Windows 10 Güvenli önyükleme durumu açılmalı mı?

Günümüzde masaüstünde bile varsayılan açık hale geldi Windows 11 gereksinimlerinden ötürü. Genel kanı masaüstü ise gerek olmadığı laptopsa açık olması gerektiği yönündedir çoğu zaman ama sistemde TPM varsa açık olması daha iyi olur. TPM anahtarları PCR ile şifrelenerek saklanır ve TPM içerisinde bulunan PCR'lardan birisi güvenli önyükleme durumuna bakar. Eğer güvenli önyükleme aktifken TPM çipinde o PCR'ı kullanarak bir şifreleme yapıldıktan sonra güvenli önyükleme devre dışı bırakılırsa TPM platform ayarlarının değiştirildiğini fark edip şifreleme anahtarını hafızasından siler. Bu özellikle BitLocker'ın güvenliğini ve kullanışlılığını arttıran bir durum, yeni sistemlerde BitLocker aktifken disk şifresi sormamasının sebebi budur, o şifreyi TPM'de saklayıp tekrar TPM'den alıyor. BitLocker ve TPM vb. şeylerle işiniz yoksa çokta gerekli olduğunu düşünmüyorum ama yine de açabilirsiniz zararı olmayacak. Eskiden Gigabyte anakartlarda açınca siyah ekran oluyor gibi bir tartışma dönüyordu bu forumda, ona da dikkat edin sistem özelliklerinizi bilmediğim için uyarmak istedim.

tamer türk dedi:

Hocam internetten de baktım da TPM yok sanırım ben de, tam olarak TPM nedir emin olmak için açıklar mısınız, bitlocker vs de yok

Genişletmek için tıkla...

Türkçesi Güvenilir Platform Modülü, kriptografik işlemler için bir çiptir. Modern bilgisayarlarda sisteme dahili olarak geliyor. Anahtar depolama, rastgele veri oluşturma, imza oluşturma ve doğrulama gibi özelliklere sahip. Anahtarı depolaması onu nasıl güvenli yapar diye düşünebilir, olay anahtarı depolamasından çok anahtarı sadece platformun güvenilirliğinden emin olduğu sürece depolar. Örneğin sistemde güvenli önyükleme aktifleştirilmiş, Microsoft'un keyleri ile imzalanmış bir Windows bootloader ile sistem çalıştırılmış ise TPM seve seve sakladığı anahtarları sistem ile paylaşıyor, ancak sistemin bütünlüğünde bir değişikliğe gidilirse TPM artık bu anahtarı sisteme veremiyor. Sistemin bütünlüğünde değişikliğe gidecek adımlar ise güvenli önyüklemenin kapatılması veya bootloaderın değiştirilmesi olabilir, bu anahtarı TPM'de depolayacak kodu yazan geliştiriciye bağlı.

BitLocker bilgisayarınızdaki diskleri şifrelemeyi sağlayan bir teknoloji, normalde diskleri bir parola ile şifreleyip yine her sistemi çalıştırdığınızda o parola ile açmanız gerekirdi. TPM'in gelişi ile birlikte bu durum daha basit hale geldi, sistemde güvenli önyükleme açılıp Windows bootloader ile başlatıldıktan sonra BitLocker açılırsa BitLocker için hiçbir parola belirlemeden doğrudan TPM'e kaydetmesi sağlanıyor, sistem bir sonraki açılışlarda bütünlüğünü bozmadığı sürece TPM bu anahtarı işletim sistemi ile paylaşıp BitLocker şifreli disklerin erişilebilir hale gelmesi sağlanır, eğer aksi bir durum olursa BitLocker kurtarma anahtarlarını Windows'a giriş yapılan Microsoft hesabına kayıt eder, TPM sistem ayar bütünlüğünün değiştiğini gördüğünde anahtarı sildiği için telefondan vb. Microsoft hesabına girip kurtarma anahtarını alıp elle sisteme yazmak gerekir. Windows 11'de zorunlu kılındığı için hor görülse de günümüz güvenlik standartları için gereklidir.

Sizde ne BitLocker ne TPM varsa güvenli önyüklemeyle çok işiniz olacağını sanmıyorum, aslında güvenli önyüklemenin çıkış amacı bu bile değil. Ana amacı sisteme sistem yöneticisinin imzaladığı veya imzasını onayladığı bootloaderlar hariç bir bootloaderın yüklenmemesini sağlamak, mesela siz Windows yüklediniz ve bir virüs kendi bootloaderını sisteme enjekte ederse bir sonraki sistem açılışında bu bootloader ile sistemde tam yetkiye sahip olabilir, burada amaç sadece Microsoft'un ve sistem yöneticisinin imzaladığı bootloaderların çalıştırılmasına izin vermek, yani açmazsanız güvenlik kaybı potansiyeli var ama bu şekilde bulaşan virüsler çok azdır, açarsanızda bir şey kaybetmezsiniz.