Estrarre le informazioni dal chip TPM e installare Windows 11 in sua assenza

• Windows 11

Con Windows 11 Microsoft ha deciso di promuovere l’utilizzo del chip TPM 2.0 configurandolo come requisito hardware obbligatorio.
TPM 2.0 viene presentato come la base del concetto root-of-trust (RoT): il chip diventa una risorsa che, nell’idea di Microsoft e di tutti i produttori che hanno aderito al suo utilizzo, può essere sempre considerata come sicura contribuendo a rafforzare l’intero sistema crittografico.

“TPM 2.0 è un elemento fondamentale per fornire un adeguato livello di sicurezza con Windows Hello e BitLocker per aiutare gli utenti a proteggere meglio la loro identità e i loro dati”, scrive Microsoft. “Per molti clienti aziendali, il chip TPM aiuta a implementare un modello di sicurezza Zero Trust beneficiando di un elemento affidabile per attestare la salute dei dispositivi“.

La novità è che Windows 11 include un componente opzionale chiamato TPM Diagnostics che permette di leggere il contenuto del chip e verificare le informazioni in esso memorizzate.

Già oggi Windows permette di controllare alcune informazioni relative al chip TPM ed eventualmente di cancellarne il contenuto: basta premere Windows+R quindi digitare tpm.msc.

Con TPM Diagnostics, eseguendo TpmDiagnostics.exe al prompt dei comandi, si possono estrarre le chiavi crittografiche salvate nel chip e risalire a quali applicazioni le stanno utilizzando oltre che quali attività.
Il comando TpmDiagnostics GetCapabilities consente ad esempio di leggere le abilità e le impostazioni del chip TPM presente sulla macchina in uso.

Le informazioni restituite dal nuovo tool Microsoft possono essere confrontate con quelle offerte nella documentazione ufficiale.

Installare Windows 11 anche in assenza del chip TPM

Man mano che passano i giorni emergono nuovi sistemi per installare Windows 11 anche sui sistemi sprovvisti del chip TPM.
Al sistema basato sulla modifica del contenuto del registro di sistema dal supporto d’installazione di Windows 11 (meccanismo che potrebbe essere disattivato al momento del rilascio della release definitiva del sistema operativo) se ne aggiunge un altro che prevede la sostituzione di un file Microsoft.

Dopo aver scaricato l’ISO di Windows 11 ci si può infatti portare nella cartella Sources, individuare il file appraiserres.dll e sostituirlo con l’analoga libreria proveniente dal supporto d’installazione di Windows 10.

Se si volesse modificare il file ISO di Windows 11 e generarne uno che non controlla la presenza del chip TPM si può estrarre tutto il contenuto dell’immagine ISO in una cartella di appoggio (esempio: C:\WIN11ISO) quindi sostituire il file appraiserres.dll nella cartella Sources con lo stesso elemento proveniente dal supporto d’installazione di Windows 10.

Il comando seguente (l’utilità OSCDIMG è facilmente reperibile in rete) può essere utilizzato per generare un nuovo file ISO:

oscdimg -m -o -u2 -udfver102 - bootdata:2#p0,e,bc:\WIN11ISO\boot\etfsboot.com#pEF,e,bc:\WIN11ISO\efi\Microsoft\boot\efisys.bin c:\WIN11ISO c:\WIN11ISO\Windows11.iso

Il comando deve essere impartito su un’unica riga.