Come abilitare il TPM 2.0 su un PC Windows 11

Il TPM, o Trusted Platform Module, è una caratteristica di sicurezza basata su hardware integrata nei PC moderni. Windows 11 richiede il TPM 2.0 per l’installazione, perché è indispensabile per attivare diverse caratteristiche di sicurezza di Windows, tra cui BitLocker, Windows Hello e Avvio protetto. Su alcuni sistemi il TPM è presente, ma risulta disattivato nel firmware per impostazione predefinita.

Attivare il TPM è indispensabile negli ambienti gestiti o enterprise ed è un elemento centrale nella strategia di sicurezza di qualsiasi infrastruttura IT. Aiuta a garantire la conformità ai baseline di sicurezza hardware e supporta le caratteristiche di sicurezza più recenti. Se stai cercando indicazioni su come abilitare il TPM 2.0, questa guida illustra diversi metodi, tra cui la Gestione TPM, PowerShell e il BIOS o UEFI.

Per una spiegazione visiva dell’argomento, guarda Come abilitare il TPM 2.0 su un PC Windows 11

Requisiti per abilitare il TPM 2.0 su un PC Windows 11

Prima di provare ad abilitare il TPM 2.0 sul tuo PC, devi soddisfare questi prerequisiti:

• Supporto hardware per il TPM 2.0. Il tuo dispositivo deve avere un chip Trusted Platform Module 2.0 integrato nella scheda madre. La maggior parte dei PC e dei laptop prodotti dopo il 2016 lo include per impostazione predefinita. È comunque importante verificare la compatibilità, soprattutto sui sistemi meno recenti.
• Accesso alle impostazioni UEFI/BIOS. Per procedere devi entrare nel firmware di sistema. Puoi accedervi premendo un tasto specifico, come F2, CANC o ESC, subito dopo aver acceso il dispositivo.
• Privilegi amministrativi. Devi aver effettuato l’accesso con un account Windows dotato delle autorizzazioni necessarie per configurare le impostazioni in strumenti come PowerShell e la Console di gestione TPM.
• Varianti specifiche dell’OEM (produttore di apparecchiature originali). A seconda del produttore, le impostazioni del TPM possono avere nomi diversi. Ad esempio, su alcuni sistemi, come quelli Intel, vengono indicate come PTT o Platform Trust Technology, mentre AMD le chiama fTPM.

Come verificare lo stato del TPM 2.0

Metodo 1: verificare lo stato del TPM con tpm.msc

Questo metodo utilizza la Console di gestione TPM integrata e ti permette di controllare se il TPM 2.0 è presente e abilitato sul tuo sistema. Ecco i passaggi necessari:

1. Apri la finestra di dialogo Esegui premendo Win + R sulla tastiera.
2. Digita tpm.msc per avviare la Console di gestione TPM.
3. Controlla quindi lo stato del TPM. Nella finestra Gestione TPM nel computer locale, verifica quanto segue:
   1. Se compare “Il TPM è pronto per l’uso”, il TPM è installato e attivo.
   2. Se compare “Impossibile trovare un TPM compatibile”, il chip potrebbe essere disattivato nel firmware oppure non essere presente.
4. Individua la versione delle specifiche nella sezione Informazioni sul produttore del TPM. Ricorda che Windows 11 richiede la versione 2.0. Se è 1.2 o se il dato manca, il tuo sistema potrebbe non soddisfare il requisito TPM di Windows.

Metodo 2: verificare il TPM tramite PowerShell

Puoi verificare lo stato del TPM anche con PowerShell eseguito come amministratore. Questo metodo è l’ideale per amministratori di sistema o personale IT che devono controllare lo stato del TPM su più dispositivi in un ambiente gestito.

1. Apri PowerShell come amministratore. Nota: se disponibile, puoi usare anche Windows Terminal (amministratore).
2. Esegui quindi il comando di query del TPM:

Get-WmiObject -Namespace "Root\CIMV2\Security\MicrosoftTpm" -Class Win32_Tpm

3. Nell’output cerca le voci seguenti:
   1. IsEnabled_InitialValue = True – Indica che l’hardware TPM è abilitato.
   2. IsActivated_InitialValue = True – Conferma che il TPM è stato attivato nel BIOS/UEFI.
   3. SpecVersion = 2.0 o superiore – Conferma che la versione del TPM soddisfa il requisito di Windows 11.

Dopo aver verificato che il TPM non viene rilevato o è disattivato, abilitalo nelle impostazioni del BIOS/UEFI. Il metodo seguente spiega come farlo.

Come abilitare il TPM 2.0 nel BIOS/UEFI

Anche se alcuni passaggi possono variare in base al dispositivo, puoi abilitare il TPM 2.0 dalle impostazioni UEFI e BIOS. Ecco come procedere:

1. Il primo passaggio è riavviare il computer. Premi il tasto che apre il BIOS/UEFI non appena lo schermo inizia il riavvio. Può essere F2, F10, F12, Canc o Esc, a seconda della configurazione del PC.
2. Una volta nel BIOS/UEFI, vai alla sezione Security, Advanced o Trusted Computing. La posizione esatta dipende dal produttore.
3. Individua e abilita il TPM.
   1. Sui sistemi Intel cerca PTT (Platform Trust Technology) e abilitalo.
   2. Sui sistemi con chipset AMD individua e abilita fTPM (Firmware TPM) o la configurazione AMD fTPM.
   3. In alcune versioni del BIOS la voce può comparire come TPM Device o Trusted Platform Module.
4. Premi F10 (o il tasto indicato) per salvare le modifiche e riavviare.
5. Infine, verifica se il TPM è abilitato in Windows usando tpm.msc o PowerShell.

Le interfacce però cambiano da produttore a produttore. In alcuni casi le opzioni relative al TPM risultano non disponibili finché non viene applicato un aggiornamento del firmware.

Criteri di gruppo e casi d’uso di sicurezza del TPM 2.0

Una volta abilitato, il TPM 2.0 sblocca un’ampia gamma di caratteristiche di sicurezza che puoi configurare tramite i Criteri di gruppo di Windows. Queste impostazioni rafforzano la sicurezza del sistema, proteggono i dati sensibili e riducono le possibilità di attacco informatico, soprattutto negli ambienti enterprise.

Casi d’uso del TPM nei Criteri di gruppo

• Crittografia unità BitLocker. Il TPM memorizza in modo sicuro le chiavi di crittografia, che consentono di crittografare le unità e proteggono i dati anche se l’unità viene rimossa. Inoltre, puoi applicare le policy BitLocker tramite i Criteri di gruppo.
• Credential Guard. Utilizza la sicurezza basata sulla virtualizzazione per isolare le credenziali di accesso dall’OS, proteggendole dal malware. Si appoggia al TPM per archiviare e proteggere i segreti e contribuisce ai controlli di integrità del sistema.
• Convalida dell’avvio protetto. Il TPM aiuta a convalidare l’integrità del firmware e del bootloader durante l’avvio, impedendo l’esecuzione di rootkit e bootkit (tipi di malware che attaccano la sicurezza di rete) prima del caricamento di Windows.

Come accedere alle policy del TPM e configurarle

1. Apri la finestra di dialogo Esegui con la scorciatoia Win + R, digita gpedit.msc e premi Invio. Si aprirà l’Editor Criteri di gruppo locali (non disponibile nelle edizioni Home di Windows).
2. Vai a:

Configurazione del computer > Modelli amministrativi > Sistema > Servizi Trusted Platform Module

3. A questo punto puoi configurare policy come:
   1. Abilitare o limitare l’uso del TPM per BitLocker.
   2. Consentire l’attestazione remota dei dispositivi protetti da TPM, così gli amministratori IT possono verificare che i sistemi non siano stati manomessi, anche quando si trovano fuori sede.
   3. Imporre l’uso di una chiave di avvio o di un PIN basati su TPM.

Risoluzione dei problemi del TPM 2.0

Durante l’abilitazione del TPM 2.0 potresti incontrare alcuni problemi. Ecco i più comuni, con le relative soluzioni.

Problema: il TPM non viene rilevato

Se la Console di gestione TPM e PowerShell non rilevano alcun TPM, controlla questi aspetti:

• Versione del firmware. Potresti avere un BIOS/UEFI obsoleto che non supporta il TPM. La soluzione migliore è visitare il sito del produttore del sistema (HP, Lenovo, Asus, ecc.) per scaricare l’ultima patch e aggiornare il BIOS sul tuo PC Windows.
• Assenza dell’hardware. Sui PC meno recenti (precedenti al 2016) e su quelli assemblati su misura il TPM potrebbe non essere installato fisicamente. Controlla le specifiche della scheda madre per confermarne la presenza. Puoi provare a:
  • Cercare il modello della scheda madre sul sito del produttore. La maggior parte dei manuali include una sezione sul supporto TPM, dove puoi scoprire se esiste un connettore per un modulo aggiuntivo.
  • Verificare la presenza di un connettore TPM. Alcuni desktop hanno sulla scheda madre un connettore TPM in cui è possibile installare un chip TPM discreto. In tal caso puoi acquistare un modulo TPM compatibile dal produttore.
  • Controllare nel BIOS/UEFI le opzioni relative al TPM firmware (fTPM/PTT). Molti sistemi moderni includono un TPM basato su firmware che puoi abilitare dal BIOS. Prova a ricontrollare le impostazioni del BIOS per avere la certezza che non sia presente.

Problema: è richiesta la password del BIOS

Se le impostazioni del firmware sono bloccate, serve una password di amministratore o supervisore per modificare le configurazioni di sicurezza, compresa l’abilitazione del TPM. Puoi recuperare le credenziali tramite il reparto IT oppure consultando il manuale o la documentazione del produttore.

Problema: rilevamento del TPM incoerente

Sui sistemi con l’avvio rapido attivo il TPM potrebbe non inizializzarsi completamente durante un riavvio. Per disattivarlo, segui questi passaggi:

1. Apri il Pannello di controllo e vai a Opzioni risparmio energia.
2. Seleziona quindi Specifica comportamento pulsanti di alimentazione e fai clic su Modifica le impostazioni attualmente non disponibili.
3. Deseleziona Attiva avvio rapido.
4. Riavvia e ricontrolla lo stato del TPM.

Come reimpostare il TPM

Se il TPM si comporta in modo anomalo o è stato usato in precedenza in un altro ambiente, puoi reimpostarlo così:

1. Apri la finestra di dialogo Esegui (Win + R) e digita tpm.msc. Premi Invio per aprire la Console di gestione TPM.
2. Nel riquadro di destra seleziona Cancella TPM. Se l’opzione non è presente, fai clic su Aggiorna.
3. Segui le istruzioni e riavvia.

IMPORTANTE: la cancellazione del TPM può eliminare le chiavi associate a caratteristiche come BitLocker, impedendoti di accedere ai file crittografati. Importa ed esegui il backup delle chiavi di ripristino e di crittografia per scongiurare questa eventualità.

Abilitare il TPM 2.0 mantiene sicuri i tuoi sistemi Windows 11

Abilitare il TPM 2.0 sul tuo PC e negli ambienti gestiti è fondamentale per garantire la conformità a Windows 11 e sbloccare caratteristiche di sicurezza come BitLocker e Credential Guard.

Puoi verificare lo stato del TPM con tpm.msc o PowerShell e accertarti che la versione sia 2.0 o superiore. Se non viene rilevato, accedi alle impostazioni del BIOS e abilita PTT e fTPM. Una volta attivato, puoi usare i Criteri di gruppo per applicare le protezioni basate su TPM, integrandole nel tuo processo di provisioning.