Trusted Platform Module（TPM）とは？仕組みと種類4つ、確認方法

Trusted Platform Module（TPM）とは、暗号鍵を安全に生成・保管するためのセキュリティチップです。
BitLockerによるドライブの暗号化やWindows Helloによるサインインを支えており、Windows 11ではTPM 2.0が必須要件となっています。

この記事では、TPMの仕組みや主な機能、独立チップ型から仮想TPMまでの種類4つ、搭載の確認方法と有効化の手順、運用上の注意点をわかりやすく解説します。

Trusted Platform Module（TPM）とは

暗号鍵を安全に守るためのセキュリティチップ

TPM（Trusted Platform Module）は、コンピュータやデバイスのセキュリティを強化するために、主にPCのマザーボード上やCPUの中に組み込まれた、暗号化や認証のための専用の仕組みです。
暗号鍵の生成・管理、データの暗号化、デジタル証明書の保持、ハードウェア認証などの機能を提供し、デバイスの起動時からのセキュリティを確保する役割を担います。

日本語では「トラステッド・プラットフォーム・モジュール」と読み、PCの設定画面では「セキュリティチップ」と表示されることもあります。

TPMが必要とされる理由

データを暗号化して守る場合、問題になるのが「暗号鍵をどこに置くか」です。暗号鍵をデータと同じストレージに保存していると、ストレージごと盗まれたときに暗号鍵も一緒に盗まれ、暗号化が意味をなさなくなるおそれがあります。

TPMを使えば、暗号鍵をストレージとは別の、守られたチップの中に保管できます。暗号鍵がTPMの外に取り出せない形で守られるため、ストレージだけを抜き取られてもデータを読み取られにくくなります。
ソフトウェアだけで鍵を守る方法に比べ、OSやアプリケーションが攻撃されても鍵を盗まれにくい点が大きな特徴です。

標準を定めるTCGとTPMのバージョン

TPMの仕様は、業界団体のTCG（Trusted Computing Group）が定めています。現在広く使われているバージョンは、TPM 1.2とTPM 2.0の2つです。

バージョン	対応する主な暗号方式	特徴
TPM 1.2	SHA-1、RSA	初期の広く普及したバージョン。使える暗号方式が限られている
TPM 2.0	SHA-256、ECC、RSAなど	新しい暗号方式に対応し、方式を柔軟に選べる。Windows 11の必須要件

TPM 1.2が対応するSHA-1は、現在では安全性が低いとされる方式です。セキュリティを重視する環境では、TPM 2.0を搭載した端末を使うことが推奨されます。

TPMの仕組みと主な機能

暗号鍵の生成と保護

TPMは、デバイス上で使用する暗号鍵をチップの中で生成し、内部で厳重に保護します。特に、公開鍵暗号で使う秘密鍵はTPMの中から外に出ない形で扱われるため、OSやアプリケーションから直接読み取ることはできません。

アプリケーションが暗号処理を行う場合も、鍵そのものを受け取るのではなく、TPMに処理を依頼して結果だけを受け取ります。この仕組みにより、端末がマルウェアに感染しても、鍵そのものを盗み出されるリスクを下げられます。

暗号化・復号とデジタル署名

TPMは、データの暗号化・復号の処理に使われます。たとえばWindowsのBitLockerでは、ドライブの暗号化に使う鍵をTPMで保護しています。

また、TPMはデジタル署名の生成にも使われ、端末の認証などに利用されます。TPMの中の鍵で署名することで、その端末が本物であることを証明でき、偽造やなりすましのリスクを抑えられます。

起動の記録と証明（メジャードブート・アテステーション）

TPMの重要な役割の一つが、PCの起動の過程を記録することです。PCの電源を入れると、ファームウェア、ブートローダー、OSと順番にプログラムが読み込まれます。
このとき、各段階のプログラムの内容を表すハッシュ値をTPMの中に順番に記録していく仕組みを「メジャードブート」といいます。

記録された値は後から書き換えられないため、途中で不正なプログラムが入り込むと、記録の値が正常なときと異なります。この記録を外部のサーバーに示し、端末が改ざんされていない状態で起動したことを証明する仕組みを「アテステーション」と呼びます。

セキュアブートとの違い

TPMと混同されやすい機能に、セキュアブートがあります。セキュアブートは、UEFI（PCのファームウェア）が持つ機能で、起動時に読み込むプログラムのデジタル署名を検証し、信頼できないプログラムであれば起動そのものを止めます。

一方、TPMを使ったメジャードブートは、起動を止めるのではなく、何が読み込まれたかを記録して後から証明できるようにする仕組みです。
セキュアブートは「止める仕組み」、メジャードブートは「記録して証明する仕組み」であり、両方を組み合わせることで起動時の安全性が高まります。

TPMの種類4つ

種類ごとの特徴一覧

TPMは、どこに実装されているかによって、大きく4つの種類に分けられます。

種類	実装場所	主な特徴
独立チップ型（dTPM）	マザーボード上の専用チップ	物理的に独立しており、改ざんへの耐性が高い
ファームウェア型（fTPM）	CPU内の安全な領域	専用チップが不要で、多くのPCに搭載されている
CPU統合型（Microsoft Pluton）	CPUに統合されたセキュリティプロセッサ	CPUとの通信経路がなく、攻撃の対象となる範囲が小さい
仮想TPM（vTPM）	仮想化基盤上のソフトウェア	仮想マシンごとにTPMの機能を提供できる

独立チップ型（dTPM）

独立チップ型は、マザーボード上にTPM専用のチップとして搭載されるタイプです。CPUなどのほかの部品から物理的に独立しているため、改ざんへの耐性が高いとされ、企業向けのPCやサーバーで多く採用されています。

一方で、チップとCPUの間でデータをやり取りする通信経路があるため、PCを分解できる攻撃者がこの経路を盗み見る攻撃の研究も報告されています。こうした物理的な攻撃への備えは、後の章で解説します。

ファームウェア型（fTPM）

ファームウェア型は、CPUの中の安全な領域で、TPMの機能をファームウェアとして動かすタイプです。インテルのCPUでは「Intel PTT」、AMDのCPUでは「AMD fTPM」などの名称で提供されています。

専用のチップを追加する必要がないため、近年の多くの個人向け・企業向けPCに搭載されています。

CPU統合型（Microsoft Pluton）

Microsoft Plutonは、マイクロソフトが設計し、CPUに直接組み込まれたセキュリティプロセッサです。TPMの機能をCPUの中で提供します。

CPUと別のチップの間の通信経路がなくなるため、通信経路を狙う攻撃を受けにくく、攻撃の対象となる範囲を小さくできるとされています。一部の新しいPCで採用が進んでいます。

仮想TPM（vTPM）

仮想TPMは、物理的なTPMの機能をソフトウェアで再現し、仮想マシンに提供するものです。仮想マシンの中のOSも、物理的なPCと同じようにTPMを使った暗号化や起動の記録を行えます。

サーバーの仮想化基盤やクラウドサービスで利用されており、Windows 11を仮想マシンで動かす場合にも必要になります。
仮想TPMのデータは仮想マシンのファイルとして暗号化して保存されるため、バックアップや移行の際は、関連するファイルや暗号鍵を含めて扱う必要があります。

TPMの主な利用用途

BitLockerによるドライブの暗号化

Windowsの「BitLocker」は、TPMを用いてドライブ全体を暗号化し、データを守る機能です。暗号化に使う鍵はTPMによって保護されるため、PCを紛失したり盗まれたりしても、ストレージを取り出して中身を読み取られるリスクを下げられます。

通常の利用では、TPMが起動時の状態を確認したうえで自動的に鍵を取り出すため、利用者が毎回パスワードを入力する必要はありません。

Windows Helloによるサインイン

Windows Helloは、PINや指紋、顔認証でWindowsにサインインできる機能です。サインインに使う鍵はTPMによって守られ、パスワードを使わずに安全にサインインできる仕組みを支えています。

VPNやWi-Fiの接続時の端末認証

TPMは、VPNや社内Wi-Fiへの接続時に使うデジタル証明書を格納・管理するためにも使われます。証明書の秘密鍵をTPMの中で守ることで、証明書をほかの端末にコピーして不正に接続されるリスクを抑え、企業のリモートアクセスの安全性を高めます。

ゼロトラストでの端末の状態確認

「すべてのアクセスを検証する」ゼロトラストの考え方では、利用者だけでなく、接続してくる端末が安全な状態かどうかも確認します。
TPMを使ったアテステーションにより、端末が改ざんされずに起動しているか、BitLockerなどのセキュリティ機能が有効かを確認したうえで、業務システムへのアクセスを許可する仕組みが使われています。

Windows 11のシステム要件

Windows 11では、TPM 2.0の搭載がシステム要件として必須になっています。これにより、BitLockerやWindows Hello、起動時の保護などの機能を、TPMを前提とした安全な形で利用できます。

TPM 2.0を搭載していないPCは、原則としてWindows 11の要件を満たしません。

TPMの確認方法と有効化の手順

Windowsセキュリティで確認する

PCにTPMが搭載されているかは、Windowsの設定から確認できます。「Windowsセキュリティ」アプリを開き、「デバイスのセキュリティ」を選択します。

「セキュリティプロセッサ」という項目が表示されていれば、TPMが搭載され、有効になっています。「セキュリティプロセッサの詳細」を開くと、「仕様バージョン」の欄で、TPMのバージョンが1.2か2.0かを確認できます。

tpm.mscで確認する

より詳しく確認したい場合は、キーボードの「Windows」キーと「R」キーを同時に押して「ファイル名を指定して実行」を開き、「tpm.msc」と入力して実行します。

「トラステッドプラットフォームモジュール (TPM) の管理」画面が開き、TPMの状態や仕様バージョンを確認できます。「互換性のあるTPMが見つかりません」と表示される場合は、TPMが搭載されていないか、無効になっている可能性があります。

TPMが無効になっている場合の有効化

TPMが搭載されていても、UEFI（BIOS）の設定で無効になっていることがあります。その場合は、PCの起動時にメーカーごとに決められたキーを押してUEFIの設定画面を開き、セキュリティに関する項目からTPMを有効にします。

項目の名称はメーカーやCPUによって異なり、「TPM」「Security Device」「Intel PTT」「AMD fTPM」などと表示されます。企業で管理しているPCの場合は、自己判断で設定を変えず、情報システム部門の指示に従いましょう。

TPMのメリットと運用上の注意点

ハードウェアで暗号鍵を守るメリット

TPMはハードウェアに基づくセキュリティを提供するため、ソフトウェアだけで鍵を守る方法よりも高い安全性を実現できます。
TPMはOSやアプリケーションから独立して動作するため、OSが攻撃されても鍵そのものを盗まれにくく、デバイスの紛失や盗難が発生しても暗号化されたデータは解読されにくくなります。

BitLocker回復キーを必ず保管する

TPMで鍵を守っていても、TPMの故障やマザーボードの交換、設定の変更などをきっかけに、BitLockerが「回復キー」の入力を求めることがあります。回復キーがなければ、暗号化されたデータを取り出せなくなるおそれがあります。

BitLockerを使う場合は、回復キーを端末とは別の安全な場所に必ず保管しておくことが重要です。企業では、管理ツールで回復キーを一元管理しておくと、従業員の端末でトラブルが起きた際にも迅速に対応できます。

TPMのクリアやBIOS更新の前に確認すること

TPMの管理画面には、TPMの中身を初期化する「TPMのクリア」という操作があります。クリアするとTPMの中の鍵が削除されるため、BitLockerで暗号化したドライブや、Windows Helloの設定などに影響が出ます。

また、UEFI（BIOS）の更新やセキュアブートの設定変更を行うと、起動時の記録が変わるため、BitLockerが回復キーを求めることがあります。
こうした作業の前には、BitLockerを一時停止しておく、回復キーの保管場所を確認しておくといった準備をしましょう。

物理的な攻撃への備えとPINの併用

TPMがあれば絶対に安全というわけではありません。独立チップ型のTPMでは、PCを分解してCPUとの通信経路を盗み見ることで、BitLockerの鍵を取り出す攻撃の研究が報告されています。

こうした攻撃に備えるには、BitLockerの起動時にPINの入力を求める設定にする方法が有効です。TPMだけに頼らず、起動時のPINを組み合わせることで、PCを盗まれた場合の安全性をさらに高められます。
機密情報を扱う端末では、利便性とのバランスを考えて検討しましょう。

古い端末は要件を満たせない場合がある

TPMを搭載していない古い端末や、TPM 1.2のみを搭載した端末は、Windows 11などの新しいセキュリティ要件を満たせない場合があります。端末を入れ替える際は、TPM 2.0の搭載を確認しておきましょう。

TPMに関するよくある質問

Q. TPMとセキュリティチップは同じものですか？

PCの設定画面などで「セキュリティチップ」と表示されている項目は、多くの場合TPMを指しています。ただし、セキュリティチップという言葉はTPM以外のセキュリティ用の部品を指すこともあるため、正確にはTPMの仕様バージョンなどで確認しましょう。

Q. TPM 1.2のPCでWindows 11は使えますか？

Windows 11のシステム要件ではTPM 2.0が必須とされているため、TPM 1.2のPCは要件を満たしません。
要件を満たさないPCでの利用はマイクロソフトのサポート対象外となるため、業務で使う場合はTPM 2.0を搭載した端末への入れ替えを検討しましょう。

Q. TPMをクリアするとどうなりますか？

TPMの中に保管されていた鍵がすべて削除されます。BitLockerで暗号化したドライブは回復キーがないと読み取れなくなる場合があり、Windows Helloなども設定し直しが必要になります。
クリアする前には、必ず回復キーとデータのバックアップを確認しましょう。

Q. TPMがあればBitLockerの回復キーは不要ですか？

不要ではありません。TPMの故障や設定の変更などで、回復キーの入力を求められることがあります。回復キーがないとデータを取り出せなくなるおそれがあるため、必ず安全な場所に保管しておきましょう。

Q. TPMとHSMの違いは何ですか？

TPMは、個々のPCやサーバーに搭載され、その端末の鍵を守るためのものです。HSM（ハードウェアセキュリティモジュール）は、認証局や金融システムなどで大量の鍵を集中して管理するための専用装置で、より高い性能と管理機能を持っています。

まとめ

TPM（Trusted Platform Module）は、暗号鍵を安全に生成・保管し、BitLockerやWindows Hello、起動時の記録と証明を支えるセキュリティの仕組みです。

独立チップ型、ファームウェア型、Pluton、仮想TPMの4種類があり、Windows 11ではTPM 2.0が必須です。搭載状況を確認したうえで、回復キーの保管やPINの併用など運用面の注意点も押さえ、端末のセキュリティを高めましょう。