윈도우 11부터 TPM이라는 암호화 모듈이 추가적으로 필요

TPM은 시스템 차원의 보안/암호화 항목 BitLocker 같은 곳에 사용
 
 윈도우 11부터는 TPM이라는 암호화 모듈이 추가적으로 필요  
바이오스에서  활성화하는 방법
 바이오스 -고급
PCH-FW Configuration -TPM Device Selection
 Enable Discrete TPM이라고 되어있으면 이거 말고 Enable Firmware TPM 이거 클릭해서 활성화
 저장하고 재부팅 하면 인식함

https://it.donga.com/32153/
윈도 11 최소 요구사양은
▲2개 이상 코어가 장착된 1GHz 이상의 호환되는 64비트 프로세서 또는 SoC
▲4GB RAM
▲64GB 이상의 저장 디바이스
▲UEFI, 보안 부팅 가능한 시스템 펌웨어
▲다이렉트X 12 이상(WDDM 2.0 드라이버 포함) 호환 그래픽카드
▲9인치 이상 HD(720P), 8비트 컬러 지원 디스플레이
▲TPM 버전 2.0 지원이다.

내 컴퓨터가 최소 요구사양을 충족하는지 확인하는 가장 간단한 방법은 마이크로소프트 홈페이지에서 받을 수 있는 ‘PC 상태 검사’ 앱을 이용하는 것이다.
앱에서 윈도 11 호환성 확인 검사를 실행하면 호환 여부를 알려준다. 문제는 PC 검사 앱이 어디가 어떻게 미달하는지까지는 알려주지 않는다는 점이다.

지난 5년 이내 구입한 데스크톱이나 노트북이라면 어지간한 저가 모델이 아닌 이상 CPU나 램, GPU 등이 최소 요구사양에 못 미칠 가능성은 작다.
문제는 TPM 2.0 지원 여부다.
최소 요구사양을 충족해도 바이오스에서 TPM 설정에 꺼져있으면 지원 불가로 나오기도 한다

TPM은 신뢰 플랫폼 모듈(Trusted Platform Module)을 뜻하는데, 하드웨어 보안을 위한 암호화에 사용되는 기술이다.
별도의 TPM 칩으로 구현하기도 하고, CPU에서 펌웨어 수준으로 구현하기도 한다. 비트로커라는 디스크 암호화 기능이 바로 이 TPM을 이용한 기능이다.

TPM 지원 여부는 작업표시줄 검색창에서 tpm.msc을 입력해 실행하면 간단하게 확인할 수 있다. 만약 여기서 지원하지 않는다고 뜨더라도 좌절하기엔 이르다.
일반 개인 사용자는 그리 사용할 일이 많지 않은 기능이라 바이오스에서 꺼져있는 경우가 많다. 바이오스에서 PTT(인텔), fTPM(AMD) 기능을 찾아 켜주기만 하면 된다.

tpm.msc를 실행하면 TPM 지원 여부를 확인할 수 있다
참고로 인텔 6세대(스카이레이크), AMD 라이젠은 전 세대가 펌웨어로 TPM 2.0을 구현한다.
이전 세대 CPU라면 TPM 모듈 칩을 따로 구해서 메인보드에 직접 설치하는 방법도 있다.

그런데 마이크로소프트 홈페이지에서 확인할 수 있는 윈도 11 지원 CPU 목록 문서에 인텔 6·7세대 제품, AMD 라이젠 1세대 제품은 빠져있다는 사실이 알려지며
관련 온라인 커뮤니티와 SNS에서 논란이 되기도 했다. 이들 제품은 성능이나 TPM 지원 여부로 보나 지원 대상에서 빠질 이유가 없기 때문이다.

마이크로소프트 측 설명에 따르면 해당 문서는 단순히 ‘윈도 하드웨어 개발자’를 위한 문서일 뿐, 윈도 11 지원 여부와는 관계가 없다.
마이크로소프트 관계자는 “윈도 11 탑재 기기를 제조하는 하드웨어 제조사들을 위한 가이드 문서다.
해당 문서에 표기된 CPU만 윈도 11 업그레이드를 지원한다는 의미는 아니다”라고 설명했다.
실제로 인텔 6세대, 7세대와 AMD 라이젠 1세대는 단종된 모델이라 완제품 PC를 만들 제조사를 위한 가이드에 포함될 이유가 없다.

현재까지는 마이크로소프트가 공식적으로 발표한 최소 요구사양에 충족하기만 하면 윈도 11은 설치 가능하다고 보면 된다.
PC 검사 앱이나 마이크로소프트 홈페이지에서 할 수 있는 호환성 검사 결과는 정확하지 않을 수 있다. 맹신하지 않고 참고만 하는 게 옳다.
아직 출시까지 시간이 남은 만큼 마이크로소프트가 최소 요구사양을 조정할 가능성도 없지는 않다.

윈도 11에도 매력적인 개선점이 많다. UX만 바뀐 게 아니라 기본적인 속도나 안정성도 향상됐다고 마이크로소프트는 밝혔다.
만약 바뀐 시작 메뉴와 작업표시줄이 적응이 안 된다면 설정에서 이전 윈도와 유사한 형태로 바꿀 수도 있다. 공식 발표에 앞서 유출된 프리뷰 빌드에서 확인된 기능이다.
PC 게임을 즐기는 사람에게도 윈도 11 이점은 있다. HDR 지원 모니터라면 자동 HDR 기능을 활용해 HDR 미지원 게임에서도 HDR 효과를 이용할 수 있다.
고성능 NVMe SSD 이용자라면 다이렉트 스토리지 기술을 지원하는 윈도 11을 이용해야 게임을 할 때 하드웨어 성능을 온전히 쓸 수 있다.

======================================================

윈도우11이 발표되면서 TPM에 관심이 많아졌는데요. 의외로 거의 10년가까이 된 기술입니다.
국내 PC제조사는 이것에 소흘했으나, 레노보, 델, HP와 같은 미산의 비즈니스 모델들(씽크패드, 래티튜드, 엘리트북, 엘리트 데스크, 보스트로등등등)의 경우
인텔 3세대, 그러니까 아이비브릿지부터는 기본적으로 탑재되어 있는 기술입니다.

본인의 컴퓨터가 TPM이 활성화 되어있는지 확인하시려면
시작->실행->TPM.msc 라고 입력하셔서 창이 떴을때 아래 스샷처럼 TPM버전이 뜬다면 활성화가 되어있는 것입니다.
결론부터 이야기하면, 암호화된 저장소라고 보시면 되며, 갤럭시의 Knox나 애플의 T1, T2의 조상격이 되는 기술이라고 볼 수 있네요.
디테일한 복잡한 이야기는 영문위키를 보시면 자세하게 나와있고(
https://en.wikipedia.org/wiki/Trusted_Platform_Module
혹은 한글을 원하시면 마이크로소프트의 문서
https://docs.microsoft.com/ko-kr/windows/security/information-protection/tpm/how-windows-uses-the-tpm 를 참고하세요.

컴퓨터의 메인보드, 하드갯수, CPU등을 계산해서 난수를 생성하고
컴퓨터를 부팅할 때 이 난수를 확인하고 변동된게 없으면 TPM에 저장되어있는 비밀번호를 자동으로 끌어내는 것입니다.
(저 같은경우 일반 기가바이트 B450 메인보드에 레이드 카드를 굴리고 있는데 가아끔 부팅시에 이 레이드카드를 감지못할 경우 어김없이 윈도우 부팅에 실패하고 복구코드를 넣으라는 메세지가 뜹니다. TPM이 하드의 갯수변동을 감지해 무결성체크에 실패한 것이지요. 재부팅해서 레이드카드를 인식하면 문제없이 넘어갑니다)
이걸 좀 더 쉽게 이해를 해보자면, 윈도우10에서 비트라커를 설정할 때, 외장 하드의 경우 당연히 비밀번호를 설정하겠지만 내장하드의 경우 TPM에 저장하게 된다면 비밀번호를 설정하지 않고 그냥 넘어갈 수 있죠. 임의의 비밀번호가 TPM에 저장되고, 컴퓨터를 부팅할 때 TPM에서 불러오면 되는 것이니깐요.
한마디로, 컴퓨터를 판단해 자동으로 비밀번호를 내뱉게 하는 외부 비밀번호 저장소라고 생각하면 쉽습니다.

이렇게 기초적인 하드웨어 암호화와 OS의 로그인부분만 담당하는 것이 TPM 1.2버전이고(그래서 윈도우에서 pin코드 말고 지문인식등으로 로그인을 설정할 때 TPM이 없는경우 지문로그인이 불가능한 경우가 생깁니다. 지문에 대한 정보가 TPM에 저장되니깐요)
더 확장되어서 소프트웨어의 키, 공인인증서의 키등 추가적인 정보를 저장할 수 있는 추가적인 공간이 생긴것이 TPM 2.0입니다.
아무튼, 이러한 외부 모듈로 저장공간을 만든것이 저 TPM이고....

이것과 별개로 인텔에서는 MEI, AMD에서는 PSP라고 하여 CPU안에 별도로 컴퓨터를 컨트롤하고 암호화 하는 프로세서가 있었습니다. 과거 씽크패드에서 AMT라고.. 마치 서버의 관리포트처럼 원격제어를 할 수 있었던 것이 저 MEI기반으로 돌아가는 것이었습니다.
네... 저 MEI가 그 인텔 관리엔진 취약점이라고 불리우는 그 보안문제의 원흉이죠..............
아무튼, 인텔에서는 이 MEI에 PTT라는 모듈을 박고 CPU안에 내장된 MEI에서 TPM을 가상으로 굴리는걸 만들었고
AMD PSP의 경우 애플 T2처럼 아예 ARM프로세스 기반으로 되어있기에, 여기에다가 TPM을 가상으로 굴리게 되었습니다.
(애플 T2의 경우 내장된 ARM프로세스를 기반으로 각종 가속에도 활용을 하는것이죠)
이것이 오늘 모공에서 회자되었던 fTPM의 정체입니다(= 인텔에서는 PTT라는 이름으로 설정이 가능하죠)

따라서 TPM은 방식에 따라 크게 두종류, 버전에 따라 두종류  토탈 네종류로 나뉠수 있습니다.
PM 모듈, fTPM  TPM 버전 1.2, TPM 버전 2.0 이렇게요.

TPM모듈 대비 fTPM의 경우 바이오스 업데이트를 할 경우 CPU의 코드도 건들기 때문에 더 민감하다는 단점이 있지요.
(바이오스 업그레이드를 할 경우 TPM의 무결성에 문제가 생겨서 복구코드를 넣어줘야 하는 경우가 생길 수 있습니다.)

버전을 이야기 하자면 현재는 윈도우 11에서 TPM2.0만 사양으로 올라와있지만, 정식버전이 나올때는 최소사양으로 TPM1.2도 추가지원할 것이라고 이야기하고있죠.
사실 OS에서 지원하는것은 TPM1.2에서도 충분한것이 사실이구요. 사실 TPM 2.0에서 소프트웨어나 이런저런 추가공간이 생겼지만 이걸 써먹는 소프트웨어는 제가 본적이 없네요.

결론적으로 이런거 저런거 다 때려치우고 그래서 설정방법이 뭔데? 라고 물으시는 분들을 위해서...
별도의 TPM모듈이 없을경우 AMD의 경우 라이젠 1세대, 인텔의 경우 스카이레이크(6000번대)부터 fTPM을 지원합니다.

이걸 활성화 시키는 방법은 https://jsb000.tistory.com/2718?category=1211608 이곳을 참고하세요. 메인보드 별로 활성화 시키는 방법이 나와있습니다.

더 구형 CPU의 경우 윈도우11에서 공식적으로 지원하는 CPU가 아니지만, 추후 지원여부가 추가 될 수 있다고 판단할 때(솔직히 레거시라고 해도 큰 차이가 없으니깐요)
하스웰 이상급이라면 왠만하면 메인보드에 TPM모듈을 삽입할 수 있는 핀이 있을 수 있습니다.
보통 이 TPM모듈이 12핀과 14, 20핀 세종류로 나뉘는데, 쓰시는 메인보드의 핀을 확인한 뒤 이베이에서 해당 메인보드 제조사+TPM으로 검색하시면
2.0은 조금 비쌀수도 있지만 1.2 TPM의 경우 저렴하게 구매하실 수 있습니다.(오늘을 기점으로 가격이 일제히 오르긴 했지만.....)

예를들어 ASUS TPM 12핀모델의 경우
https://www.ebay.com/itm/303586181127?hash=item46af258007:g:qvIAAOSwIVdeLpdo
ebay 이렇게 구매하실 수가 있다는 거죠.

나중에 윈도우11에 TPM모듈만 달려있다면 CPU를 그렇게 가리지 않는다는게 확인된다면 추가적인 TPM모듈 구매로
추가적인 보안사항과 컴퓨터의 수명을 연장할 수 있으니 고려해보시는것도 나쁘지 않을 것 같네요.

번외로, 이미 윈도우10에서도 프로페셔널+TPM활성화+윈도우 계정로그인 삼종세트가 이뤄진다면 묻지도 따지지도 않고 비트라커가 윈도우 설치 드라이브에 한해서 자동으로 이뤄지는데...............
바이오스 업이나, 부품 추가로 인해서 복구키를 넣으라는 메세지가 뜬다면 당황하지 마시고
https://account.microsoft.com/devices/recoverykey
이곳에 접속하셔서 윈도우 계정로그인으로 접속하시면 복구키가 뜹니다.