Configurar el perfil de validación de plataforma del TPM para configuraciones de firmware UEFI nativo

Esta configuración de directiva permite configurar el modo en que el hardware de seguridad del Módulo de plataforma segura (TPM) del equipo protege la clave de cifrado de BitLocker. Esta configuración de directiva no se aplica si el equipo no tiene ningún TPM compatible o si BitLocker ya se ha activado con la protección de TPM.

Importante: Esta directiva de grupo solo se aplica a los equipos con una configuración de firmware nativa de UEFI. Los equipos con firmware BIOS o UEFI con un módulo de servicio de compatibilidad (CSM) habilitado almacenan valores diferentes en los registros de configuración de la plataforma (PCR). Usa la configuración de directiva de grupo "Configurar el perfil de validación de plataforma del TPM para configuraciones de firmware basado en BIOS" para configurar el perfil de PCR del TPM para equipos con configuraciones BIOS o equipos con firmware UEFI con CSM habilitado.

Si habilitas esta configuración de directiva antes de activar BitLocker, puedes configurar los componentes de arranque que el TPM validará antes de desbloquear el acceso a la unidad del sistema operativo cifrada con BitLocker. Si alguno de esos componentes cambia mientras la protección de BitLocker está activa, el TPM no proporcionará la clave de cifrado para desbloquear la unidad, y el equipo mostrará, en lugar de ello, la consola de recuperación de BitLocker y solicitará que se suministre la contraseña de recuperación o la clave de recuperación para desbloquear la unidad.

Si deshabilitas o no estableces esta configuración de directiva, BitLocker usa el perfil de validación de plataforma predeterminado para el hardware disponible o el perfil de validación de plataforma que especifique el script de configuración. Un perfil de validación de plataforma consiste en un conjunto de índices del registro de configuración de la plataforma (PCR) que van de 0 a 23.

En el caso de los equipos que no admiten el estado de arranque seguro (PCR 7), el perfil de validación de la plataforma predeterminado protege la clave de cifrado de los cambios en el código ejecutable de firmware del sistema principal (PCR 0), el código ejecutable extendido o acoplable (PCR 2), el administrador de arranque (PCR 4) y el control de acceso a BitLocker (PCR 11).

Cuando la compatibilidad con el estado de arranque seguro (PCR7) está disponible, el perfil de validación de la plataforma predeterminado protege la clave de cifrado mediante el estado de arranque seguro (PCR 7) y el control de acceso de BitLocker (PCR 11).

Advertencia: El cambio del perfil de validación de plataforma predeterminado afecta a la seguridad y capacidad de administración de tu equipo. La sensibilidad de BitLocker a las modificaciones de la plataforma (malintencionadas o no autorizadas) aumenta o disminuye en función de la inclusión o exclusión (respectivamente) de los PCR. Específicamente, configurar esta directiva con omisión de PCR 7 invalidará la directiva de grupo "Permitir Arranque seguro para comprobar integridad", lo que impedirá que BitLocker use el arranque seguro para comprobar la validación de la plataforma o la integridad de los datos de la configuración de arranque (BCD). Si esta directiva se establece, puede producirse una recuperación de BitLocker cuando el firmware se actualice. Si estableces esta directiva de forma que incluya PCR 0, suspende BitLocker antes de actualizar el firmware.

Te recomendamos que no configures esta directiva para permitir que Windows seleccione el perfil PCR a fin de obtener la mejor combinación de seguridad y facilidad de uso según el hardware disponible en cada equipo.