2015 年微軟發布 Windows 10 時，微軟開發人員 Jerry Nixon 曾稱 Windows 10 將會是 Windows 最后一個版本，未來微軟將只會在 Windows 10 平臺上新增功能和修補漏洞。
在 Windows 10 之前，Windows 的版本更新周期基本維持在 3-4 年左右，像 Windows 10 這樣運營 6 年仍未迎來大更新的版本實屬少見。
就在大家都以為，微軟已為 Windows 畫上句號時，微軟突然宣布了 Windows 11 的來臨。
無論微軟是不是在打自己過去的臉，Windows 11 還是給與 Windows 10 朝夕相處 6 年之久的老用戶們帶來很多新鮮感，并且這次升級是免費的，很多用戶在正式版發布后便紛紛打算升級體驗。
然而，一些電腦硬件比較舊的用戶卻發現，自己的電腦不滿足 Windows 11 的升級要求。
更奇葩的是，這并不是因為其電腦的 CPU 性能不足，或者硬盤、內存的容量不夠，而是因為一顆從來沒聽過的芯片——TPM 2.0 安全芯片。
由于 Windows 系統的安全性一直飽受詬病，微軟在 2011 年聯合了多家 PC 廠商一起推廣 TPM 安全芯片，以提高 Windows 系統的防御力，從此開始基本上每臺電腦出廠時都會內置 TPM 1.2 芯片。
簡單來說，TPM 芯片專門用于處理電腦的加密密鑰，可以起到安全認證、密鑰儲存等作用，相比起軟件的安全防護，TPM 提供的硬件級防護要封閉得多，所以更不易遭到病毒等惡意軟件入侵和篡改。
新的 CPU 已經集成了 TPM 2.0 芯片
2016 年，TPM 2.0 芯片開始推廣，不少廠商也跟上了更新的步伐，不過當時的用戶們基本察覺不到這種「細枝末節」的升級，直到 Windows 11 的推出。
一些還在使用 TPM 1.2 時代硬件的用戶指責微軟借 Windows 11 升級強推 TPM 2.0 芯片的目的，其實是為了刺激老用戶更換新的硬件，加速硬件淘汰的速度。
因此他們研究出了很多能夠繞過 TPM 芯片檢測的方法強行升級 Windows 11，這些方法被形象地稱之為「偷渡」。
微軟為此解釋稱，推廣 TPM 2.0 芯片的目的，其實是為了應對越來越嚴峻的信息安全問題。
微軟的安全研究人員發現，利用硬件固件漏洞（CPU、內存、硬盤等）攻擊系統的行為正在日益漸增，并且這種惡意代碼很難被檢測或者清除，一旦感染，用戶只能重裝系統或者更換硬盤。
這些漏洞不僅會威脅用戶的信息安全，還會間接地對現實世界造成嚴重的影響，例如前些年讓全球陷入信息安全恐慌的勒索軟件一度讓醫院、加油站等重要機構的電腦癱瘓，造成了難以挽回的損失。
為了更直觀地解釋 TPM 2.0 芯片的重要性，微軟決定親自化身「黑客」，演示 Windows 11 在遭到入侵時是如何抵御的。
微軟首席「內鬼」
微軟請出了微軟企業和操作系統的安全主管 David Weston 來演示這場入侵。
David 在微軟建立了專業的黑客隊伍，他的工作就是要比黑客更快一步找到威脅系統的安全問題，因此在攻擊 Windows 這塊，他可以說是個專家。
David 首先演示的是遠程入侵一臺沒有開啟 TPM 保護或安全啟動的 Windows 10 電腦，然后在這臺傀儡機上安裝勒索軟件，鎖定其硬盤。
入侵的過程非常簡單，David 找到了一個開放的 RDP 端口，在遠程強制登陸了這臺電腦。
而攻破其系統密碼的過程也很粗暴，就是檢索各種已泄露的密碼本來不斷嘗試解鎖，經過幾分鐘或幾天的時間暴力破解就能攻破。
一旦被黑客成功進入系統，那么傀儡機基本上就喪失了控制權，黑客可以隨意植入勒索軟件等木馬，更改系統的引導文件，這時即使用 WinPE 或 WinRE 修復硬盤，也不能保證能夠完全恢復系統分區。
想要解鎖重要的數據，用戶就不得不用比特幣等加密貨幣向黑客支付高昂的贖金。
Windows 11 能夠怎么保護這些重要文件免受「綁架」呢？David 稱解決的辦法并不復雜，那就是使用自帶的「安全啟動模式」。
?
在 Windows 11 的安全模式下，系統在啟動時會檢查啟動程序的代碼與密鑰是否與 TPM 芯片的信息一致，確認其是否被修改。
再根據運行的健康引導日志，以正確的引導文件運行，拒絕勒索軟件的修改，使你可以正常登陸 Windows 備份文件，從而將勒索入侵的損失降到最低。
演示完遠程控制后，David 接著演示了另一種面對面的安全破解——用小熊軟糖破解指紋識別。
由于偽造一個完全相同的指紋非常困難，在大多數人固有印象里指紋識別非常安全。
想要強行破開指紋識別這道安全大門確實是個難題，但繞開它直接進入系統卻是有可能的。
David 準備了一個名為 PCI leech 的設備，它能夠通過雷電接口直接訪問電腦內存的信息，只要給電腦打上一個「任何信息都能解鎖」的補丁，那么就能成功繞開指紋信息進入電腦。
這時候，用任何有導電性的物體（手指、鼻子或者小熊軟糖等）都能解開電腦，從而訪問所有隱私內容。
這種針對內存的攻擊并不罕見，因為很多程序在運行時數據都會儲存短暫地在內存之中，攻擊者就會利用這個契機乘機修改數據。
如果你的電腦落入了懂得相關技術的不法分子手里，那么你收藏夾里的「機密文件」大概率是兇多吉少了。
不過如果你恰好使用了 TPM 芯片防護入侵，那么一切都將另當別論。
David 隨之在一臺 Windows 11 系統電腦上做了相同的入侵演示，結果發現指紋識別依然能正確工作。
這是因為，這時指紋識別的信息已經不再是簡單地儲存在內存中，而是被隔離出來，鎖定在一個獨立、安全的虛擬區域，每次讀取都需要密鑰的校驗。
而密鑰則儲存在與外界隔絕的 TPM 芯片之中，安全性大大提高。
David 稱目前 Windows 11 中很多安全功能也能夠在 Windows 10 中使用，只是在上一個版本這些功能還只是可選功能，而現在為了提高 Windows 11 的安全性能而默認啟用。
因此，無論你是否打算從 Windows 10 升級到 Windows 11，微軟都建議你檢查自己的 TPM 版本，并在 BIOS 將其啟用。
除了能進行系統級安全防護以外，TPM 2.0 芯片的保護措施還有很多，最為常見的應該就是從 Windows Vista 時期加入的 Bitlocker。
對于企業級用戶而言，Bitlocker 驅動加密已經變得不可或缺。Bitlocker 是一種全卷加密技術，簡單來說就是能給你的硬盤上一把鎖，即使硬盤被盜，小偷也不能從中讀取信息。
保護信息的關鍵，就是 TPM 2.0 芯片。當你為你的磁盤進行加密時，加密的部分密鑰會儲存在主板的 TPM 芯片之中。
這樣不僅能夠提供安全性更高的加密保護，而且當你的硬盤不幸落入他人之手，也會因為缺少 TPM 芯片上的密鑰而無法使用，提供了強有力的脫機保護。
在數字貨幣和虛擬資產流行的當下，很多「數字大亨」價值數十萬美元的 NFT 資產、數字錢包密鑰可能就保存在電腦硬盤之中，一旦遺失后果不堪設想。
因此對于個人用戶來說，利用類似 Bitlocker 等硬件級加密技術保護自己的重要數據也很有必要。
TPM 芯片除了可以數據安全，還有一些你意想不到的用途，例如用于游戲防作弊。
近年來我們見證了不少現象級游戲突然爆火，例如《絕地求生》《APEX》《糖豆人》等，它們爆火的原因各不相同，但「涼掉」的理由大多一致——外掛太多了。
游戲開發者與作弊者的斗爭，從游戲誕生的一日起便從未停止，而現在，有些開發者決定用更嚴苛的手段對付作弊者，其中就包括了《英雄聯盟》的開發商拳頭游戲。
拳頭游戲新作《無畏契約》的防作弊系統 Vanguard 會檢測 Windows 11 的玩家是否啟用 TPM 2.0，如果未啟用將不能進入游戲。
有安全專家分析，拳頭游戲是打算通過 TPM 2.0 芯片確認作弊者的硬件信息，并對設備進行永久封禁。
《無畏契約》的措施是激進且大膽的，這可能會為其他網游公司帶來啟發，用物理封禁拉高作弊者的成本，但同時也有人這種更嚴格的監管是對個人隱私的進一步侵犯。
不過在 Windows 11 的推動下，類似《無畏契約》這種需要調用 TPM 2.0 芯片的游戲或應用也許會變得越來越多。屆時，更高標準的信息安全防護需求，可能會成為人們更換設備的新理由。
本文來自微信公眾號“愛范兒”（ID:ifanr），作者：黃智健，36氪經授權發布。
