บทนำ

การล้างโมดูลแพลตฟอร์มที่เชื่อถือได้ (Trusted Platform Module: TPM) บน Windows 10 สามารถแก้ปัญหาการถามรหัสกู้คืน BitLocker ซ้ำๆ ความล้มเหลวของ Windows Hello และข้อผิดพลาดการรับรองอุปกรณ์ และยังช่วยเตรียมพีซีสำหรับการขายต่อหรือการนำไปใช้งานใหม่ได้ การดำเนินการนี้จะรีเซ็ต TPM ให้กลับสภาพสะอาด แต่ก็จะลบกุญแจที่ใช้ปกป้องการลงชื่อเข้าใช้, VPN, Wi‑Fi และการเข้ารหัสด้วย หากทำโดยไม่มีแผน คุณอาจถูกล็อกไม่ให้เข้าถึงข้อมูลของตนเอง คู่มือนี้อธิบายวิธีล้าง TPM บน Windows 10 อย่างปลอดภัยด้วยขั้นตอนที่ชัดเจน คุณจะได้รู้ว่าเมื่อใดการล้างจะช่วยได้ วิธีเตรียมความพร้อม และวิธีที่ปลอดภัยที่สุดในการดำเนินการ นอกจากนี้ยังอธิบายวิธีจัดการ BitLocker ก่อนและหลังการดำเนินการ วิธีคืนค่าฟีเจอร์ต่างๆ และวิธีแก้ข้อผิดพลาดที่พบบ่อย ด้วยแนวทางที่เป็นระบบนี้ คุณจะฟื้นฟูสุขภาพของ TPM ได้โดยไม่เสี่ยงต่อไฟล์หรือการเข้าถึงของคุณ

การเข้าใจว่า TPM คืออะไรและการล้างทำอะไรจริงๆ จะช่วยให้คุณตัดสินใจได้อย่างมั่นใจ มาเริ่มจากการนิยาม TPM และสิ่งที่เปลี่ยนแปลงเมื่อคุณรีเซ็ตมัน

ล้าง TPM ใน Windows 10

TPM คืออะไร และ ‘ล้าง TPM’ ใน Windows 10 หมายถึงอะไร?

TPM คือโปรเซสเซอร์การเข้ารหัสที่ปลอดภัยซึ่งสร้าง จัดเก็บ และปกป้องกุญแจเข้ารหัส Windows 10 ใช้มันเพื่อผูกกุญแจลับเข้ากับค่าการวัดการบูตที่เชื่อถือได้ ฟีเจอร์ที่พึ่งพามันรวมถึง BitLocker, Windows Hello, VPN และ Wi‑Fi แบบใช้ใบรับรอง และการรับรองสุขภาพอุปกรณ์ บนพีซีจำนวนมาก TPM ถูกทำงานในเฟิร์มแวร์ในชื่อ Intel PTT หรือ AMD fTPM อุปกรณ์บางรุ่นมีชิป TPM แบบฮาร์ดแวร์แยกที่บัดกรีบนเมนบอร์ด ไม่ว่ากรณีใด Windows คาดหวังให้ TPM พร้อมใช้งานและอยู่ในสภาพดี เพื่อที่จะปล่อยกุญแจให้ระบบปฏิบัติการเฉพาะเมื่ออุปกรณ์บูตในสถานะที่เชื่อถือได้เท่านั้น

เมื่อคุณล้าง TPM บน Windows 10 คุณกำลังรีเซ็ต TPM ให้กลับสภาพคล้ายโรงงาน การล้างจะลบกุญแจที่ถูกปกป้องโดย TPM และรีเซ็ตข้อมูลความเป็นเจ้าของ ไฟล์ส่วนตัว แอปพลิเคชัน และตัว Windows เองจะไม่ถูกแตะต้อง อย่างไรก็ตาม สิ่งใดก็ตามที่ใช้กุญแจที่ผนึกด้วย TPM ต้องลงทะเบียนใหม่หรือผนึกใหม่ ซึ่งรวมถึงตัวป้องกัน TPM ของ BitLocker, PIN และข้อมูลชีวมิติของ Windows Hello และใบรับรองของผู้ใช้หรืออุปกรณ์บางประเภท การล้างยังยกเลิกความเป็นเจ้าของก่อนหน้าเพื่อให้เจ้าของใหม่เข้าควบคุมได้ นี่คือเหตุผลที่คุณควรมองว่าเป็นการเปลี่ยนแปลงด้านความปลอดภัย: สำรองคีย์กู้คืน ส่งออกใบรับรองสำคัญๆ และรู้ว่าคุณจะลงชื่อเข้าใช้อย่างไรหลังการรีบูต

เมื่อรู้แล้วว่าการล้างทำอะไร ขั้นตอนต่อไปคือการตัดสินใจว่าคุณควรทำหรือไม่ ไม่ใช่ทุกข้อผิดพลาดจะต้องรีเซ็ต TPM และการหลีกเลี่ยงการล้างโดยไม่จำเป็นจะช่วยลดความเสี่ยง

เมื่อใดที่ควร—และไม่ควร—ล้าง TPM บน Windows 10

คุณควรล้าง TPM เมื่อมีสัญญาณชัดเจนว่าสถานะของ TPM เสียหายหรือกุญแจล้าสมัย กรณีทั่วไปได้แก่ การถามรหัสกู้คืน BitLocker ซ้ำๆ หลังจากเปลี่ยนเฟิร์มแวร์ เปลี่ยนเมนบอร์ด หรือเปลี่ยนการตั้งค่าการบูต; ข้อผิดพลาดของ Windows Hello เช่น 0x80090016 หรือ 0x80090034; การรับรองอุปกรณ์หรือการตรวจสุขภาพล้มเหลวที่ขัดขวางการลงชื่อเข้าใช้แบบปลอดภัย; หรือเมื่อคุณโอนความเป็นเจ้าของอุปกรณ์เพื่อขายต่อ ส่งซ่อม (RMA) หรือมอบหมายใช้งานภายใน การล้างยังช่วยได้หลังจากคุณเปลี่ยนองค์ประกอบการบูตที่ทำให้ค่าการวัด PCR เปลี่ยนแปลงและป้องกันไม่ให้ TPM ปล่อยกุญแจ

หลีกเลี่ยงการล้างหากคุณไม่สามารถยืนยันคีย์กู้คืน BitLocker สำหรับทุกไดรฟ์ที่เข้ารหัสได้ อย่าล้างอุปกรณ์ที่ทำงานหรือของโรงเรียนโดยไม่ได้รับอนุมัติ เพราะ MDM หรือ Group Policy อาจบล็อกหรือบันทึกการกระทำกับ TPM และองค์กรของคุณอาจกำหนดขั้นตอนเฉพาะ นอกจากนี้ควรพิจารณาวิธีแก้ไขที่ง่ายกว่าก่อนล้าง: กลับมาใช้งาน BitLocker อีกครั้ง ติดตั้งอัปเดต BIOS หรือเฟิร์มแวร์จากผู้ผลิต ยืนยันว่าเปิด Secure Boot และลงทะเบียน Windows Hello ใหม่ หากสิ่งเหล่านี้ไม่แก้ปัญหา จึงค่อยดำเนินการล้างตามแผน

การล้างอย่างปลอดภัยเริ่มจากการเตรียมพร้อม การตรวจสอบต่อไปนี้จะปกป้องข้อมูลของคุณและทำให้กระบวนการคาดการณ์ได้ ทำให้เสร็จก่อนที่คุณจะจัดการกับ TPM

การตรวจสอบก่อนล่วงหน้าก่อนคุณล้าง TPM บน Windows 10

การเตรียมพร้อมอย่างรอบคอบช่วยลดโอกาสถูกล็อกเอาต์และทำให้การกู้คืนเร็วขึ้น ตรวจสอบความถูกต้องของคีย์ BitLocker ส่งออกข้อมูลรับรอง และตรวจสอบว่าใครเป็นเจ้าของหรือจัดการอุปกรณ์ เมื่อขั้นตอนเหล่านี้เสร็จแล้ว คุณจะพร้อมตรวจสอบสถานะ TPM และเลือกวิธีการล้าง

ยืนยันสถานะ BitLocker และสำรองคีย์กู้คืน

  • เปิด Command Prompt แบบผู้ดูแลระบบและรัน: manage-bde -status จดว่าไดรฟ์ใดถูกเข้ารหัสและสถานะการป้องกันเป็นอย่างไร
  • สำรองคีย์กู้คืนของแต่ละไดรฟ์ หากองค์กรของคุณฝากคีย์ไว้กับ Azure AD หรือ MBAM ให้ยืนยันว่ามีอยู่ สำหรับพีซีที่เข้าร่วม Azure AD ให้ตรวจสอบที่ aka.ms/myrecoverykey ด้วยบัญชีที่เป็นเจ้าของอุปกรณ์
  • หากไม่ได้ฝากคีย์ไว้ ให้บันทึกลง USB หรือพิมพ์จากแผงควบคุม BitLocker เก็บไว้ในที่ออฟไลน์ที่คุณสามารถเข้าถึงได้ระหว่างการบูต
  • อย่าข้ามขั้นตอนนี้ การเปลี่ยน TPM สามารถกระตุ้นให้ถามรหัสกู้คืนในการบูตครั้งถัดไป

ส่งออกใบรับรองของแอป, VPN และ Wi‑Fi และจดบันทึกวิธีลงชื่อเข้าใช้ Windows Hello

  • ส่งออกใบรับรองส่วนบุคคลที่ใช้โดย VPN, Wi‑Fi, อีเมล หรือแอป โดยใช้ certmgr.msc ที่ Personal > Certificates
  • ตรวจสอบให้แน่ใจว่าคุณรู้รหัสผ่านบัญชีของคุณ คุณจะต้องลงทะเบียน PIN และข้อมูลชีวมิติของ Windows Hello ใหม่หลังจากล้าง
  • หากคุณใช้กุญแจความปลอดภัย FIDO สำหรับการลงชื่อเข้าใช้ที่ทำงาน ให้เตรียมไว้สำหรับการลงทะเบียนใหม่หากจำเป็น

ตรวจสอบความเป็นเจ้าของอุปกรณ์และนโยบายการจัดการ (เครื่องเฉพาะที่, Azure AD, โดเมน)

  • ตรวจสอบว่าพีซีเป็นเครื่องเฉพาะที่ เข้าร่วม Azure AD หรือเข้าร่วมโดเมน อุปกรณ์ที่ถูกจัดการอาจบล็อกหรือบันทึกการล้าง TPM
  • ขออนุมัติจากฝ่ายไอทีหากอุปกรณ์ถูกจัดการ ยืนยันว่าคีย์ BitLocker ฝากไว้ที่ใดและมีขั้นตอนใดที่ต้องทำ
  • ตรวจสอบว่าคุณมีสิทธิ์ผู้ดูแลระบบ มีไฟเลี้ยง AC อินเทอร์เน็ตเสถียรหากต้องซิงค์นโยบาย และมีรหัสผ่าน BIOS หรือ UEFI ที่ต้องใช้สำหรับอนุมัติพรอมต์เฟิร์มแวร์

เมื่อเตรียมพร้อมเสร็จแล้ว ให้ยืนยันว่า TPM มีอยู่และพร้อมใช้งาน การตรวจนี้ช่วยให้คุณเลือกเส้นทางการล้างที่ดีที่สุดและตรวจพบปัญหาเฟิร์มแวร์ตั้งแต่เนิ่นๆ

วิธีตรวจสอบสถานะ TPM ใน Windows 10

ก่อนการล้าง ให้ยืนยันว่า Windows มองเห็น TPM และรายงานว่าสุขภาพดีหรือไม่ หากพบปัญหาเฟิร์มแวร์ตอนนี้ คุณจะสามารถแก้ไขได้ก่อนที่จะรีเซ็ตสิ่งใด

Windows Security > Device security

  • เปิด Start > Windows Security > Device security
  • ภายใต้ Security processor เลือก Security processor details
  • ตรวจสอบ Specification version, Manufacturer และ Status Ready for use คือสถานะที่เหมาะสม; Not ready บ่งชี้ว่าต้องมีการเตรียมใช้งานหรือแก้ไขเฟิร์มแวร์

คอนโซลการจัดการ TPM (tpm.msc)

  • กด Win+R พิมพ์ tpm.msc แล้วกด Enter
  • ตรวจดูในบานหน้าต่าง Status ว่ามีข้อความ The TPM is ready for use จดผู้ผลิต รุ่น และว่ามีความเป็นเจ้าของอยู่หรือไม่
  • ดูบานหน้าต่าง Actions ว่ามีตัวเลือก Clear TPM หรือไม่ หากมี คุณสามารถใช้เส้นทางนั้นได้

PowerShell: Get-Tpm และการตีความสถานะ

  • เปิด PowerShell แบบผู้ดูแลระบบและรัน: Get-Tpm
  • ตรวจสอบ TpmPresent, TpmReady, Owned และ ManagedAuthLevel
  • หาก TpmReady เป็น False หรือมีข้อผิดพลาด ปรับปรุงเฟิร์มแวร์หรือไดรเวอร์ชิปเซ็ตจากผู้ผลิต (OEM) ก่อนทำการล้าง

หาก TPM ของคุณมีอยู่และสุขภาพดี หรือคุณมีแผนอัปเดตเฟิร์มแวร์ ให้เลือกหนึ่งวิธีในการล้าง คุณมีหลายตัวเลือก และแต่ละวิธีได้ผลดีเมื่อทำตามอย่างเคร่งครัด

วิธีการล้าง TPM ใน Windows 10 (ทีละขั้นตอน)

ใช้เพียงวิธีเดียว หากวิธีหนึ่งล้มเหลวเนื่องจากนโยบายหรือพรอมต์เฟิร์มแวร์ ให้ลองอีกวิธีหรืออัปเดตเฟิร์มแวร์ก่อน ทุกครั้งที่รีบูตให้เก็บคีย์กู้คืนไว้ใกล้ตัว

ล้าง TPM ผ่าน Windows Security

1) เปิด Windows Security > Device security > Security processor details > Security processor troubleshooting
2) เลือก Clear TPM อ่านคำเตือนเกี่ยวกับการสูญเสียกุญแจ และยืนยัน
3) พีซีจะรีสตาร์ต อนุมัติพรอมต์เฟิร์มแวร์ที่ถามให้ล้างหรือรีเซ็ต TPM
4) หลังจาก Windows เริ่มทำงาน จะทำการเตรียมใช้งาน TPM โดยอัตโนมัติ

ล้าง TPM ผ่าน TPM.msc

1) กด Win+R แล้วรัน tpm.msc
2) ในบานหน้าต่าง Actions เลือก Clear TPM และยอมรับคำเตือน
3) รีสตาร์ตพีซีและอนุมัติการยืนยันจากเฟิร์มแวร์
4) ลงชื่อเข้าใช้และให้ Windows ทำการเตรียมใช้งาน TPM ให้เสร็จ

ล้าง TPM ใน UEFI หรือ BIOS (Intel PTT หรือ AMD fTPM)

1) รีบูตและเข้าสู่การตั้งค่าเฟิร์มแวร์ มักใช้ปุ่ม F2, F10, Del หรือ Esc
2) ค้นหาเมนู Security หรือ Advanced แล้วหา TPM, Intel PTT หรือ AMD fTPM
3) เลือก Clear, Reset หรือ Restore Factory Defaults สำหรับ TPM บันทึกและออก
4) หากมีพรอมต์ยืนยันการปรากฏตัวทางกายภาพ (physical presence) ในการบูตถัดไป ให้อนุมัติเพื่อให้การล้างเสร็จสมบูรณ์

PowerShell: Clear-Tpm และ Initialize-Tpm

1) เปิด PowerShell แบบผู้ดูแลระบบแล้วรัน Clear-Tpm
2) หากถูกถาม ให้ระบุการอนุญาตเจ้าของ หรืออนุมัติคำขอจากเฟิร์มแวร์
3) หลังรีบูต หากจำเป็น ให้รัน Initialize-Tpm เพื่อทำให้ความเป็นเจ้าของและความพร้อมใช้งานเสร็จสมบูรณ์

การล้าง TPM ส่งผลต่อ BitLocker ดังนั้นคุณต้องวางแผนว่าจะทำอะไรทั้งก่อนและหลังการดำเนินการ ต่อไปคือขั้นตอนเหล่านั้น

หากเปิดใช้ BitLocker—ให้ทำสิ่งนี้ก่อนและหลังการล้าง TPM

BitLocker อาศัย TPM และค่าการวัดการบูตเพื่อปล่อยกุญแจ การล้างจะทำให้ความผูกพันนั้นขาดชั่วคราว จัดการอย่างระมัดระวังเพื่อหลีกเลี่ยงการติดอยู่ที่หน้าจอกู้คืน

ระงับ BitLocker และตรวจสอบตัวป้องกัน

  • ระงับ BitLocker สำหรับแต่ละไดรฟ์ที่เข้ารหัส ใช้ PowerShell: Suspend-BitLocker -MountPoint C: -RebootCount 1
  • หรือเปิด Control Panel > BitLocker Drive Encryption แล้วเลือก Suspend protection สำหรับแต่ละไดรฟ์ที่ป้องกันไว้
  • ยืนยันตัวป้องกันด้วย manage-bde -protectors -get C: จด ID ของคีย์กู้คืนและตรวจสอบว่ามีตัวป้องกัน TPM
  • หากไดรฟ์ภายนอกถูกเข้ารหัส ให้ถอดออกก่อนล้างและเก็บคีย์ของไดรฟ์ไว้ใกล้ตัว

รีบูต กลับมาใช้งาน BitLocker และตรวจสอบการเข้ารหัส

  • หลังการล้าง ให้ลงชื่อเข้าใช้และปล่อยให้ Windows ทำการเตรียมใช้งาน TPM ให้เสร็จ
  • กลับมาใช้งาน BitLocker: manage-bde -protectors -enable C: หรือใช้แผงควบคุมเพื่อ Resume protection
  • ยืนยันสถานะด้วย manage-bde -status สถานะ Protection ควรเป็น On และ Percentage Encrypted ควรตรงตามนโยบายของคุณ โดยทั่วไปคือ 100 เปอร์เซ็นต์

แก้ปัญหาการถามรหัสกู้คืนซ้ำๆ และอัปเดตการผูก PCR

  • หากระบบถามคีย์กู้คืนทุกครั้งที่บูต ให้สร้างตัวป้องกัน TPM ขึ้นใหม่
  • ลบและเพิ่มตัวป้องกัน TPM: manage-bde -protectors -delete C: -Type TPM แล้วตามด้วย manage-bde -protectors -add C: -tpm
  • ตรวจสอบให้แน่ใจว่าเปิดใช้ Secure Boot และลำดับการบูตคงที่ เพื่อให้ค่าการวัด PCR คงเส้นคงวาข้ามการบูต

เมื่อ BitLocker เสถียรแล้ว คุณสามารถกู้คืนฟีเจอร์การลงชื่อเข้าใช้และการเข้าถึงแอปได้ ส่วนถัดไปครอบคลุมงานหลังการล้างเหล่านั้น

งานหลังการล้าง: เริ่มต้นใหม่และกู้คืนการเข้าถึง

หลังการล้าง Windows ต้องเตรียมใช้งาน TPM ใหม่ และคุณต้องลงทะเบียนฟีเจอร์ที่ใช้กุญแจที่ผนึกด้วย TPM อีกครั้ง ขั้นตอนเหล่านี้จะทำให้อุปกรณ์กลับมาทำงานได้อย่างครบถ้วนและปลอดภัย

ทำให้การเป็นเจ้าของ TPM สมบูรณ์และลงทะเบียน Windows Hello ใหม่

  • เปิด Windows Security > Device security และยืนยันว่า TPM แสดงเป็น Ready for use
  • ลงทะเบียน Windows Hello ใหม่: Settings > Accounts > Sign‑in options แล้วตั้งค่า PIN ลายนิ้วมือ หรือใบหน้าอีกครั้ง
  • หากยังมีข้อผิดพลาดของ Windows Hello ให้ลบคอนเทนเนอร์ Hello เก่าใน Sign‑in options แล้วสร้างใหม่

ออกใบรับรอง ข้อมูลรับรอง VPN และ Wi‑Fi ใหม่

  • นำเข้าใบรับรองส่วนบุคคลที่คุณส่งออกไว้ก่อนหน้า เชื่อมต่อกับเครือข่าย Wi‑Fi แบบปลอดภัยที่ต้องใช้ใบรับรองหรือ EAP‑TLS ใหม่
  • ลงทะเบียนโปรไฟล์ VPN ที่พึ่งพาใบรับรองผู้ใช้หรืออุปกรณ์อีกครั้ง และทดสอบการตรวจสอบสิทธิ์
  • เปิดแอปที่ใช้กุญแจที่รองรับโดย TPM และลงชื่อเข้าใช้อีกครั้งเพื่อรีเฟรชโทเค็น

เปิดใช้งานคุณสมบัติความปลอดภัย เช่น Secure Boot, VBS และ Credential Guard อีกครั้ง

  • ยืนยันว่า Secure Boot ยังคงเปิดใช้งานใน UEFI หรือ BIOS หลังจากมีการเปลี่ยนแปลงเฟิร์มแวร์
  • หากองค์กรของคุณใช้ความปลอดภัยที่ใช้การจำลองเสมือน (VBS) หรือ Credential Guard ให้ตรวจสอบว่าเปิดใช้งานและอยู่ในสภาพดีใน Device Security
  • ตรวจสอบ Core isolation และ Memory integrity หากไดรเวอร์บล็อก VBS ให้อัปเดตหรือเปลี่ยนไดรเวอร์ แล้วเปิดใช้งานคุณสมบัติอีกครั้ง

หากยังมีปัญหา การแก้ไขอย่างมีเป้าหมายจะช่วยประหยัดเวลา ส่วนถัดไปรายงานความล้มเหลวที่พบบ่อยและวิธีแก้ที่พิสูจน์แล้ว

การแก้ปัญหาข้อผิดพลาดทั่วไปหลังจากล้าง TPM

ปัญหาส่วนใหญ่เกิดจากการตั้งค่าเฟิร์มแวร์ถูกปิด อัปเดต BIOS ล้าสมัย คอนเทนเนอร์ Windows Hello เสียหาย หรือการจับคู่ตัวป้องกัน BitLocker ไม่ตรงกัน ดำเนินการตรวจสอบต่อไปนี้เพื่อแยกสาเหตุ

ไม่พบ TPM ที่เข้ากันได้หรือปุ่มล้างเป็นสีเทา

  • เปิดใช้งาน TPM, Intel PTT หรือ AMD fTPM ใน UEFI หรือ BIOS บางระบบมาจากโรงงานโดยปิดไว้
  • อัปเดต BIOS หรือ UEFI และเฟิร์มแวร์ชิปเซ็ตจากผู้ผลิตพีซีของคุณ การอัปเดตสามารถคืนความสามารถในการมองเห็นและเสถียรภาพของ TPM
  • ใน Device Manager แสดงอุปกรณ์ที่ซ่อนอยู่ ถอนการติดตั้งรายการ Trusted Platform Module ที่ค้างอยู่ แล้วสแกนหาการเปลี่ยนแปลงฮาร์ดแวร์
  • หากมีการเปลี่ยนเมนบอร์ด ให้รีเซ็ตการตั้งค่าความปลอดภัยในเฟิร์มแวร์และเปิดใช้งาน Secure Boot และคุณสมบัติ TPM อีกครั้ง

0x80090016 หรือ 0x80090034 กับ Windows Hello หรือ BitLocker

  • ลบและลงทะเบียน PIN และข้อมูลชีวมิติของ Windows Hello ใหม่ ซึ่งจะสร้างกุญแจผู้ใช้ที่จัดเก็บใน TPM ขึ้นใหม่
  • สร้างตัวป้องกัน TPM ของ BitLocker ใหม่เพื่อผนึกกุญแจเข้ากับ PCR ปัจจุบัน: ลบตัวป้องกัน TPM แล้วเพิ่มอีกครั้งตามที่แสดงก่อนหน้า
  • ซ่อมแซมองค์ประกอบของ Windows หากจำเป็น: รัน sfc /scannow แล้วตามด้วย DISM /Online /Cleanup-Image /RestoreHealth

ปัญหาเฟิร์มแวร์กับ AMD fTPM หรือ Intel PTT และวิธีอัปเดต

  • ติดตั้ง BIOS ล่าสุดจากผู้ผลิตของคุณ ซึ่งมักรวมถึงการแก้ไขเฟิร์มแวร์ TPM และส่วนประกอบ Intel ME หรือ AMD AGESA ที่อัปเดต
  • หลังจากอัปเดตเฟิร์มแวร์ ให้ล้าง TPM อีกครั้งเพื่อให้ Windows สามารถเตรียมใช้งานจากสถานะสะอาดได้
  • ทำให้การตั้งค่าการบูตเสถียร: เปิด Secure Boot ปิดโหมด CSM แบบเดิม และล็อกลำดับการบูตเพื่อป้องกันการเปลี่ยนแปลงของ PCR

ถึงจุดนี้คุณควรมี TPM ที่มีสุขภาพดี BitLocker เสถียร และการลงชื่อเข้าใช้และการเข้าถึงแอปถูกกู้คืนแล้ว คุณสามารถสรุปด้วยการทบทวนขั้นตอนและมาตรการป้องกันสำคัญๆ ได้อย่างรวดเร็ว

บทสรุป

คุณสามารถล้าง TPM บน Windows 10 ได้อย่างปลอดภัยด้วยการเตรียมพร้อมและวิธีการที่สม่ำเสมอ เริ่มจากการยืนยันคีย์กู้คืน BitLocker การส่งออกใบรับรอง และการตรวจสอบนโยบายของอุปกรณ์ ตรวจสอบสถานะ TPM แล้วใช้หนึ่งในวิธีต่อไปนี้เพื่อทำการล้าง: Windows Security, คอนโซลการจัดการ TPM, การตั้งค่าเฟิร์มแวร์ หรือ PowerShell หากเปิดใช้ BitLocker ให้ระงับก่อนล้าง กลับมาใช้งานหลังล้าง และสร้างตัวป้องกันใหม่หากระบบถามคีย์กู้คืนทุกครั้งที่บูต ปิดท้ายด้วยการลงทะเบียน Windows Hello ใหม่ นำเข้าใบรับรอง และตรวจสอบคุณสมบัติความปลอดภัยอย่าง Secure Boot ความปลอดภัยที่ใช้การจำลองเสมือน (VBS) และ Credential Guard หากยังมีข้อผิดพลาด ให้ปรับปรุงเฟิร์มแวร์ ซ่อมแซมองค์ประกอบของ Windows และผนึกตัวป้องกัน BitLocker ใหม่ ด้วยขั้นตอนเหล่านี้ การล้าง TPM จะกลายเป็นการรีเซ็ตฮาร์ดแวร์ความปลอดภัยอย่างสะอาดแทนการคาดเดาที่เสี่ยง และคุณจะได้ฐานการประมวลผลที่เชื่อถือได้และเสถียรกลับมาสำหรับ Windows 10

คำถามที่พบบ่อย

การล้าง TPM บน Windows 10 จะลบไฟล์ของฉันหรือการเข้ารหัส BitLocker หรือไม่?

การล้าง TPM จะไม่ลบไฟล์หรือปิด BitLocker การล้างจะลบกุญแจและความเป็นเจ้าของของ TPM หาก BitLocker อาศัย TPM ระบบอาจขอคีย์การกู้คืนในการบูตครั้งถัดไป สำรองคีย์และระงับ BitLocker ก่อนล้าง จากนั้นกลับมาใช้งานต่อและปิดผนึกตัวป้องกันใหม่ภายหลัง

การล้าง TPM บนแล็ปท็อปของที่ทำงานหรือโรงเรียนที่ถูกจัดการด้วย Intune หรือ Group Policy ปลอดภัยหรือไม่?

อาจปลอดภัยหากคุณปฏิบัติตามนโยบาย อุปกรณ์ที่ถูกจัดการมักฝากคีย์ BitLocker ไว้ (escrow) และอาจจำกัดการดำเนินการกับ TPM ยืนยันการฝากคีย์ ตรวจสอบกฎ MDM หรือ GPO และขออนุมัติจากฝ่ายไอที บางองค์กรกำหนดกระบวนงานที่ระงับ BitLocker ล้าง TPM พร้อมบันทึก และลงทะเบียน Windows Hello และใบรับรองใหม่

ฉันต้องล้าง TPM เมื่ออัปเกรดฮาร์ดแวร์หรือ BIOS หรือเมื่อต้องย้ายไดรฟ์ไปยังพีซีเครื่องใหม่หรือไม่?

ไม่จำเป็นเสมอไป การอัปเดตหลายอย่างทำงานได้โดยไม่ต้องล้าง หาก BitLocker เริ่มขอการกู้คืนทุกครั้งที่บูต หรือ Windows Hello ล้มเหลวหลังจากมีการเปลี่ยนแปลง การล้างอาจช่วยได้ เมื่อย้ายไดรฟ์ระบบ ควรคาดว่าจะมีการขอการกู้คืนอย่างน้อยหนึ่งครั้ง สำรองข้อมูลและคีย์การกู้คืน จากนั้นล้าง TPM บนเครื่องใหม่ และปิดผนึกตัวป้องกัน BitLocker ใหม่หากจำเป็น