TPM 2.0 et démarrage sécurisé : à quoi ça sert vraimentTPM 2.0 and Secure Boot: what they actually do

Le TPM est une petite puce chargée de stocker des secrets et de mesurer l'intégrité de la chaîne de démarrage. Longtemps ignoré, il est devenu incontournable avec les prérequis de Windows 11 et la généralisation du chiffrement de disque. Comprendre son rôle évite deux erreurs : le croire inutile, ou le croire suffisant à lui seul.The TPM is a small chip whose job is to store secrets and to measure the integrity of the boot chain. Long ignored, it became unavoidable with the Windows 11 requirements and the spread of disk encryption. Understanding its role avoids two mistakes: thinking it useless, or thinking it sufficient on its own.

Un coffre matériel pour les clésA hardware vault for keys

Le TPM conserve des clés cryptographiques dans un composant dont elles ne peuvent pas être extraites en clair. Il enregistre également des mesures de chaque étape du démarrage, du micrologiciel au chargeur du système. Une clé peut être scellée à ces mesures : elle n'est libérée que si la machine démarre exactement dans l'état attendu, ce qui bloque une altération de la chaîne de démarrage.The TPM keeps cryptographic keys inside a component from which they cannot be extracted in clear form. It also records measurements of each boot stage, from firmware to the system loader. A key can be sealed to those measurements: it is released only if the machine boots in exactly the expected state, which blocks tampering with the boot chain.

Les clés ne sortent jamais en clair de la puce

Mesure de chaque étape de la chaîne de démarrage

Scellement des clés à un état de démarrage attendu

Base technique de l'attestation d'intégrité d'une machine

Keys never leave the chip in clear form

Measurement of every stage of the boot chain

Keys sealed to an expected boot state

Technical basis for machine integrity attestation

Démarrage sécurisé et chiffrementSecure Boot and encryption

Le démarrage sécurisé est une fonction du micrologiciel UEFI qui vérifie la signature de chaque composant chargé avant de lui donner la main. Il est distinct du TPM mais complémentaire. Côté chiffrement, BitLocker s'appuie sur le TPM pour libérer automatiquement la clé du disque au démarrage, sans saisie manuelle, tout en refusant de la fournir si le disque est déplacé sur une autre machine.Secure Boot is a UEFI firmware function that verifies the signature of every component loaded before handing over control. It is distinct from the TPM but complementary. On the encryption side, BitLocker relies on the TPM to release the disk key automatically at boot, with no manual entry, while refusing to provide it if the drive is moved to another machine.

Le démarrage sécurisé relève de l'UEFI, pas du TPM

BitLocker libère la clé automatiquement grâce au TPM

Un disque déplacé sur une autre machine reste chiffré

Conservez impérativement les clés de récupération hors machine

Secure Boot belongs to UEFI, not to the TPM

BitLocker releases the key automatically via the TPM

A drive moved to another machine stays encrypted

Always keep recovery keys stored off the machine

Vérifier et activer sur un parc existantChecking and enabling across an existing fleet

Beaucoup de machines disposent d'un TPM 2.0 désactivé par défaut dans le BIOS, où il apparaît parfois sous une appellation propriétaire du fabricant du processeur. L'activer suffit souvent à rendre un poste éligible à Windows 11. Sur certaines cartes serveur, un module physique optionnel se connecte sur un connecteur dédié, à choisir en version 2.0 et compatible avec la référence exacte de la carte. Un inventaire du parc permet de distinguer les postes simplement à reconfigurer de ceux qui demandent un module ou un remplacement.Many machines have a TPM 2.0 disabled by default in the BIOS, where it sometimes appears under a proprietary name from the CPU manufacturer. Enabling it is often enough to make a workstation eligible for Windows 11. On some server boards an optional physical module plugs into a dedicated header, to be chosen in version 2.0 and compatible with the exact board part number. A fleet inventory separates the machines that only need reconfiguring from those requiring a module or a replacement.

Souvent présent mais désactivé dans le BIOS

Appellations propriétaires selon le fabricant du processeur

Module physique optionnel sur certaines cartes serveur

Sauvegardez les clés de récupération avant toute activation

Often present but disabled in the BIOS

Proprietary naming depending on the CPU manufacturer

Optional physical module on some server boards

Back up recovery keys before enabling anything

Repères de configurationConfiguration guidance

TPM 2.0TPM 2.0Stockage matériel des clés et mesures de démarrage

Démarrage sécuriséSecure BootVérification des signatures par le micrologiciel UEFI

BitLockerBitLockerLibération automatique de la clé de chiffrement au démarrage

Windows 11Windows 11TPM 2.0 exigé dans les prérequis officiels

Module physiquePhysical moduleConnecteur dédié sur certaines cartes serveur

Clé de récupérationRecovery keyÀ conserver hors de la machine chiffrée

Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).

Questions fréquentesFrequently asked questions

Comment savoir si ma machine possède un TPM 2.0 ?How do I know whether my machine has a TPM 2.0?

Sous Windows, la console de gestion du module de plateforme sécurisée indique sa présence et sa version. Sous Linux, la présence d'un périphérique TPM dans le système le confirme. Si rien n'apparaît, consultez le BIOS : la puce est fréquemment présente mais simplement désactivée dans les réglages de sécurité.On Windows, the trusted platform module management console shows presence and version. On Linux, the presence of a TPM device in the system confirms it. If nothing appears, check the BIOS: the chip is frequently present but simply disabled in the security settings.

Que se passe-t-il si je change la carte mère ?What happens if I replace the motherboard?

Le TPM étant lié à la carte, les clés scellées deviennent inaccessibles. Un volume chiffré avec BitLocker réclamera alors la clé de récupération pour redémarrer. C'est la raison pour laquelle cette clé doit impérativement être sauvegardée ailleurs avant toute intervention matérielle sur une machine chiffrée.Since the TPM is tied to the board, sealed keys become inaccessible. A BitLocker-encrypted volume will then demand the recovery key to boot. That is exactly why this key must be backed up elsewhere before any hardware work on an encrypted machine.

Le TPM protège-t-il contre les logiciels malveillants ?Does the TPM protect against malware?

Indirectement seulement. Il protège les clés et détecte une altération de la chaîne de démarrage, ce qui contre certaines attaques persistantes de bas niveau. Il ne remplace ni la protection du poste, ni les mises à jour, ni le cloisonnement réseau. Il est une brique de confiance, pas une solution de sécurité complète.Only indirectly. It protects keys and detects tampering with the boot chain, which counters some low-level persistent attacks. It replaces neither endpoint protection, nor patching, nor network segmentation. It is a trust building block, not a complete security solution.

Un besoin précis à chiffrer ?A specific need to quote?

Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.

Parler à un expertTalk to an expert Voir nos expertisesSee our expertise