→ cs8425 : 個人覺得 TPM最有用的其實是TRNG... 218.161.13.77 07/10 02:58
→ swich45314 : 反過來說病毒讓hash值發生改變是不 1.161.51.198 07/10 03:25
→ swich45314 : 是就能讓這些保護機制被觸發導致系 1.161.51.198 07/10 03:25
→ swich45314 : 統無法使用？ 1.161.51.198 07/10 03:25
對，沒錯，就是這樣
但是如果 bootloader 或 系統核心 被病毒改過
在 bios 時就會被 secureboot 擋下來了，開不了機了
TPM 是第二道防線
不管是 secureboot 或 TPM 的功能都是讓你發現開不了機的時候
就要提高警覺，先用別的方法解毒 (比如拆硬碟用別的系統讀之類)
推 hn9480412 : 跟蹤？誰想吃飽太閒跟蹤你。不過 114.32.53.191 07/10 03:59
→ hn9480412 : 就是在上一篇和你自己發的文章推 114.32.53.191 07/10 03:59
→ hn9480412 : 文在那邊你一言我一句就說我跟蹤 114.32.53.191 07/10 03:59
→ hn9480412 : 。你去找別篇文章我有跟蹤你喔。 114.32.53.191 07/10 03:59
→ hn9480412 : 你怎麼不說你在上面哀怨完後又來 114.32.53.191 07/10 03:59
→ hn9480412 : 這邊哀怨 114.32.53.191 07/10 03:59
→ hn9480412 : 喔，我是指上面那一串系列文的推 114.32.53.191 07/10 04:04
→ hn9480412 : 文 114.32.53.191 07/10 04:04
推 smallreader : 那我選擇不加密就不受影響，放心了 114.27.33.253 07/10 04:27
→ smallreader : 登入使用者帳戶，帳戶有綁定線上帳 114.27.33.253 07/10 04:40
→ smallreader : 號，或者僅限本地，其中有經過加密 114.27.33.253 07/10 04:40
→ smallreader : 嗎？是否無法unseal key就無法登入? 114.27.33.253 07/10 04:40
推 seoiotoshi : 36.229.135.96 07/10 07:29
對，TPM 有可能像 windows 8 時的 secureboot 一樣
微軟只要求你的硬體有支援這個能力，並沒有強迫你一定要使用
要是 windows 11 也只是這樣要求
那麼不開 secureboot / 開了 TPM 但不使用加密 可能也可以跑 windows 11
補充說明一下，通常加密的時候，不會直接使用 TPM 中的 key 或 密碼當做 key
例如 luks 在加密的時候，會選用一個亂數，當做 master key
然後再用你的密碼，或 tpm 中的 key，去加密這個 master key
也就是你可以設定多個 key 都可以去解密，拿到這個 master key
比如儲存在 TPM 中的 key 可以直接解密 master key，再用 master key 解密系統碟
或者如果 TPM 中的 key 失效時，可以使用密碼解密 master key
而若是使用 bitlocker 的情況，則可以使用當初備份的 recovery key 解密
然後如果有登入 windows 帳號， bitlocker 會上傳一份 key 給微軟
你也可以從微軟帳號刪除這個 key ,或用別的方法讓它不要備份到微軟雲端
Apple 的 FileVault 這方面就比較好，可以一開始就選擇要不要備份 key 到 iCloud
而不是先上傳再刪除
※ 編輯: HamalAri (122.117.176.16 臺灣), 07/10/2021 08:57:39
推 cheneyen : TPM一種目的是保護平台 常見做法就 220.132.16.53 07/10 09:11
→ cheneyen : 是利用PCR的數值 整體目標就是讓第 220.132.16.53 07/10 09:11
→ cheneyen : 三方軟體可以做一致性檢查 其中包含 220.132.16.53 07/10 09:11
→ cheneyen : BIOS配置設定與外接卡韌體(以整機為 220.132.16.53 07/10 09:11
→ cheneyen : 單位) 其他應用還有像是憑證簽章， 220.132.16.53 07/10 09:11
→ cheneyen : 儲存空間，加解密等 如果系統被置換 220.132.16.53 07/10 09:11
→ cheneyen : 另一組合法bootloader跟kernel,那麼 220.132.16.53 07/10 09:11
→ cheneyen : 還是可進到OS,只是PCR的值會跟紀錄 220.132.16.53 07/10 09:11
→ cheneyen : 的不同，此時就要小心啦 220.132.16.53 07/10 09:11
→ leo102171 : 怎麼聽起還不僅不能防病毒，還可以 123.205.86.14 07/10 09:25
→ leo102171 : 拿來做TPM攻擊啊?隨便竄改你一個地 123.205.86.14 07/10 09:25
→ leo102171 : 方，你的電腦就不能開機了 123.205.86.14 07/10 09:25
就算沒有 TPM， 光是 secureboot 也會讓你的電腦在被竄改的情況下不能開機
這些機制用來防毒的思維是，要讓系統有 tamper evident 的能力
而不是 tamper proof
TPM 要防的毒，是那種電腦關機後，有心人士把你的硬碟拆下來
拿去加料，放毒放木馬，等你開機解密系統碟時，偷你的資料的毒
不是經由網路或隨身碟等途徑感染電腦的毒
※ 編輯: HamalAri (122.117.176.16 臺灣), 07/10/2021 09:37:48
→ sachialanlus: 感覺聽起來 一般使用者 好像比較難 122.116.61.243 07/10 09:39
→ sachialanlus: 受惠於TPM反而容易變成正版的受害者 122.116.61.243 07/10 09:39
推 goldie : 同意這篇的說法，TPM 沒有那麼神奇 114.136.84.94 07/10 11:03
推 a12349221 : 目的是保護企業遠端操作，海削一筆 114.39.231.108 07/10 11:29
推 HsieHsieH : 這樣微軟蘋果就不邪惡沒人想知道原111.240.107.161 07/10 12:09
→ HsieHsieH : 因了111.240.107.161 07/10 12:09
→ comipa : 跟海削一點關係都沒有 這叫怕死 220.133.98.140 07/10 12:19
推 d8888 : 感謝您的勘誤 59.127.72.143 07/10 12:34
推 d8888 : 但我還是會擔心，即使 TPM 本身不 59.127.72.143 07/10 12:36
→ d8888 : 直接幫忙加密，但只要 DRM 可以自己 59.127.72.143 07/10 12:36
→ d8888 : 加密再把金鑰鎖進 TPM 59.127.72.143 07/10 12:36
→ d8888 : 並且確保除了未竄改作業系統和官方 59.127.72.143 07/10 12:36
→ d8888 : 軟體本身外無人能開，那還是可以達 59.127.72.143 07/10 12:36
→ d8888 : 到我主文說的 TPM+DRM 的效果。 59.127.72.143 07/10 12:37
→ d8888 : 廠商要鎖住你的存取權，讓軟體拒絕 59.127.72.143 07/10 12:37
→ d8888 : 替你取出 TPM 裡的金鑰進行解密就好 59.127.72.143 07/10 12:37
推 piyopiyolee : 對於電腦全年不關機的人根本就雞肋 122.116.40.163 07/10 12:37
→ d8888 : 然後消費者的數位內容就像bitlocker 59.127.72.143 07/10 12:37
→ d8888 : 加密但 TPM 又壞掉的硬碟，GG 59.127.72.143 07/10 12:38
目前還沒有 TPM based 的 DRM 應用出現
至少零星與 TPM 相關的案例都不是用於加解密數位內容
技術上也沒有任何採用 TPM 理由
把加密數位內容的金鑰放入 TPM 更是多此一舉，沒有任何好處
→ boringuy : 就說沒這功能了,微軟又不是蘋果 220.132.243.3 07/10 12:45
→ ksng1092 : 上篇文章在談數位音樂商店，啊問題 111.248.5.40 07/10 12:49
→ ksng1092 : 是到底有哪些數位音樂商店賣綁DRM的 111.248.5.40 07/10 12:50
→ ksng1092 : 音樂？當商品是不綁DRM的時候為什麼 111.248.5.40 07/10 12:50
→ ksng1092 : 要擔心TPM+DRM會如何呢？ 111.248.5.40 07/10 12:50
推 d8888 : 現在不綁DRM不代表環境成熟後不綁啊 59.127.72.143 07/10 13:49
→ d8888 : 手握利刃殺心自起 59.127.72.143 07/10 13:49
→ d8888 : 對消費者最好的是「廠商做不到」 59.127.72.143 07/10 13:49
→ d8888 : 而不是「廠商有能力但發慈悲不做」 59.127.72.143 07/10 13:50
→ ksng1092 : 數位音樂是怎麼從綁DRM走向不綁DRM 111.248.5.40 07/10 13:51
→ ksng1092 : 的去瞭解一下好嗎XD 111.248.5.40 07/10 13:51
→ ksng1092 : 有在買數位音樂的人應該不會擔心... 111.248.5.40 07/10 13:51
推 d8888 : 拿熱武器比喻，要讓廠商手上沒槍 59.127.72.143 07/10 13:51
→ d8888 : 而不是讓廠商手上有槍祈禱他們不用 59.127.72.143 07/10 13:52
→ ksng1092 : DRM幾十年前就能輕易做到了，不是以 111.248.5.40 07/10 13:52
→ ksng1092 : 後才會成熟的東西好嗎... 111.248.5.40 07/10 13:52
→ ksng1092 : 槍他們已經握在手上多少年誰等TPM 111.248.5.40 07/10 13:53
推 d8888 : 以前的 DRM 是軟體方案好嗎？ 59.127.72.143 07/10 13:55
→ d8888 : 只要 key 在RAM/硬碟/CPU裡就能撈 59.127.72.143 07/10 13:55
→ d8888 : 所有的防拷程式都是軟體，而軟體可 59.127.72.143 07/10 13:55
→ d8888 : 以 patch 59.127.72.143 07/10 13:55
→ d8888 : 東西做在「純軟體」和「CPU 都不能 59.127.72.143 07/10 13:55
→ d8888 : 直接讀取內容的硬體」 59.127.72.143 07/10 13:56
→ d8888 : 完全是兩樣概念 59.127.72.143 07/10 13:56
→ d8888 : DRM 也不是所有人都不用 59.127.72.143 07/10 13:57
→ d8888 : 我前陣子youtube premium下載的影片 59.127.72.143 07/10 13:57
→ ksng1092 : 概念是一樣的：DRM商品能不能賣 111.248.5.40 07/10 13:57
→ d8888 : 還是強制加密啊 59.127.72.143 07/10 13:57
→ ksng1092 : 技術好不好做都是其次 111.248.5.40 07/10 13:58
→ ksng1092 : "youtube premium下載的影片"是數位 111.248.5.40 07/10 13:58
→ ksng1092 : 音樂商品嗎XDD 111.248.5.40 07/10 13:58
→ ksng1092 : 講音樂跳影片是在幹嘛... 111.248.5.40 07/10 13:58
推 d8888 : Youtube music premium 是訂閱制的 59.127.72.143 07/10 13:59
→ d8888 : 數位音樂商品沒錯 59.127.72.143 07/10 13:59
→ d8888 : 上面有免費版沒有的音樂喔 59.127.72.143 07/10 13:59
→ ksng1092 : 訂閱制你還想不綁DRM可以下載自用也 111.248.5.40 07/10 14:00
→ ksng1092 : 太......我以為我們是在談買斷的東 111.248.5.40 07/10 14:00
→ ksng1092 : 西，是我跟不上你的思路...... 111.248.5.40 07/10 14:01
→ ksng1092 : 失陪了XD 111.248.5.40 07/10 14:01
推 d8888 : 你可以說訂閱制推 DRM 有他的道理， 59.127.72.143 07/10 14:07
→ d8888 : 我不否認 59.127.72.143 07/10 14:07
→ d8888 : 我要論證的只是廠商有能力推 TPM+ 59.127.72.143 07/10 14:07
→ d8888 : DRM 而使用者無法繞過 59.127.72.143 07/10 14:07
→ d8888 : 至於廠商這樣做合不合理，那是另一 59.127.72.143 07/10 14:08
→ d8888 : 個問題 59.127.72.143 07/10 14:08
→ d8888 : 還是很感謝你與我一起討論問題 59.127.72.143 07/10 14:08
→ d8888 : 我思考迴路比較清奇請見諒了 59.127.72.143 07/10 14:08
※ 編輯: HamalAri (122.117.176.16 臺灣), 07/10/2021 14:20:27
推 canandmap : 別跳來跳去討論好嗎? 118.168.52.151 07/10 23:55
→ geesegeese : 一般人其實用不到win11 101.9.239.28 07/11 02:17
→ commandoEX : 現在真要綁硬體加密就賣USB驗證裝置 36.237.191.3 07/11 03:35
→ commandoEX : /硬體鎖，早就能做到了 36.237.191.3 07/11 03:35