ASRock X570 Steel Legend with TPM2-S TPM Module Motherboard (V2.0)

リファレンス

• ASRock > TPM-S Module

Shipping

ASRock TPM2-S TPM モジュール マザーボード (V2.0)

経緯

• デスクトップPCを買い換えたタイミングでBitlockerによるストレージの保護を実施したかったのだが、組み立ててみたら驚きの事実に遭遇。なんと、マザーボードにTPMが標準実装されていない。TPMヘッダーはあるので、使いたければTPMモジュールを追加購入しろということらしい。いままで積極的にTPMを使おうとしたのがノートPCだけだったので、ずっと勘違いしていました。
• TPMモジュールは日本国内ではほとんどで回っていないようで、アマゾンも楽天も驚きのぼったくり価格。急ぐ買い物でもなので、米国アマゾンから取り寄せることに。合計$22.31で、日本円で\2,449、発送から受け取りまで10日間なら十分に実用的です。運がよければ、さらにクレジットカードの割引で20%offになるはず。
• Bitlockerの使い方は別途まとめました。https://cutxout.hatenadiary.jp/entry/20210708/1625753201

Item(s) Subtotal:	$16.93
Shipping & Handling:	$5.38
 	-----
Total before tax:	$22.31
Estimated tax to be collected:	$0.00
 	-----
Grand Total:	$22.31

• マザーボードへの取り付けが面倒で後回しにしていたけど、台風からの避難でPCを一時的に移動させたついでに取り付けました。BIOSからもWindowsからも問題なく認識されているので、実際に使って検証してみましょう。取り付け位置の関係で、フロント側のオーディオケーブルに引っかかって破損するリスクが怖い。フロント側のオーディオは使わないので、あとでケーブルを取り外します。
• TPMは長らくThinkpadで使ってきたけど、HDD Password用途に限定しており、暗号化はVeracryptか商用ソフトで実施していたので、Bitlockerと組み合わせた利用実績が無い。本格的に使い始める前に、余ったHDDを使って動作検証から取りかかりましょう。

利用目的

• 本人が死亡した時に第三者にデータを見られないようにすることが目的。
• 対象はデスクトップPCのストレージ。前々からいつかやらなければと思ってはいたものの、面倒だったりパフォーマンス問題があったりで放置していたけど、少なくとも後者は解決できたので、これを機に運用開始する。

利用方針

• システムドライブを含む内蔵ストレージとバックアップ用の外付けストレージを全てBitlockerで暗号化する。
• パスフレーズは全て共通の文字列とする。
• 内蔵ストレージのパスフレーズはTPMモジュールに保存し、ログオン後は自動的にマウントされるようにする。
• 外付けストレージは、接続する度にパスフレーズを入力して手動でマウントする。

事前確認しておくこと

マザーボードとTPMモジュールが故障した場合

• 理想は、別PCにマウントした状態で、パスフレーズを入力して利用再開できること。
• 次点で、別PCにマウントした状態で、復号してデータをサルベージできること。

OSを再インストールした場合

• OS再インストール=クリーンインストールなので、システムドライブは考慮する必要は無い。
• Dドライブ以下について、再インストール完了後にそのまま利用再開できるのが理想的。
  • 懸念は、TPMモジュールに対する認証・認可のしくみが分からないこと。
  • Bitlockerの鍵はTPMモジュールに保存されており、OS再インストールとは無関係なはずだが、再インストール後のOSからTPMにアクセスして鍵を取り出せるのだろうか？
  • コレばかりは実機で確認しない分からないが、再インストールの度に全てのドライブを復号して、再度暗号化するのは現実的ではない。
  • 少なくとも、Veracryptではパスフレーズさえ分かっていれば何とかなるという安心感はあるので、このくらいの確信は持った上で使い始めたいです。

検証項目

動作速度

• 検証用に利用したHDDはこちら。2.5inch 7,200rpmの古いタイプなので、アクセス速度が遅すぎて比較にならないかもしれない。暗号化に要した時間は1時間15分程度。動作速度は全く影響なし。

暗号化キーと回復キー