概要
特定のトラステッド プラットフォーム モジュール (TPM) チップセットにセキュリティの脆弱性が存在します。 この脆弱性はキーの強度を弱めます。
この脆弱性の詳細については、「 ADV170012」を参照してください。
追加情報
重要
仮想スマート カード (VSC) キーは TPM にのみ格納されるため、影響を受ける TPM を使用しているデバイスはすべて脆弱です。
次の手順に従って、MICROSOFT セキュリティ アドバイザリ ADV170012で説明されているように、TPM ファームウェアの更新プログラムが OEM から入手できる場合に、VSC 用 TPM の脆弱性を軽減します。 Microsoft は、追加の軽減策が利用可能になると、このドキュメントを更新します。
TPM ファームウェア更新プログラムをインストールする前に、BitLocker またはデバイス暗号化キーを取得します。
最初にキーを取得することが重要です。 TPM ファームウェアの更新中にエラーが発生した場合、BitLocker が中断されていない場合、またはデバイス暗号化がアクティブな場合は、回復キーを使用してシステムを再起動する必要があります。
デバイスで BitLocker またはデバイス暗号化が有効になっている場合は、必ず回復キーを取得してください。 次に、1 つのボリュームの BitLocker とデバイス暗号化回復キーを表示する方法の例を示します。 複数のハード ディスク パーティションがある場合は、パーティションごとに個別の回復キーが存在する可能性があります。 オペレーティング システム ボリューム (通常は C) の回復キーを保存してください。 オペレーティング システム ボリュームが別のボリュームにインストールされている場合は、それに応じてパラメーターを変更します。
管理者権限を持つコマンド プロンプトで、次のスクリプトを実行します。
C:\Windows\system32>manage-bde -protectors -get c:
BitLocker Drive Encryption: Configuration Tool version 10.0.15063
Copyright (C) 2013 Microsoft Corporation. All rights reserved.
Volume C: []
All Key Protectors
TPM:
ID: {36B6DEE1-7B13-4A8F-876E-04735E8D3972}
PCR Validation Profile:
7, 11
(Uses Secure Boot for integrity validation)
Numerical Password:
ID: {6303FEBD-E4C0-4912-A331-4689B04E431A}
Password:
588214-228690-421003-079299-589270-595331-473407-0361
OS ボリュームに対して BitLocker または Device Encryption が有効になっている場合は、一時停止します。 BitLocker またはデバイス暗号化を一時停止する方法の例を次に示します。 (オペレーティング システム ボリュームが別のボリュームにインストールされている場合は、それに応じてパラメーターを変更します)。
管理者権限を持つコマンド プロンプトで、次のスクリプトを実行します。
C:\Windows\system32>manage-bde -protectors c: -disable
BitLocker Drive Encryption: Configuration Tool version 10.0.15063
Copyright (C) 2013 Microsoft Corporation. All rights reserved.
Key protectors are disabled for volume C:.
メモWindows 8以降のバージョンでは、BitLocker と Device Encryption は 1 回の再起動後に自動的に再開されます。 そのため、TPM ファームウェア更新プログラムをインストールする 直前 に、BitLocker とデバイスの暗号化が中断されていることを確認してください。 Windows 7 以前のシステムでは、ファームウェア更新プログラムをインストールした後、BitLocker を手動で再度有効にする必要があります。
該当するファームウェア更新プログラムをインストールして、OEM の手順に従って影響を受ける TPM を更新します
これは、TPM の脆弱性に対処するために OEM によってリリースされる更新プログラムです。 OEM から TPM 更新プログラムを取得する方法については、Microsoft セキュリティ アドバイザリ ADV170012の「該当するファームウェア更新プログラムを適用する」の手順 4 を参照してください。
VSC を削除して再登録する
TPM ファームウェアの更新が適用されたら、弱いキーを削除する必要があります。 VSC パートナー (Intercede など) によって提供される管理ツールを使用して、既存の VSC を削除して再登録することをお勧めします。