Windows 11 TPM デュアルブート

Question

Windows 11 に TPM とセキュア ブートが必要なことは、たとえば Linux とのデュアル ブート設定ができなくなることを意味しますか?

Answer 1

デュアル ブートするデバイスはすべて、セキュア ブート、UE​​FI、TPM をサポートしている必要があります。ほとんどのデュアル ブート シナリオでは、これが実現不可能である可能性が高くなります。

ここで、また他の場所で出てくるデュアルブートに関する質問の多くは古く、非UEFIを必要とし、Windows 11では動作しないセキュアブートを無効にする必要があります。

現時点ではまだ新しいものですが、厳しい要件は残ると予想しています。つまり、Windows 11 の基本要件 (セキュア ブートと UEFI) をサポートしていないものは動作しません。つまり、要件が緩い現在のセットアップの多くは、Windows 11 では動作しません。

仮想マシンは、Windows 11 で複数のマシンを実行するためのより現実的な方法になります。

Answer 2

のTPPMについては受動的なコンポーネントです。OS (またはブートローダー) が明示的に対話しようとしない限り、それ自体はブート プロセスに関与しません。TPM をサポートしていない OS でも、デュアル ブートが可能です。

そうは言っても、もしあなたが欲しいLinux から TPM を使用する場合、Windows で初期化された場合でも TPM を使用できます。

Windows は、破棄されるランダムな「所有者パスワード」を使用して TPM2 を初期化します...ただし、パスワードがすぐに破棄されるという事実は、通常の操作にはパスワードが必要ないことを示しています。

たとえば、RSA「ストレージ ルート キー」は標準的な方法で 0x81000001 に初期化され、Linux を含むすべての OS から使用できます。(systemd-cryptenroll などの一部のツールはこれを無視し、代わりに ECDSA ルート キーを生成します。)

(必要に応じて、Windows に所有者のパスワードをレジストリに保存するように指示することもできますが、破棄されたパスワードを回復することはできないため、TPM を再初期化する必要があります。)

現在、唯一の制限は、Linux tpm2-tss で高レベルの FAPI ツールを使用できないことですが、これは実際には大きな損失ではありません。ほとんどすべてが「生の」EAPI に基づいて構築されています。

---

一方、セキュアブートこの機能により、問題が発生する可能性があります。ただし、この機能を公式にサポートしている Fedora や Ubuntu などの Linux ディストリビューションは引き続き使用できるはずです (Microsoft が署名したブートローダーが搭載されています)。

少し調整すれば、Microsoft 署名を使用して、ShimUEFI をサポートするほぼすべてのものを起動できるようになります。(これは一種の抜け穴で、Shim はハッシュによって不明な .efi ファイルを承認するように求めるだけです。)

x86システムのセキュアブートでは、あなた自身のマイクロソフトのキーと並んでキーに署名する。とても複雑ではありますが、Linux カーネルまたは別の .efi ファイルをファームウェアのセキュア ブートによって完全に検証することは完全に可能です。

Answer 3

セキュアブートの要件に関する報道記事には多くの誤報があります。Windows 11をインストールして実行するには、マシンが「セキュアブート対応」である必要があり、ないセキュア ブートを有効にする必要があります。「セキュア ブート対応」とは、システムが従来の BIOS/CSM ではなく UEFI 経由で起動することを意味します。

(技術的には、セキュア ブートは 2012 年にリリースされた 2.3.1 Errata C で UEFI 仕様に追加されました。過去 5 年以上にわたってリリースされたほぼすべてのコンシューマー マザーボードはセキュア ブートに対応していると思います。)

Windows 11 でも TPM 2.0 を有効にする必要がありますが、別の回答で述べたように、セキュア ブートを有効にしても他の OS の実行が妨げられることはありません。

Windows 11 を Hyper-V VM にインストールして実行することで、セキュア ブートを有効にする必要がないことを確認しました。セキュア ブートが無効になっている Hyper-V UEFI システムでも、Windows 11 は問題なくインストールされます。

見るhttps://docs.microsoft.com/ja-jp/windows/whats-new/windows-11-requirements（「UEFI、セキュアブート対応」と記載されていることに注意してください）https://support.microsoft.com/ja-jp/topic/windows-11-and-secure-boot-a8ff1202-c0d9-42f5-940f-843abef64fad より(セキュア ブートを有効にする必要がないことを明示的に示します)。