TPM（受信任平台模块）作为一项基于硬件提供安全功能的技术，可以用于安全地创建与存储密钥，确保设备OS与固件符合可信计算等应用的安全要求。为了符合规范，比如zui新的TPM 2.0，就必须使用TPM安全芯片，将其集成到PC、手机/平板、IoT设备或服务器等产品中。比如Windows 11给出的zui低系统要求中，就加入了TPM 2.0安全处理器这一条。但已经存在了20多年的TPM技术，并不一定能保证安全性上高枕无忧。

TPM芯片

在TPM 2.0版本中，英特尔和AMD这样的厂商已经可以将TPM功能集成到芯片组中，而不再需要主板上的独立芯片，诸如英特尔的PTT和AMD的fTPM等。但不少产品在使用其他芯片时，为了做到安全可靠还是需要用到第三方的独立TPM芯片。

市面上也有不少第三方厂商开发了TPM芯片，诸如意法半导体、英飞凌、国民技术和新唐科技等。以英飞凌的OPTIGA TPM系列为例，该系列中既有针对PC和服务器进行优化的SLB 9672 FW15，还有针对IoT、网络设备与嵌入式系统优化的SLB 9672 FW16。这两者均集成了SPI接口，可以与Windows和Linux系统完美集成，除了支持RSA-4096、AES-256等zui新的加密算法外，还支持TPMwei一ID配置、背书密钥主种子配置等增强安全功能。

不过SLB 9672在提供消费级质量的同时，还支持到-40?到105?的宽工作温度，所以也适用于一些较为复杂的IoT环境。如果对接口、ren证之类的有要求的话，还是需要选择其他的型号，比如I2C接口的SLB 9673，或是通过工规JEDEC JESD47D的SLM 9670、通过车规AEC-Q100的SLI 9670等。

还有就是国民技术的TPM 2.0芯片，Z32H320TC和Z32H330TC。其中Z32H330TC是国际可信计算产业中shou个加载中国密码算法和国际密码算法的双算法可信计算he心产品，包括SM2/SM3/SM4与AES/SHA/RSA等。Z32H330TC不仅完整支持微软Windows下可信应用， 同时与Intel平台可信启动无缝配合。

在CPU平台的支持上，除了常见的英特尔、AMD外，也支持龙芯、飞腾、海光、华芯通等多个国内计算平台。操作系统的适配上，也已经支持了国内的统信UOS、麒麟和中科方德等。除了芯片产品外，国民技术还基于该芯片提供了PCIe和USB两种接口的可信密码模块，作为更为便捷的可信计算实现方式。

TPM不代表万无一失

但在系统集成了TPM之后，不代表就真的安全无破绽了，TPM本身的规范、固件等依然给到了不少不法之徒可乘之机。比如近期爆出的漏洞CVE-2023-1017，就可以通过向TPM 2.0发送恶意命令，导致TPM芯片/进程崩溃，而另一个漏洞CVE-2023-1018，则可以通过命令来读取或访问TPM中存储的敏感数据。

再者就是AMD的fTPM方案，该方案此前因为影像系统性能导致卡顿而被大家诟病，近期又爆出可通过电压故障进行注入攻击的问题，从而获取在BitLocker中的密钥数据。不过该方式虽然不需要物理访问TPM模块本身，但还是需要物理手段并且进行数个小时的攻击才能攻破fTPM。正是因为芯片或规范本身存在这些漏洞的可能性，英飞凌、新唐科技等芯片厂商时刻关注安全漏洞的同时，也会推送新的固件，用于解决潜在的入侵问题。

小结

事实证明，仅靠软件技术是难以实现真正稳健的安全环境方案的，操作系统环境中存在成千上万种方式绕过软件安全措施，所以TPM这样的硬件解决方案也不可少。但TPM技术软硬件结合的程度决定了任何一环都不能弱，否则就会给到这些安全漏洞可乘之机。