Hosianna, TPM ist da - und was nun ?

[Wuehlmaus]

Hallo zusammen,

der Weihnachtsmann war da und hat freundlicherweise unseren Notebook-Park aktualisiert:

• ein Samsung Atif Book 900X3F K01 mit 128 GB SSD für Frau Wuehlmaus
• ein Samsung Atif Book 900X3F G01 mit 256 GB SSD für Herrn Wuehlmaus (= mich)

Ersteres hat Win 8, mittlerweile updated auf 8.1,
letzteres hat 8 Pro, updated auf 8.1 pro

Und nun kommt's - das G01 mit 256 GB hat ein TPM-Modul von Infineon, das kleine K01 nicht. Folgerichtig hat sich auf dem G01 heute eine Software gemeldet, TPM Hardware sei aktiv, aber ich solle doch bitte auch noch die Security Platform Software aktivieren. Bisschen gegoogelt, wenig verstanden, aber jede Menge NSA.

Jetzt habe ich im BIOS unter "Security" das TPM vorsichtshalber mal deaktiviert. Die Security Platform Software liegt zwar noch im SysTray oder wie das jetzt heißt, das TPM-Logo ist aber durchgestrichen. Ein Klick auf diese App im Tray liefert:

Parametrierungstool der Inifinity Security Platform:

"Die Verbindung mit dem Trusted Platform Module konnte nicht hergestellt werden oder das Gerät hat nicht ordnungsgemäß reagiert. Vergewissern Sie sich, dass der T.P.M. vorhanden ist und alle erforderlichen Softwarekomponenten installiert und ordnungsgemäß konfiguriert sind."​

Hier nun meine Fragen:

• Was muss ich tun, um den TPM-Spuk endgültig zu beenden - reicht es, die Hardware im BIOS deaktiviert zu lassen ?
• Vor der Deaktivierung gab's im Geräte-Manager einen TPM Treiber, den finde ich jetzt nicht mehr. Ist das gut so ?
• Wie kriege ich o.g. Fehlermeldung weg ? Im Autostart steht nichts von Infineon oder TPM. Wohl aber in Sytemsteuerung > Programme: Da gibt's ein "Infineon TPM Professional Package". Deinstallieren ?
• Welche Nebenwirkungen drohen mir, wenn ich das alles totlege ?
• Last not least: Oder bin ich schlicht paranoid und sollte einfach nur dankbar sein, dass mir TPM zuteil wurde ?

Vielen Dank für Eure Tipps

 

[Terrier]

ist das was schlechtes?
Trusted Platform Module

ich habe zwar leider kein TPM aber würde da auch kein Problem erkennen.
Ob es was mit NSA zu tun hat, keine Ahnung.

aber ich solle doch bitte auch noch die Security Platform Software aktivieren

Gehört wohl dazu, Mudul (Chip) und die Software.

 

[Wuehlmaus]

ist das was schlechtes?

Umgekehrt wird ein Schuh draus. Ist das - allein aus meiner Sicht betrachtet - etwas Gutes, oder zumindest etwas weit überwiegend Gutes ?

Wenn ich die Diskussionen im Netz richtig verstehe, dann ermöglicht TPM ab Win 8, dass Microsoft zunehmend bestimmt, welche Software auf meinem PC laufen darf und welche nicht. Selbst die Nutzung alternativer Betriebssysteme könnte prinzipiell unterbunden werden, wenn der Secure Boot Loader nur noch zertifizierte Software lädt.

Ich verwende ausschließlich legal erworbene Software. Fotos und Videos mache ich selber, nix Tauschbörsen oder so. Aus der Ecke kommen meine Befürchtungen also nicht.

Es stinkt mir einfach generell, dass mir ein Monopolist vorschreiben will, wieweit meine selbstbezahlte Software auf meiner selbstbezahlten Hardware laufen darf und wieweit nicht. Wenn M$ beschließt, dass ein Programm nicht laufen darf, erstatten die mir dann den Kaufpreis ?

Und was ist mit Freeware, für die sich kein Autor eine MS-Zertifizierung leisten will ? Die erhöhen einfach den Würgegriff um den legalen User, ohne ihm plausibel zu erklären, was der Vorteil für den User wirklich ist und wie Missbrauch durch Microsoft oder Dritte wirksam verhindert werden soll.

 

[Terrier]

sorry, wenn ich dich zuerst nicht richtig verstanden habe, dann hätte ich gar nicht gepostet.
ich dachte es geht um TPM und wofür das ist.
An Diskussionen Microsoft spioniert oder ob Microsoft nun bestimmte Software oder Treiber unterstützt oder nicht, beteilige ich mich nicht.

So viel ich weiß, klicken wir alle an, Microsoft zu vertrauen bei der Installation oder um Updates zu bekommen.
Ob Microsoft bei Programmen und Treibern von den Entwicklern Geld verlangt ist mir auch egal.
Wer nicht bezahlt, kann doch keine Unterstützung erwarten, das ist doch überall so im Leben.

Keiner wird gezwungen Microsoft Produkte zu kaufen oder zu nutzen.

Abgesehen davon, fällt mir kein Programm ein was Microsoft blockt.
Wenn ein Programm oder Treiber nicht läuft, dann ist der Entwickler, Hersteller der Hardware oder Software gefordert.

 

[AliManali]

Eine Zeit lang wurde fälschlicherweise von irgendeinem deutschen Amt empfohlen, das TPM in Zusammenhang mit Windows 8 nicht zu nutzen. Ich weiss nicht genau, hat da wer was falsch verstanden,... Auf jeden Fall wurde es kurz daraufhin wieder dementiert.

Ich für meinen Teil wär froh, ich hätte bei meinen vier i7 solch ein Modul, da kann man echt nette Sachen damit machen.

Z.B. lassen sich Ein- und Ausgabe verschlüsseln und auf Anwendungen festtaggen, die vom Benutzer in einem Zustand als sicher eingestuft worden ist. Auch bei der Verschlüsselung von Datenträgern leistet es gute Dienste, was ja auf einem Notebook sicher Sinn macht.

Ich frag mich eh, wieso Intel das TXT nicht bei allen Prozessoren integriert.

 

[Wuehlmaus]

Eine Zeit lang wurde fälschlicherweise von irgendeinem deutschen Amt empfohlen, das TPM in Zusammenhang mit Windows 8 nicht zu nutzen. Ich weiss nicht genau, hat da wer was falsch verstanden,... Auf jeden Fall wurde es kurz daraufhin wieder dementiert.

Genau darüber war ich auch als erstes gestolpert. Das Amt hat's wohl etwas unglücklich dargestellt, im Internet (Heise ?) wurde es dann wohl überzeichnet wiedergegeben. Microsoft geht an die Decke und bringt vorsorglich die Gerichtskanonen gegenüber den Spatzen in Stellung und das Amt rudert brav zurück. Vertrauen, dass TPM etwas Gutes in erster Linie für mich, den Kunden, sein soll (statt für Microsoft und Geheimdienste - die NSA mischt in der Spezifikationsgruppe TCG ja auch mit !), hat die ganze Aktion bei mir nicht erzeugt. Ganz im Gegenteil - das erinnert mich fatal an das "Haltet-den-Dieb!"-Geschrei der US-Regierung gegenüber Snowden, um davon abzulenken, dass die wirkliche Achse des Bösen mitten durch die eigenen Geheimdienste verläuft.

Ich für meinen Teil wär froh, ich hätte bei meinen vier i7 solch ein Modul, da kann man echt nette Sachen damit machen.

Z.B. lassen sich Ein- und Ausgabe verschlüsseln und auf Anwendungen festtaggen, die vom Benutzer in einem Zustand als sicher eingestuft worden ist. Auch bei der Verschlüsselung von Datenträgern leistet es gute Dienste, was ja auf einem Notebook sicher Sinn macht.

Da überwiegt bei mir halt die Furcht des Unwissenden vor dem Unbekannten. Da soll ich laut Infineon-Software irgendwelche Schlüssel auf einem Wechselspeichermedium ablegen lassen - wie oft sind mir schon USB-Sticks verreckt, einfach so. Dann wieder lese ich, die Schlüssel stecken in der TPM-Hardware - wenn die verreckt, komme ich also an gar nichts mehr ran ? Bin ich doch gerade jetzt dabei, von einem (zum Glück: langsam) sterbenden Notebook auf ein neues zu migrieren.

Mir wäre es am sympathischten, die TPM-Geschichte erstmal ganz totzulegen und mir das Thema irgendwann wenn Zeit ist mal anzuschauen. Allerdings: meine "Irgendwann-mal"-ToDo-List umfasst schon 20 Seiten ...

P.S.: Seit der oben beschrieben Deaktivierung des TPM im BIOS herrscht eigentlich Ruhe im Karton, vielleicht belasse ich es einfach dabei...

 

[AliManali]

So wie ich das sehe, hast Du bei einem Ausfall des TPM Moduls nur das Problem, dass die Anwendungen sich nicht mehr starten lassen, die für TXT konfiguriert wurden. Wenn Du allerdings einen vollverschlüsselten Datenträger einrichtet hast, und den Schlüssel verlierst, dann ist klar, dann sind die Daten futsch. Aber aus dem Grund hast Du ja hoffentlich ein Backup. Die Vollverschlüsselung macht auf dem Laptop dann Sinn, wenn das Gerät abhanden kommt. Gegen ein Hardwareausfall bzw. -verlust musst Du natürlich Vorsorge tragen, egal ob mit oder ohne TPM.

Vor einem Zugriff durch NSA oder M$ habe ich weniger Angst. Aber die TXT Funktionen lassen zu, dass Anwendungen komplett geschützt sind vor Viren, Trojanern, Keyloggern und sonstigem Unrat. Das Future würd ich gern nutzen!

 

[Wuehlmaus]

Vor einem Zugriff durch NSA oder M$ habe ich weniger Angst. Aber die TXT Funktionen lassen zu, dass Anwendungen komplett geschützt sind vor Viren, Trojanern, Keyloggern und sonstigem Unrat. Das Future würd ich gern nutzen!

Ok, ich werde mich mal schlau machen und dann mein Unbehagen mannhaft bekämpfen.

Vielen Dank Euch beiden !

 

[0711]

Umgekehrt wird ein Schuh draus. Ist das - allein aus meiner Sicht betrachtet - etwas Gutes, oder zumindest etwas weit überwiegend Gutes ?

Wenn ich die Diskussionen im Netz richtig verstehe, dann ermöglicht TPM ab Win 8, dass Microsoft zunehmend bestimmt, welche Software auf meinem PC laufen darf und welche nicht. Selbst die Nutzung alternativer Betriebssysteme könnte prinzipiell unterbunden werden, wenn der Secure Boot Loader nur noch zertifizierte Software lädt.

vorweg, tpm ist keine Erfindung von MS
secureboot wird von Microsoft mit Windows 8 empfohlen aber ist auch keine Erfindung von MS und ja secureboot lässt auch jetzt schon nur zertifizierte bootloader zu (und es gibt auch einige Linux distris die entsprechende loader haben)

Wenn du sowieso Windows einsetzt hast du damit keinerlei Nachteile, eher Vorteile in Verbindung mit BitLocker und co. Ich selbst sehe es ähnlich wie Ali und wäre eher froh um solch ein Modul.
Wenn du alternative Betriebssysteme einsetzen magst kommt es drauf an was du da einsetzen willst - kann nachteilig sein, muss nicht aber du kannst es ja im zweifel deaktivieren was du ja gemacht hast.

Klassische Anwendungskontrolle/restriktionen findet dadurch nicht statt und ist in weiten teilen auch nicht möglich.

 

[Wuehlmaus]

Danke für deine ergänzenden Erläuterungen.

vorweg, tpm ist keine Erfindung von MS

Mein Unbehagen begann schon mit der Palladium-Diskussion vor über 10 Jahren und hat sich nun unbewusst auf TPM übertragen, welches ja irgendwie ein Nachfolger ist. Habe jetzt gelesen, dass TPM für alle Windows-Maschinen Pflicht werden soll, die ab 2015 verkauft werden. Andernfalls dürfen die das "Win"-Siegel nicht tragen. Dass also MS der Sache völlig neutral und selbstlos gegenübersteht, glaube ich daher immer noch nicht.

Wenn du sowieso Windows einsetzt ...

Solange MS mich als zahlenden König Kunde behandelt und nicht als zu gängelndes Kleinkind, will ich mir den Stress eine Umstiegs auf was auch immer eigentlich nicht antun. Der zwangsweise Umstieg auf den Kachelmist von Win 8 hat meine diesbezügliche Geduld allerdings schon auf eine harte Probe gestellt.

Aber Schluss jetzt mit dem Genörgel - ich werde mich demnächst positiv (bzw. objektiv) mit dem Thema TPM auseinandersetzen. Wenn alle hier mich drum beneiden, dann ist ja vielleicht doch was dran...

 

[0711]

Dass also MS der Sache völlig neutral und selbstlos gegenübersteht, glaube ich daher immer noch nicht.

ganz klar, MS beführwortet tpm und secureboot daran besteht kein zweifel und nimmt da auch keine neutrale Position ein (ähnlich wie beim do not track für browser) ...

 

[AliManali]

Also, so gut kenne ich mich nicht aus, aber wie wärs, wenn Du TPM an und SecureBoot aus machst, dann solltest Du TPM mit Windows 7 nutzen können?

Oder was meinst Du mit zwangsweise Umstieg?

 

[Wuehlmaus]

So, nun haben wir den GAU!

Fast 6 Jahre lang hat das nicht ansprechbare TPM nicht weiter gestört. Aber jetzt verhindert es den Umstieg von (mittlerweile) Windows 10 Version 1803 auf 1903. Die Updateprozedur verlangt, dass ich "Infineon TPM Professional Package" deinstallieren soll, da es mit Windows 10 nicht kompatibel sei. Es lässt sich aber nicht deinstallieren, weder mit dem angebotenen Button "Deinstallation" noch händisch über "Apps & Features" in den Windows Einstellungen.

Was nun ? Der Support von Version 1803 läuft offenbar in wenigen Wochen aus. Samsung bietet nach dem Verkauf seiner Computersparte offenbar keinen Support mehr und bei Infineon finde ich auch nichts brauchbares.

 

[butcher1de]

Mach doch einfach eine Clean Install, und schon sind deine Probleme (Wahrscheinlich) gelöst.

 

[Wuehlmaus]

Danke für die schnelle Antwort.

Ja, das könnte das Problem vielleicht lösen ... oder eben auch nicht. Wie aus dem Anfang dieses Fadens ersichtlich, hat das TPM1.2 von Anfang an gesponnen. Die gleiche Fehlermeldung gab's damals auch schon und da war das System ganz neu aufgesetzt.

 

[butcher1de]

Vielleicht ist es auch einfach Zeit die Uralt Hardware mit allen Ihren Sicherheitslücken auszumustern. Oder auf ein alternative Betriebssystem zu wechseln.

 

[Wuehlmaus]

Ersteres ja, zweiteres nein. Wäre ich ein normal konsumierender User mit ein bisschen Surfen, Video gucken und mal 'ne Mail schreiben, dann wäre ich von meinem 6 Jahre alten i5-Notebook immer noch begeistert (schlank, leise, super Bildschirm, immer noch gute Akkulaufzeit).

Tatsächlich bin ich aber gerade in der Klärungsphase für eine Neuanschaffung mit mehr Rechenpower (wegen etwas intensivierter Foto- und Videobearbeitung). Da ich aber auch mit neuer Hardware das TPM immer noch am Hals habe (jetzt dann halt in Form von TPM2.0), dachte ich, es wäre mal an der Zeit, sich mit TPM ernsthafter auseinander zu setzen, indem ich das uralte Problem endlich mal zu bereinigen versuche. Damals war ich zufrieden damit, dass es mich nicht weiter störte, aber jetzt mit Windows 1903 holt es mich ein - zu einer Zeit, als sowohl der Notebook-Hersteller (Samsung) als auch der TPM-Chiphersteller Infineon sich vom Support ihre einstigen Produkte längst abgeseilt haben.

Ein anderes Betriebssystem-Biotop kommt für mich eher nicht infrage. Erstens bin ich sicher, dass jedes andere irgendwo genauso seine Macken hat (wenn auch andere). Zudem bin ich gerade 70 geworden und merke langsam, dass mir die Schöne Neue Welt so langsam, aber sicher doch über den Kopf wächst, weil ich 90% davon sowieso nicht nutze. Bin froh, wenn ich mich noch ein paar Jahre lang so durchwursteln kann. Dann dürfen die Enkel ran und dem Opa aufs Pferd helfen, auch wenn die im Moment - außer beim Daddeln und Instagrammen - noch weniger durchblicken als ich.

 

[Techlogi]

Hi,

du schreibst "Die gleiche Fehlermeldung gab's damals auch schon und da war das System ganz neu aufgesetzt.", womit du vermutlich die Windows 8 Installation meinst? Hast du hier ggf. über eine dem Gerät beiliegende Recovery-DVD (oder -Partition) "neu" auf gesetzt? Diese beinhaltet oft irgendwelche zum Teil unerwünschte Bloadware, wo ich das das Infineon-Tool zählen würde. Ein sauber installiertes Windows ohne irgendwelche Tools des Herstellers sollte sich auch nicht über ein deaktiviertes TPM beschweren, somit sollte komplette Neuinstallation (Backup vorher nicht vergessen) mittels erstellem USB-Stick hier das Problem lösen. Sicher viel Arbeit, bietet sich ja aber gerade bei einem Windows Upgrade an.

Solltest du das schon probiert und ich es überlesen haben, sorry.

 

[Wuehlmaus]

Just gestern gelang es mir mit Hilfe der Microsoft Community, das Problem zu lösen und das Windows Funktionsupdate 1903 einzuspielen.

Nach einem Full Backup traf ich folgende Maßnahmen:
* Löschen aller "infineon" Einträge aus der Registry (Geduld ist geboten, denn das waren bei mir Hunderte Einträge!)
* Löschen des Verzeichnisses C:\ProgramFiles(X86)\Infineon.
* Habe dann vorsichtshalber noch den Papierkorb geleert und Windows neu gestartet (weiß nicht, ob das nötig war)

Und dann lief's. Seitdem fehlt das TPM auch in der Taskleiste (war dort immer vorhanden, aber durchgestrichen).

@Techlogi, zu deinen Fragen: Ja, das System kam damals mit Windows 8.0 aus der Box; das hatte ich dann sofort auf Win 8.1 hochgezogen, weil 8.0 für mich völlig inakzeptabel war. Ob ich das TPM-Problem erstmals bei 8.0 oder 8.1 beobachtete, weiß ich nicht mehr. Ich hatte dann wie üblich auch erstmal jede Menge Bloatware entfernt, aber keinen Clean Install gemacht, da ich die Windows-Lizenz nicht separat erworben hatte.

Dank an alle für die Tipps!

 

[Techlogi]

Hi,

danke für die Rückmeldung mit deiner Lösung.
Bzgl. der Lizenz, sobald einmal Windows 10 drauf akiviert war, kannst du auch einfach per USB-Stick neu installieren und im Setup wählst du dann einfach aus, dass du keinen Key hast. Achtung, im folgendem Step dann unbedingt die passende Version wählen. Sobald die Kiste online geht, aktiviert die sich dann automatisch.
Im Setup kann man auch Windows 7/8 Schlüssel eingeben, sofern man denn einen hat. Zumindest bei Gerätem mit vorinstalliertem Win8 waren die Keys oft einfach auf dem Mainboard hinterlegt.

 

[Wuehlmaus]

Danke, deine Ausführungen sind aktuell sehr interessant für mich. Ich bin nämlich gerade am Recherchieren für einen neuen PC mit mehr Rechen- und Grafikpower für Content Creation (Foto- und Videobearbeitung). Bis zur Lösung meines obigen Updateproblems dachte ich notgedrungen an einen Kompromiss, nämlich an ein neues, wesentlich leistungsfähigeres stärkeres Notebook für alles. Aber Mobilität und Leistung mögen sich ja bekanntlich nicht so besonders. Mit meinem nun doch noch geretteten 6 Jahre alten Samsung Atif habe ich eigentlich immer noch die perfekte mobile Brot- und Butterlösung für den alltäglichen Wahnsinn (Surfen, Emailen, Word und EXCEL) und könnte mir für die Medienbearbeitung nun also eine stationäre Workstation gönnen. Also wie auch immer - ein neuer PC ist in jedem Fall fällig (das Finanzministerium hat ein brauchbares Budget auch schon bewilligt und das verfallen zu lassen, geht ja wohl gar nicht, oder? ).

Aber welche Windows-Variante nehme ich da am besten? Vorinstalliert akzeptieren aus Kostengründen oder separat erwerben, um die Bloatware komplett zu vermeiden? Bei Schenker (z.B.) kann man ja wählen, ob (a) ganz ohne, (b) mit vorinstalliertem oder (c) separatem Windows auf DVD. Oder sind deine Ausführungen so zu verstehen, dass ich damit auch bei vorinstalliertem (bloatware-verseuchtem) OS nachträglich noch eine saubere Windows-Installation hinbekomme?

Ebenso Windows Home oder PRO. Bisher habe ich PRO, weil es halt so drauf war und das Notebook auch tatsächlich geschäftlich genutzt wurde.Mittlerweile bin ich allerdings im Ruhestand. Bei den Unterschieden zwischen Home und Pro verstehe ich komplett Bahnhof, also sollte mir doch Home reichen, oder ? Trotz anspruchsvoller Medienbearbeitung.

 

[Techlogi]

Hi,

vorinstalliert bietet sich oft aus Kostengründen oft an, dann mit diesem Tool:
Windows 10 Media Creation Tool - Download - ComputerBase
einen USB-Stick erstellen und sauber neu installieren (Im Setup "Ich habe keinen Key" wählen und anschließend die passende Version wählen). Aktiviert sich dann automatisch, sobald die Kiste online geht. Wichtig ist nur, dass schon mal Windows auf dem PC aktiviert war.
Alternativ mal rumfragen, ob ein Bekannter noch einen Windows 7 Key hat, den er nicht mehr braucht. Bisher haben die auch noch bei der Windows 10 Installation funktioniert.

Bei Home vs Pro bin etwas überfragt, hab selber nur Pro. Da wird sich hier aber sicherlich jemand mit Durchblick melden.