Configurar perfil de validação de plataforma TPM para configurações de firmware UEFI nativo

Esta configuração de política permite configurar como o hardware de segurança do TPM (Trusted Platform Module) do computador protege a chave de criptografia de BitLocker. Esta configuração de política não se aplicará se o computador não tiver um TPM compatível ou se o BitLocker já tiver sido ativado com a proteção do TPM.

Importante: esta política de grupo só se aplica a computadores com uma configuração de firmware UEFI nativa. Os computadores com BIOS ou firmware UEFI com um módulo de serviço de compatibilidade (CSM) habilitado armazenam valores diferentes nos registros de configuração de plataforma (PCRs). Use a configuração de política de grupo "Configurar perfil de validação de plataforma TPM para configurações de firmware com base em BIOS" para configurar o perfil de PCR do TPM para computadores com configurações de BIOS ou computadores com firmware UEFI com um CSM habilitado.

Se você habilitar essa configuração de política antes de ativar o BitLocker, poderá configurar os componentes de inicialização que o TPM validará antes de desbloquear o acesso à unidade de sistema operacional criptografada com BitLocker. Se algum desses componentes mudar enquanto a proteção do BitLocker estiver em vigor, o TPM não liberará a chave de criptografia para desbloquear a unidade e o computador exibirá o console de Recuperação do BitLocker e exigirá que a senha de recuperação ou a chave de recuperação seja fornecida para desbloquear a unidade.

Se você desabilitar ou não definir essa configuração de política, o BitLocker usará o perfil de validação de plataforma padrão para o hardware disponível ou o perfil de validação de plataforma especificado pelo script de instalação. Um perfil de validação de plataforma consiste em um conjunto de índices de registro de configuração de plataforma (PCR) que variam de 0 a 23.

Em PCs que não têm suporte para Estado de Inicialização Segura (PCR 7), o perfil de validação da plataforma padrão protege a chave da criptografia contra mudanças no código executável do firmware do sistema principal (PCR 0), no código executável estendido ou conectável (PCR 2), no gerenciador de inicialização (PCR 4) e no controle de acesso do BitLocker (PCR 11).

Quando o suporte para Estado de Inicialização Segura (PCR7) está disponível, o perfil de validação de plataforma padrão protege a chave de criptografia usando o Estado de Inicialização Segura (PCR7) e o controle de acesso do BitLocker (PCR 11).

Aviso: mudar do perfil de validação de plataforma padrão afeta a segurança e a capacidade de gerenciamento do computador. A sensibilidade do BitLocker a modificações de plataforma (mal-intencionadas ou autorizadas) aumenta ou diminui dependendo da inclusão ou da exclusão (respectivamente) dos PCRs. Especificamente, definir esta política com PCR 7 omitido irá substituir a política de grupo "Permitir Inicialização Segura para validação de integridade", impedindo o BitLocker de usar a Inicialização Segura para validação de integridade da plataforma ou dos Dados de Configuração da Inicialização (BCD). Definir esta política pode resultar na recuperação do BitLocker quando o firmware for atualizado. Se você definir esta política para incluir PCR 0, suspenda o BitLocker antes de aplicar as atualizações de firmware.

É recomendável não configurar esta política, para permitir que o Windows selecione o perfil de PCR para a melhor combinação de segurança e usabilidade com base no hardware disponível em cada PC.