Hardwarenirvana, und ich kaufe danach eins von Asus, ist mit großer Wahrscheinlichkeit das TPM Modul komplett obsolet da nicht kompatibel. Das kann nebenbei auch beim Wechsel auf den gleichen Hersteller passieren...
Der Zwang zum TPM betrifft eigentlich nur Firmen denen natürlich daran gelegen ist die Daten so gut es geht zu schützen. Allerdings legen die auch unverschlüsselte Sicherungen an und zwar in einem für sich eigens geschütztem System.
Step by step wenn die CPU nicht unverhofft abraucht:
Windows starten
Verschlüsselung aufheben
Neu starten und danach Herunterfahren
PC vom Strom trennen
CPU wechseln
Im UEFI kontrollieren ob TPM noch aktiviert ist
Laufwerk wieder verschlüsseln (und ganz wichtig den generierten Key aufschreiben und behalten)
Step by step wenn die CPU unverhofft abraucht:
PC vom Strom trennen
CPU wechseln
Im UEFI kontrollieren ob TPM noch aktiviert ist
Generierten Schlüssel bereithalten
Windows DVD einwerfen
Update auswählen und die Festplatte markieren
50/50 Das Setup fragt nach dem Schlüssel, falls nicht, mehrmals probieren^^
Geht das auch nicht, Datenverlust.
TPM und das Passwort
Man soll es nicht glauben, ist aber so. Selbst wenn man ein schnödes Passwort in Windows (also für das einloggen) vergibt wird auch hier das TPM Modul aktiv. Sprich es werden Hashes geschrieben und stimmen die nicht überein wird Windows nicht gestartet.
Hier ist explizit zwischen dem lokalen Konto als auch dem online Konto zu unterscheiden. Bei einem lokalem Konto braucht man überhaupt kein Passwort zu hinterlegen, sprich auch keine PIN oder sonst irgendwas. Windows hinterlegt das so, aber nicht im TPM.
Online verhält sich das etwas anders. Hier gibt es mehrere Wege. Das reine Passwort + der PIN oder das reine Passwort + Windows Hello.
Im Setup aber ist weder die PIN gefragt noch ist Windows Hello verfügbar. Es muss also, zumindest bis hier,
online das Setup gestartet werden. Hintergrund ist hier der Abgleich auf den MS Servern. Ist das Passwort (nicht die PIN) korrekt wird es abgeglichen und ein neuer Eintrag im TPM hinterlegt. Dummerweise, hat man irgendeinen Lan Adapter den Windows nicht kennt wird das auch nichts mit der Abfrage.
Step by step wenn die CPU nicht unverhofft abraucht:
Windows starten
Von dem online Konto auf ein lokales wechseln und KEIN Passwort vergeben
Neu starten und danach Herunterfahren
PC vom Strom trennen
CPU wechseln
Im UEFI kontrollieren ob TPM noch aktiviert ist
Windows installieren und dann wieder auf das Onlinekonto wechseln
Step by step wenn die CPU unverhofft abraucht:
PC vom Strom trennen
CPU wechseln
Im UEFI kontrollieren ob TPM noch aktiviert ist
Und ab hier wird es schwierig.
Hat man sein Passwort noch drauf ist der Abgleich auf den MS Servern relativ simpel insofern der Netzwerktreiber erkannt wurde.
Hat man es aber vergessen oder der Netzwerkadapter wurde nicht erkannt steht man hier vor einem größeren Problem.
TPM ist so eine Sache, ich finde sie auch nicht toll, auf der anderen Seite ist sie sinnvoll, irgendwie...
Aber genau das Szenario, wie der TE es hier beschreibt, kann echt ein massives Problem werden.
