対応していないPCにTPM（トラステッド・プラットフォーム・モジュール）を導入する完全ガイド

トラステッド・プラットフォーム・モジュール（TPM）は、現代のPCセキュリティに欠かせない存在となっています。PCに搭載されると、システムを多層的に保護し、不正アクセスやデータ窃取からコンピューターを守ります。TPMはWindows 11の主要なシステム要件の一つですが、要件を回避してインストールすることも技術的には可能です。ただし、デバイスのセキュリティを考えるなら避けるべきでしょう。このガイドでは、TPMがどのようにデバイスを保護するのかを詳しく解説するとともに、マザーボードへのTPMチップの取り付け方法もご紹介します。

TPMの主な機能

TPMはPCのセキュリティにおいて重要な役割を担っています。ここでは代表的な3つの機能を見ていきましょう。

1. BitLockerドライブ暗号化

BitLockerは、PCが稼働していない状態でもすべてのドライブパーティションを暗号化します。これには、起動コンポーネントやシステム情報が格納されたプライマリボリュームも含まれます。

万が一ハードディスクを紛失したり盗まれたりしても、データは機密性を保たれます。誰もOSを起動してデータへアクセスすることができないためです。

TPMはシステムファームウェアと連携し、起動時に読み込まれるソフトウェアを含むシステムの起動パラメータを記録します。例えば、ハードディスクから起動するのか、USBメモリから起動するのかといった起動シーケンスも記録されます。

記録されたパラメータが一致し、想定どおりの方法で起動が行われた場合のみ、TPMは秘密鍵によるドライブの復号を許可します。こうしてシステムファームウェアとTPMが連携することで、データのセキュリティが強化されるのです。

2. Windows Hello for Business

Microsoftは、ログイン認証の代替手段として「Windows Hello for Business」を提供しています。パスワードを忘れてしまうこともあれば、ハッカーに盗まれることもあります。多くのユーザーはすべてのアカウントに同じパスワードを使い回す傾向があり、一度漏洩すれば本人確認情報そのものが危険にさらされかねません。

Windows Helloでは、複数のデバイスを順番に登録し、それぞれに追加の暗号化キーを付与できます。これにより、1つのアカウントだけで複数デバイス間の認証を安全に行えるようになります。ここで活躍するのがTPMです。

暗号化キーはTPM内に保存されるため、TPMになりすましたマルウェアによるトロイの木馬攻撃からも保護されます。

3. プラットフォーム暗号化プロバイダー

Microsoftは「Cryptographic API: Next Generation（CNG）」フレームワークを使用して、コンピューター上で暗号アルゴリズムを実装し、セキュリティを維持しています。これにより、暗号技術を利用するすべてのソフトウェアやアプリは、アルゴリズムの詳細を知らなくてもCNG APIを利用できます。

Windowsは、PCのマザーボード上にあるTPMハードウェアを通じて実行されるCNGのアルゴリズム実装を提供します。この実装はTPM固有の特性を利用して、マルウェアによる秘密鍵の複製を防ぎます。また、総当たり（辞書攻撃）によってPINコードを解析しようとする攻撃からもデバイスを守ります。

ソフトウェアベースのソリューションとは異なり、ハッカーがTPMをリバースエンジニアリングして秘密鍵を盗んだりコピーしたりすることはできません。

PCマザーボードへのTPMチップの取り付けと有効化

実際にチップを取り付ける前に、以下のポイントを確認しておきましょう。

• 2016年よりかなり前に製造されたPCの場合、TPMチップに対応していない可能性があります。その場合、できることは限られます。より新しいノートPC/デスクトップPCへの買い替えをおすすめします。
• 古いPCでもTPMチップが搭載されている場合は、旧バージョンのTPM 1.2であることがあります。ファームウェアのアップデートだけで解決できるケースがあります。
• 2016年以降に製造されたPCであれば、すでにTPMチップが搭載されている可能性が高いです。その場合は、TPMを有効化するだけで準備完了です。有効化の手順については関連ガイドをご参照ください。
• 比較的新しいPCでもTPMチップが非搭載の場合があります。その場合は市販のTPMモジュールを購入してマザーボードに取り付けることができます。

TPM 1.2から2.0へのアップグレード

前述のとおり、すでにTPM 1.2チップが搭載されているPCであれば、アップグレードだけで十分な場合があります。手順は以下のとおりです。

1. 作業を始める前に、Windows Updateをすべて適用しておきましょう。アップデートにより、TPMファームウェアを新しい2.0バージョンへ更新する際のシステムの安定性とセキュリティが保たれます。すでに最新の状態にしている、または自動更新を有効にしている場合は、この手順は不要です。
2. 作業前に必ずデータのバックアップを取ってください。
3. Windows Hello for Businessを使用している場合は、TPMの更新前に無効化してください。後の段階でTPMをクリアする必要があり、その際にPINや生体認証の情報が失われるためです。
4. Microsoft製デバイス（Surface Bookなど）をお持ちの場合は、お使いの機種専用のMicrosoft TPMアップデートツールをダウンロードできます。その他のメーカーのPCについては、各メーカーからファームウェアアップデートを入手する必要があります。主要メーカーのTPMアップデートページへのリンクを以下にまとめました。
5. PCメーカーのサイトからユーティリティツールをダウンロードし、アップデートを実行します。

• Dell
• HP
• HP Enterprise
• Infineon
• Lenovo
• Panasonic
• Toshiba
• Fujitsu

アップデート完了後、以下の手順でTPMをクリアします。

1. Windowsのスタートボタンをクリックし、「設定 → 更新とセキュリティ → Windows セキュリティ → デバイス セキュリティ」へ移動します。
2. 「セキュリティ プロセッサ」という項目が表示されるので、「セキュリティ プロセッサの詳細」をクリックします。
3. 「セキュリティ プロセッサのトラブルシューティング」を選択します。
4. 「TPM のクリア」ボタンをクリックします。
5. デバイスを再起動します。

マザーボードへのTPMチップの物理的な取り付け

作業を進める前に、まずお使いのデバイスにTPMチップが搭載されているか確認しましたか？

また、マザーボードに空きのTPMヘッダー（ピンソケット）はありますか？

確認方法は2つあります。PCの扱いに慣れている方は、ケースを開けてマザーボードを直接確認しましょう。不明な場合は、メーカーの公式サイトで技術仕様を調べるか、マザーボードの型番をもとにオンラインで検索してください。

探すべきは、下の画像のようなポートです。

このようにTPMポートが空いていれば、市販のTPMチップをこのマザーボードに取り付けられます。

TPMチップ選びは非常に重要で、すべてのTPMチップが同じというわけではありません。メーカーごとの規格の違いにより、TPMには「12-1（12ピン）」「14-1（14ピン）」「18-1（18ピン）」「20-1（20ピン）」の4種類の構成があります。

選ぶTPMモジュールは、マザーボード上のTPMヘッダーと同じピン数である必要があります。20ピンのTPMは12ピンのヘッダーには装着できず、その逆も同様です。TPMヘッダーのピン数を数えて確認しましょう。

多くの場合、TPMモジュールの穴の1つ（誤挿入防止キーと呼ばれます）は塞がれています。これは正常な仕様です。この誤挿入防止キーの位置も、TPMヘッダー側と一致している必要があります。

TPMチップをPCに取り付けたら、有効化の方法はデバイスによって異なります。BIOSまたはWindowsの設定からTPMを有効化できます。

TPMモジュールの取り付け手順については、以下の解説動画も参考にしてください。

よくある質問

1. TPMなしでBitLockerは使えますか？

BitLockerは、TPMモジュールなしで動作するよう再設定できます。ただしその場合、暗号化キーはPCの外部（通常はUSBドライブ）に保存され、PCを再起動するたびにそのUSBドライブを挿入する必要があります。

2. TPMがデフォルトで無効になっているのはなぜですか？

BIOS上でTPMの項目がグレーアウトして選択できない場合、「プラットフォーム信頼技術（PTT：Platform Trust Technology）」が有効になっていることを意味します。TPMモジュールを有効化するには、BIOSでPTTを無効にする必要があります。

3. TPMはマザーボードとCPUのどちらにありますか？

TPMチップはマザーボード上にあります。ただし、PCによっては専用チップを持たず、統合型TPMまたはファームウェアTPMを使用している場合もあります。