Users Guide

信頼済みプラットフォームモジュールと BitLocker のサ

ポート

信頼済みプラットフォームモジュール（TPM）は、暗号化キーに関連する基本的なセキュリティ機能を提供するために設計された、暗号化機能を持つセ

キュアマイクロコントローラです。これはシステムのマザーボード上に取り付けられており、ハードウェアバスを使用してシステムの他のコンポーネントと通信し

ます。BIOS セットアップコマンドを使用して、システムとその TPM の所有権を確立することができます。

TPM は、プラットフォームの構成を値のセットとしてプラットフォーム構成レジスタ（PCR）のセットの中に格納します。従って、例えば、こうしたレジスタの 1

つにはマザーボードの製造元、もう 1 つにはプロセッサの製造元、3 つ目のレジスタにはプラットフォームのファームウェアバージョン、というように構成が格納

されます。

TPM を組み込んだシステムはプラットフォームの測定値に関連付けられたキーを作成します。このキーは、プラットフォームの測定値がキーの作

成時と同じ値である場合にのみアンラップできます。このプロセスは TPM のキーのシールと呼ばれます。復号化はシール解除と呼ばれます。シールされた

キーが初めて作成されるとき、

TPM は構成値とファイルハッシュのスナップショットを記録します。シールされたキーは、現在のシステム値がスナップショットの

記録と一致する場合にのみシール解除できます。BitLocker はシールされたキーを使用してシステムの整合性を脅かす攻撃を検知します。データは、特

定のハードウェアまたはソフトウェア条件が満たされるまでロックされた状態になります。

BitLocker は、次の 2 つの主要データ保護機能を組み合わせて不正なデータアクセスを防ぎます。

• ハードディスク上の Windows オペレーティングシステムのボリューム全体を暗号化する：BitLocker は、オペレーティングシステムボリュームにあるユ

ーザーファイルとシステムファイルをすべて暗号化します。

• 初期起動コンポーネントおよび起動設定データの整合性をチェックする：TPM バージョン 1.2 を備えたシステムでは、BitLocker は TPM の拡張

セキュリティ機能を活用し、システムの起動コンポーネントに変更がなく、暗号化されたディスクが元のシステムにある場合にのみデータがアクセス可能

になるようにします。

BitLocker は互換性のある TPM マイクロチップと BIOS が搭載されたシステム用に設計されています。互換性のある TPM はバージョン 1.2 TPM として

定義されています。互換性のある

BIOS は、TPM および Static Root of Trust Measurement（SRTM）をサポートします。BitLocker は TPM 内のマ

スター暗号化キーを封印して、前回のセキュア起動時からコード測定値に変更がない場合にのみキーの解放を許可し、コード測定値のいずれかが変更

されている場合は、リカバリキーの入力を強制します。1 対多の BIOS アップデートシナリオは、BitLocker がアップデートを停止し、起動完了前にリカバリ

キーを要求することになります。

BitLocker は、フルボリューム暗号化およびセキュアスタートアップによってシステムに格納されているデータを保護します。BitLocker は、オペレーティングシ

ステムが実行されていないときにシステムが侵害された場合でも、システムに格納されたデータの暗号化された状態が維持されることを確実にし、

BitLocker キーが提示されるまでオペレーティングシステムの起動およびドライブの復号化を阻止します。

TPM は BitLocker と連携してシステム起動時の保護を提供します。BitLocker で TPM を使用できるようにするには、TPM を有効化してアクティブにし

ておく必要があります。起動情報が変更された場合、BitLocker はリカバリモードとなり、データへのアクセスにはリカバリパスワードが必要になります。

メモ

: BitLocker をオンにする方法については、Microsoft TechNet ウェブサイトを参照してください。TPM をアクティブにする手順について

は、システムに付属のマニュアルを参照してください。TPM は BitLocker に必須ではありませんが、起動時のシステム整合性検証に追加のセ

キュリティを提供するのは

TPM を搭載したシステムのみです。TPM がない場合、BitLocker を使用できるのはボリュームの暗号化のみで、セ

キュア起動には使用できません。

メモ: BitLocker の最もセキュアな設定方法は、TPM バージョン 1.2 と Trusted Computing Group（TCG）準拠の BIOS を実装したシステ

ムで、起動キーまたは PIN を使用する方法です。これらの方法では、追加の物理的なキー（システムで読み取り可能なキーが書き込まれた

USB フラッシュドライブ）、またはユーザー設定の PIN を必須にすることにより、追加の認証を提供します。

メモ: BIOS の一括アップデートには、BitLocker を無効にしてアップデートをインストールし、システムを再起動してから再び BitLocker を有効

化するスクリプトを作成します。1 対 1 の Dell Update Package（DUP）の展開には、手動で BitLocker を無効にし、システムを再起動した

後で再び有効化します。

信頼済みプラットフォームモジュールと BitLocker のサポート