UEFI bellenim yapılandırmaları için TPM platformu doğrulaması profilini yapılandır

Bu ilke ayarı, bilgisayarın Güvenilir Platform Modülü (TPM) güvenlik donanımının BitLocker şifreleme anahtarını nasıl koruyacağını yapılandırmanızı sağlar. Bilgisayarda uyumlu bir TPM yoksa veya TPM korumasıyla BitLocker zaten açılmışsa bu ilke ayarı uygulanmayacaktır.

Önemli: Bu grup ilkesi yalnızca yerel bir UEFI bellenim yapılandırmasına sahip bilgisayarlara uygulanır. Etkinleştirilmiş bir Uyumluluk Hizmet Modülü (CSM) ve UEFI bellenim veya BIOS bulunan bilgisayarlar Platform Yapılandırma Yazmaçlarında (PCR) farklı değerler depolar. Etkinleştirilmiş bir CSM ve UEFI bellenim veya BIOS yapılandırmaları olan bilgisayarlar için TPM PCR profilini yapılandırmak amacıyla "BIOS temelli bellenim yapılandırmaları için TPM platform doğrulama profilini yapılandır" grup ilkesi ayarını kullanın.

BitLocker'ı açmadan önce bu ilke ayarını etkinleştirirseniz, TPM'nin BitLocker ile şifrelenmiş işletim sistemi sürücüsüne erişim kilidini kaldırmadan önce doğrulayacağı önyükleme bileşenlerini yapılandırabilirsiniz. BitLocker koruması etkinken bu bileşenlerden biri değişirse, TPM sürücünün kilidini açmak için şifreleme anahtarını bırakmaz, bunun yerine bilgisayar, BitLocker Kurtarma konsolunu gösterir ve sürücünün kilidini açmak için kurtarma parolasının ya da kurtarma anahtarının sağlanmasını ister.

Bu ilke ayarını devre dışı bırakırsanız ya da yapılandırmazsanız, BitLocker kullanılabilir donanım için varsayılan platform doğrulama profilini veya kurulum betiği tarafından belirtilen platform doğrulama profilini kullanır. Bir platform doğrulama profili, 0 ile 23 arasında değişen bir dizi Platform Yapılandırma Yazmacı (PCR) dizininden oluşur.

Güvenli Önyükleme Durumu (PCR 7) desteği olmayan bilgisayarlarda varsayılan platform doğrulama profili, çekirdek sistemi bellenim yürütme kodu (PCR 0), genişletilmiş veya eklenebilir yürütme kodu (PCR 2), önyükleme yöneticisi (PCR 4) ve BitLocker erişim denetimindeki (PCR 11) değişikliklere karşı şifreleme anahtarının güvenliğini sağlar.

Güvenli Önyükleme Durumu (PCR7) desteği mevcut olduğunda varsayılan platform doğrulama profili, Güvenli Önyükleme Durumu (PCR 7) ve BitLocker erişim denetimini (PCR 11) kullanarak şifreleme anahtarının güvenliğini sağlar.

Uyarı: Varsayılan profili başka bir profille değiştirmek, bilgisayarınızın güvenliğini ve yönetilebilirliğini etkiler. BitLocker'ın platform değişikliklerine (kötü amaçlı veya yetkili) hassasiyeti, PCR'lerin dâhil edilmesine veya dışlanmasına bağlı olarak artar veya azalır. Özellikle, bu ilkenin PCR 7 atlanmış olarak ayarlanması, BitLocker'ın platform için Güvenli Önyükleme veya Önyükleme Yapılandırma Verileri (BCD) bütünlük doğrulamasını kullanmasını engelleyerek "Bütünlük doğrulaması için Güvenli Önyükleme'ye izin ver" grup ilkesini geçersiz kılar. Bu ilkeyi ayarlamak, bellenim güncelleştirildiğinde BitLocker'ın kurtarılmasına yol açabilir. Bu ilkeyi PCR 0 içerecek şekilde ayarlarsanız bellenim güncelleştirmelerini uygulamadan önce BitLocker'ı askıya alın.

Windows'un her bir bilgisayardaki mevcut donanıma göre en iyi güvenlik ve kullanılabilirlik birleşimi için PCR profilini seçmesine izin vermek amacıyla bu ilkeyi yapılandırmamanız önerilir.