Windows 11 アーカイブ - IoT MCUのHappyTech

TPM SoC Microsoft Plutonプロセサ搭載PC 5月発売

2022年1月14日2022年1月21日 WithHappy

Microsoft Plutonプロセサとは、Windows 11アップグレート要件のTPMとCPUをSoCで一体化し、より強固なセキュリティを実現したWindows PCのことで、2022年5月発売予定のRenovo ThinkPad Z16/Z13が初のPlutonプロセサ搭載PCです。

Microsoft Plutonプロセサ

Microsoft Pluton（出展：Microsoft News Centor）

現行のTPMは、CPUとは別チップです。このため、TPMセキュリティを破る方法が公開されています。

この対策にMicrosoftは、TPMをSoC（System on Chip）でCPUと一体化した「Microsoft Plutonプロセサ」を、AMD、Intel、Qualcommと共同開発すると2020年11月に発表しました。

Microsoft Plutonプロセサ搭載PCのSoCセキュリティサブシステムの更新は、Windows Updateと連動しており、定期的なシステムセキュリティ更新が実行されます。

スマホ、Xbox標準のセキュリティ一体化プロセサ

SoCでセキュリティ機能を一体化したプロセサは、スマホでは標準的、ゲーム機のMicrosoft Xbox Oneでも2013年に既に導入済みです。また、コチラの関連投稿4章：TrustZone内蔵Cortex-M33にも近づいた感じがします。

スマホやXboxに遅れること約10年目の2022年、一般的なPCへもMicrosoft Plutonプロセサ（Ryzen PROシリーズ＋SoC TPM）が、Renovo ThinkPad Z16/Z13へ導入されました。終わりが無くエンドレスなセキュリティ対策の実例です。

Pluton PCの今後

気になるのは2点。1つは、Microsoft Plutonプロセサが、Windows 11以降（例えばWindows 12）の一般PC要件になるかもしれない点😥、もう1つが、自己責任で「TPM 2.0回避アップグレート」したTPM無しWindows 11のTPM更新（Windows Update）はどうなるか、という点です。

2つ目に関しては、昨年TPM 2.0を回避して11アップグレートした先進ユーザが、様々な情報をネットに投稿してくれると思いますので期待しています。

仮にTPM以外の月例セキュリティUpdateは成功、今年秋のWindows 11大型更新もTPM 2.0装着PC同様成功するなら、2025年10月サポート終了Windows 10の後継OSとして、11の選択もあり得ます。OSアップグレードに対しPCハードウエアの著しい性能向上をMicrosoftが求めなかった過去経緯ともマッチするのは、このアップグレード方法です。

もちろん、TPM 2.0非搭載リスクは、自己責任です。このリクスを根底から無くすには、PCのPluton PC化が必須です。Windows 11は、PC Pluton化への過渡期用OSで、だからこそ、TPM回避Windows 11インストールをMicrosoftが公式発表したのかもしれません。

セキュリティ起因のPluton PCが一般PCに普及すれば、次期Windowsは、Pluton PCを要件とするでしょう。今後もMicrosoft動向とWindows 11改良、TPM回避先進ユーザ情報に注視したいと思います。

WindowsのTPM使い方

2021年12月10日2021年12月24日 WithHappy

Windows 11アップグレート要件のTPM 2.0の使われ方を調査しました。WindowsがどのようにTPMを使っているかを知れば、11アップグレート足切り要件を筆者が納得し、加えて、IoT MCUセキュリティのTrustZone開発工数を顧客へ説明する時、参考になるかもしれないからです。

WindowsのTPM

Windows 10から追加・変更された現行Windows 11の機能は、生産性や弊社ビジネス向上に直結するものは無いと思っています。対処法などは、最悪Windows 11へアップグレードする際に備え収集中です。

アップグレード要件で最も不満な点が、TPM 2.0です。このTPMで何を行い、なぜ要件になったのかを整理してみます。

その結果、TPM 2.0は、11アップグレード要件というよりも、国際標準規格制定団体：Trusted Computing Group（TCG）が2014年10月にリリースし、TPM 2.0としてISO/IEC標準セキュリティ規格となったPCの普及が目的、と結論しました。

来年秋のWindows 11大型更新後、弊社PCの11アップグレート状況が変わるか楽しみです。

TPM利用Windows HelloとBitLocker

暗号化、乱数⽣成、暗号鍵⽣成と保存、デジタル署名がWindowsのTPM 2.0チップ利用箇所で、MacのBoot CampでもWindows 11が動作しない理由は、コチラに良くまとまっています。

ちなみに、TrustZone対象も、TPM ２.0と同様になる可能性も高く、特に、暗号化アルゴリズム可変の機能は、優れています。アルゴリズムを変更するWindowsのOTA相当にも注目しています。

Windowsは、これらTPM機能を利用し、パスワードを使わずにWindowsへサインインする「Windows Hello」や、内部ストレージ暗号化の「BitLocker」を実行します。また、「Microsoft Azure Attestation」（MAA）などにも使うようです。

WindowsのTPM使い方例（出典：セパゴのITブログ） — WindowsのTPM使い方例（出典：セパゴのITブログ:https://www.sepago.de/）

BitLockerやWindows Helloは、Windows 10でも利用した企業向けノートPCユーザもいるかもしれません。ただ、個人ノートPCや自宅PCユーザは、Microsoftアカウントを使うWindows HelloやPINの代わりに、ローカルアカウントの利用者が多いハズです。手間が掛からないことや、PC使用履歴をクラウド記録されるのが嫌だからです。

Windows 11は、Microsoftアカウント利用が基本ですが、アプリケーション個人認証にスマホ併用も必須になりつつあります。例えば、Googleログインも、スマホ2段階認証が有効に変わりました。

従って、例えWindows 11でTPMパスワードレス認証後でも、Googleログイン2段階認証は必要になる訳です。一方、TPM 2.0未搭載Windows 10でも、BitLockerやWindows Helloは利用でき、スマホ2段階認証などで様々なアプリケーションのセキュリティにも対応可能です。

つまり、TPMは、Windows 11の技術的アップグレード要件ではなく、OSセキュリティ強化が目的、というのが筆者TPM評価です。

ちなみに、ローカルアカウントによるWindows 11セットアップ方法は、コチラにまとまっています。

TPM理由

Microsoftが強調するOSセキュリティ強化には、TPMと手間暇、処理能力が必要です。処理能力要件が、Windows11対応CPUです。Windows 10が正常に動作するCPUでも、この能力要件を満たさないCPUも多数あります。理由は不明ですが、今回はTPMにフォーカスするため追求しません。

さて、筆者のようなセキュリティ素人には、TPMセキュリティ強化分と便益（手間暇）比を、ゲーム/個人/企業などのPCユースケース毎に評価、公表してほしいです。現行Windows 11は、最強セキュリティを求める企業向けユーザのみを対象にしている気がします。

仮に、Windows 11普及にTPMセキュリティ強化が障害になっているとMicrosoftが判断すれば、コチラの関連投稿2章のユーザアカウント制御のようなセキュリティを弱める対策を打出すと思います。

好みのセキュリティレベル設定は、個人ユーザに歓迎されるハズです。既に、TPM回避Windows 11インストール公式発表などがその現れです。これは、Windows 10サポート終了2025年10月14日が近づけば、より効果を発揮します。

しかし、Windows 11の魅力が現行のままなら、2025年10月以降は、Mac/Linuxなどの別OSやWindows 365などに乗換えるユーザも少なくないと思います。11乗換魅力の無さが、普及を妨げているからです。

TPM の理由は、最もセキュリティに敏感で、新PC購入/入替えも容易な企業向けPCユーザへ、ISO/IEC標準セキュリティ規格PCへの買換え動機付けだと思います。

TrustZone Cortex-M33はM4比2倍説明応用

IoT MCU顧客へ、Cortex-M33 TrustZone活用開発工数は、Cortex-M4比2倍となる説明が必要と前稿で書きました。

2倍根拠は、Cortex-M33/M4動作周波数比、Secureと通常の2プロジェクト同時開発必須などです。これらは、目に見える差分です。しかし、セキュリティに関しては、リスクが増減という話ばかりで、数値で表せないセキュリティ差分を、顧客に納得してもらえるかは、正直分かりません。

しかも、TrustZone活用には、通常の開発スキルに加え、セキュリティスキルも必要です。組込み開発は、1人で全て担当することも多いので、セキュリティ知識は持てても、利用スキル：暗号化ライブラリ選択やAPI利用法などに限定したいハズです。

セキュリティの詳細内容は、一般的なIoT MCU開発者には背景知識が少ないため、根本理解は困難でしょう。この状況で、セキュリティ利用スキルも必要となるTrustZone活用開発の差分を、顧客に上手く納得してもらうには、開発者として何らかの工夫も有効かもしれません。

Windows 11のTPMも、上記TrustZoneと全く同じ状況だと思います。そこで、現時点のTPMを整理しました。

今後Microsoftが、どのようにTPMの理由をユーザへ説明（12/4更新）していくかを、IoT MCU顧客へのTrustZone Cortex-M33開発工数が、M4比、2倍の説明にも応用したいと考えています。

実務的には、セキュリティの根本理解よりも、この方法の方が近道の気がします😅

Windows 10 21H2大型更新成功

2021年11月26日2021年12月10日 WithHappy

2021年11月17日、Microsoftは、Windows 10 21H2大型更新を一般公開しました。数年前から投稿してきたMediaCreationTool21H2を使った手動更新方法で、10月18日に弊社Windows 10 PC 3台を更新し、今日現在トラブルはありません。

21H2大型更新後OSビルド1348から1387へ更新、Windows 11アップグレートも可能

朗報は、Windows 10大型更新が、年1回へ変更されたこと、また、今回の21H2更新規模は小さく、今後も小規模更新を繰返し、4年後の2025年10月14日サポート終了を迎えるだろうことです。

安心、安全、安定度の高い最新Windowsを望むユーザは、今日現在、Windows 10 21H2が最適です。

Windows 10 21H2手動大型更新方法

Windows 10 21H2大型更新方法と手動更新メリット/デメリットを、簡単にまとめたのが下表です。詳細は、前回、前々回と同じですので参照してください。

注意点は、旧21H1を起動した状態で、新21H2 USBセットアップを実行することです。

Windows 10 21H2手動大型更新手順

準備

①MediaCreationTool21H2.exeダウンロード

②USB/DVDインストールメディア作成

③21H1バックアップ（更新失敗リカバリ対策）

更新

①21H1起動状態で作成USBのsetup.exe実行

②21H2引継ぎ項目選択後インストールクリック

③21H2大型更新が自動で完了

最大メリットは、ユーザタイミングで大型更新できることです。また、Windows 21H2更新後でもWindows 11アップグレートは、もちろん可能です。

手動大型更新メリット/デメリット

メリット

・ユーザがいつ始まるか判らない大型更新を開始できる

・バックアップを取るタイミングが良く、リカバリにも適す

・アプリとユーザデータ両方引継ぎで更新後、即PC利用可能

・USBは複数PC更新に使えWindowsトラブル回復ツール兼務

デメリット

・レジストリがデフォルトへ戻るのでユーザ変更時は再設定必要

Windows 11新機能とWindows 10最適理由

例えば、Windows 11新採用のタスクバーのモニタ中央配置。Windows 10風に左配置へ戻せますが、タスクバー中央配置の必然性は無いと思います。このように、PC本来の生産性や操作性を向上させる新OS機能が、Windows 11には少ない（≒無い）と感じます。

Windows 11アップグレート要件TPM 2.0は、コチラに2021年11月16日のMicrosoft見解があります。PC搭載カメラ/指紋認証/スマホを使った2要素認証など、既に存在する様々な対策に加えてTPM採用の利点は、理解できます。

しかし、重要情報をハッカーなどから守るセキュリティ強化策がTPMで、重要ですが縁の下の力持ち、新しく何かを作り出す訳ではありません。

Microsoftは、当初TPM 2.0をWindows 11足切り要件とし、新PC購入の需要喚起、起爆剤にしたかったと推測します。既にTPMを破る方法も公開されていますので、TPM過信は禁物です。

しかも、欠点もあるハズです。例えば、TPMモジュール故障時PC起動はできるか、TPM再設定は簡単か、TPM認証失敗時の手間は、などなど、セキュリティ根幹強化は使い勝手も良くなるとは限りません。

素人考えですが、効果と失敗を含めた手間など利用形態に応じて、ユーザがセキュリティリスクバランスを設定できるか否かだと思います。ユーザアカウント制御設定に近いイメージです。設定が攻撃対象になると元も子もなくなる訳ですが、既存2要素認証などで攻撃回避して……、抜け穴ありそうですが…😅。

要は、セキュリティは、貴重なユーザPC能力をも消費するということです。

ネットカフェPC利用も多い筆者は、PCハードウェア依存のアクセス制御は好みません。半導体不足の昨今では、持ち運び可能な高性能ノートPC新規入手は、新車同様、困難になりつつあります。

Microsoftが本当にTPM必須と考えるなら、TPMを回避したWindows 11インストール方法の公式発表やアップグレート要件緩和など、矛盾行動も見られます。半導体不足終息が不明であることから、新PC需要喚起の方針ブレだと思います。

また、次期OSのWindows 365とWindows 11両方に開発リソースを分けるのは、（余計なお世話ですが）Microsoftにとって得策とは思えません（Windows 365/11は、コチラの関連投稿参照）。Windows 11初期トラブルが、来年2022年秋Windows 11大型更新後も続くようなら、Me/Vistaの二の舞もあり得ます。

大規模変更が無いWindows 10へは、セキュリティやバグ修正などPC本来の安心、安全、安定度を高める更新は、2025年10月14日サポート終了まで提供されます。

まとめ

Windows 10 21H2への手動大型更新方法、メリット/デメリットをまとめました。

Windows 11新機能や初期トラブル状況から、今日現在Windowsユーザには、Windows 10 21H2が最適とした理由を説明しました。

Windows 10サポート終了2025年10月14日までに、Windows 365/11、新PC購入、他OS乗換などの対策は必要です。

あとがき：テクノロジー進化リスクと魅力の比

筆者は、MS-DOSからの古いMicrosoft Windowsユーザです。過去、Windowsアップグレートを躊躇った事は、一度もありません。もし、弊社3台PCが、全てWin 11足切り要件OKなら、今回も過去同様アップグレートしたと思います。しかし、現状は11要件緩和後もOKは2台、1台はNGです。

ノートPCは、天寿も近いので新PC購入も検討中ですが、好みのPCは価格高止まりです。さらに、新PCプレインストールOSもWin 11か10選択可能など、マスコミやSNSがバイアスをかけるWin 11が、実ユーザに歓迎されているかも疑問です。Win 11魅力不足と購入後のWin 10→Win 11はいつでも簡単ですが、Win 11→Win 10ダウングレードは大変だからでしょう。

テクノロジー進化は必須です。ただ、進化リスクと魅力の比は、リスクが勝ると現状Win 11には感じます。

COVID-19が、コンタクトレス・テクノロジーを加速中なのは確かですが、同じく加速した半導体不足が、Win 11に追風か逆風かは、MS動向注視とWin 11魅力アップが必要だと思います。22年秋の11大型更新後でも、アップグレートは遅くは無いと思います。

逆に2022年は、最新、高安定Windows 10 21H2でIoT MCU開発に注力できる1年と言えます👍。

組込み開発基本のキ：IoT MCUセキュリティ

2021年9月17日2022年1月5日 WithHappy

本稿は、IoT MCUソフトウェア/ハードウェア開発者向けTipsで、「MCU開発基本のキ」シリーズの第1回目です。MCUベンダ横断的に開発ポイント、Tipsなどを不定期に投稿します。

今回は、そもそもIoT MCUに、なぜセキュリティが必要かという最も基本的な点について示します。

幅広い技術がIoT MCU開発者には必要です。しかし、全てを理解し、時々刻々変化する状況に対応するには時間がいくらあっても足りません。情報が多く幅広いからこそ、短時間で効率的なIoT MCU開発のためのポイントやTipsが必要です。

このポイントやTipsについて筆者個人の考え方を示します。これを、たたき台にして、ブログ読者の方々の考え方に発展・貢献できれば幸いです。

接続とセキュリティ

IoT MCUは、インターネットなどに接続し動作することが前提です。

人がネットに接続する時は、事前にアカウント登録し、IDやパスワードなどの登録情報を接続時に手入力、ネット側で受信データと事前登録情報と比較し接続を許可します。

IoT MCUは、人の手入力の代わりに自動で登録情報をネット送信することで接続します。この時大切なのが、IoT MCU内部に保存済みの登録情報です。登録情報をサイバー攻撃やハッカーから守る手段がIoT MCUセキュリティです。

ハッカー、セキュリティ、OTA

ハッカーとセキュリティは、「いたちごっこ」を繰返します。

例えば、コチラのFirefox 91とWindows 10規定ブラウザー設定、Windows 11で更に複雑化する設定がその例です。この場合、ハッカー役がFirefox、セキュリティ役がWindow設定です。

様々なIoT MCUセキュリティ手段がありますが、ポイントは、守りは攻めに対する対処療法なので守りの追加や更新が必要となる点です。

つまり、個々のセキュリティ手段を知ることよりも、何を（IoT MCUの登録情報や秘密鍵などの重要情報）どのように守るかの方がより重要です。ソフトウェアによる守りよりもより強固な内蔵ハードウェアで重要情報を守るのが、ARM Cortex-M33コアのTrustZoneです。

いたちごっこの終息策として、MCU内蔵TrustZoneとその制御ソフトウェアを採用した訳です。

Windows 11で導入されるTPM 2.0も、TrustZone相当です。しかし、TPM保護PCから情報を抜出す方法という記事もあります。セキュリティには終わりが無いと言っても良いでしょう。

終わりが無いので、OTA（Over The Air）によりセキュリティ手段の追加や制御方法更新が必要になる訳です。OTAは、IoT MCUセキュリティ追加更新が本来の目的で、ソフトウェアバグ修正は副次的だと思います。

接続伝送路エラー訂正

無線であれ有線であれ、ネット接続の伝送路にノイズ混入の可能性があります。ただ、IoT MCUセキィリティが正常か異常かの判断は、受信データにノイズ（誤り）が無いことが前提です。

そこで、受信側に、受信データに混入ノイズを除去する機能があれば便利です。

2021年9月9日、米）MITは、あらゆる種類のデータ誤り検出し訂正するGuessing Random Additive Noise Decoding (GRAND)採用のハードウェアデコーダを開発しました。128ビットまでのコードを約1u秒でデコードでき、高速通信規格5GやIoT分野での利用が期待されています。

まとめ：IoT MCUセキュリティ3Tips

ネット接続が前提のIoT MCUには、サイバー攻撃から内蔵重要情報を守るセキィリティ必須
セキュリティは、対処療法なので機能追加更新OTA必須
より強固に重要情報を守るTrustZone、受信データ誤り検出訂正GRANDデコーダなどのセキュリティ対策ハードウェアが、IoT MCU要件になる可能性あり

IoT MCUセキュリティ用語、関連性、対策ハードウェアがご理解頂けたと思います。
※TrustZoneに似たハードウェアに、ルネサス：Trusted Secure IP(TSIP)、STマイクロ：Secure Memoryなどもあります。

セキュリティは終わりがありません。どの程度のセキュリティをIoT MCUへ実装すれば良いかを検討するには、IoTセキュリティ手引書やPlatform Security Architecture: PSA Certified認証制度などが参考になります。

但し、IoT MCU開発者に解り易いかと言えば、正直疑問も感じます。そこで、IoT MCUセキュリティ関連で、最低限開発者が押さえておくべき3項目をまとめました。

特に項目3は、初めからIoT MCUに実装済みでないと後付けやOTA更新ができません。今後の欧米IoT規格や総務省動向にも注意を払う必要があるでしょう。

補足：IoTセキュリティコスト

筆者利用ネットカフェPCのWindows 11対応チェック結果を抜粋したのが下図です。2PCのみ抜粋しましたが、他PCも同様で、全項目OKのPCは皆無でした。弊社PCも3PC中1台のみ全OKですので、Windows 11無償アップグレード可能PCは、Windows 10 PCの30%以下になりそうです。

Windows 10サポート終了の2025年10月以降、多くのWindows 10セキュリティが低下し、サイバー攻撃に弱くなります。セキュリティ対サイバー攻撃コストを示すのは大変でしょうが、Microsoftは示す責任があると思います。

同様にIoT MCU顧客もセキュリティ対策コストを望むと思います。ちなみに、Cortex-M4比、Cortex-M33 TrustZone MCUは、2倍工数必要が弊社見解です（関連投稿：Cortex-M33とM0+/M4の差分の3章）。

結論

現状判っているWindows 10とWindows 11、Windows 365の特性、類似サービスをまとめました。

Windows 10/11＝買い切り型ローカルPC OS、Windows 365＝サブスクリプション型マルチプラットフォーム対応クラウドPC OSです。

ハードウェアリスク低下、デバイス非依存の操作性とデータ保存、サイバー攻撃やセキュリティ対策のクラウド自動化など、Windows 365は、個人が従来から行ってきたWindows 10/11の保守・運用処理の殆どをクラウド任せにでき、そのメリットは大きなものがあります。

Windows 365コストは、企業向け300ユーザまでのBusinessプラン、ユーザ数無制限のEnterpriseプランが発表済みです（コチラにBusinessプラン感想記事があります）。

個人向けプランのコスト次第ですが、本来のPC創造へより注力できる環境がクラウドPC OS：Windows 365で提供されると言えそうです。Windows/Mac/Linuxなどのこだわりが不要となり、ローカルPC OSの終焉の始まりを感じます。

大好評のためWindows 365無料試用は、1日限りで受付中止となりました。Windows 365で、評価ボードやデバッガを使ったMCUクロス開発環境を実現できるかを受付再開後、試したいと考えています。

買い切り型とサブスクリプション型

PC作業に必須のWord/Excel/PowerPointなどのMicrosoft Officeは、日本だけで主流の買切り型と、欧米で人気のサブスクリプション型の2種類の提供方法があります。

買い切り型は、Windows、Macそれぞれ専用版があり、更新やセキュリティ管理などの運用面は購入者個人が行います。一方、サブスクリプション型は、Windows/Mac共通で、1ユーザ当たり複数異種PCの利用も可能です。運用面は、クラウドが常に最新版へ自動更新します。

現在のWindows 365情報は、企業向けのみで個人向けコストなどは未発表、Windows 11も未知の部分が多いのですが、Windows 10/11＝買い切り型ローカルPC OS、Windows 365＝サブスクリプション型、かつWindows/Mac/Linux/iOS/AndroidマルチプラットフォームクラウドPC OSと考えて良さそうです。

クラウドPC OSメリット：クラウドPC OS対ローカルPC OS

従来動作していたWindowsアプリケーションは、クラウドPC OS上でも動作します（ゲームアプリを除く筆者予想）。アプリインストは個人が行い、クラウドPCハードウェア構成も金額次第で高性能化可能です。クラウドPCでは、個人によるハードウェア経年変化対応などは不要です。
個人PC環境のハードウェアトラブルリスクは下がると思います。

Mac上でWindowsアプリを動作させるBoot CampやParallels Desktop、Linux上でのwineなどは不要です。クラウドPC OSへインストールしたWindowsアプリを、ブラウザ＋RDP（Remote Desktop Protocol）クライアント経由で、手元のローカルPC/スマホ/タブレットで操作でき、アプリ作成データもクラウド内に自動保存されます。
デバイスに依存しない操作性と自動データ保存がもたらすメリットは大きいです。

また、次々に発生するサイバー攻撃やセキュリティ対策を個人が行うのは大変です（Win 10 Cumulative Updatesが例）。OS部分だけでもセキュリティ対策をクラウドが代行すれば、その分、個人は本来の価値創造に注力できます。
個人セキュリティ対策は楽になると期待できます。

最も類似するサービスが、メールです。ローカルメールが、Windows 10/11、クラウドメールがWindows 365に相当します。容量管理やメールアプリ更新の手間が不要、使用場所やデバイス制約もないクラウドメールを使い始めると、ローカルメールは不便で使えなくなります。コスト次第でWindows 365も同様になりそうで、ローカルPC OSもゲーマー以外は終焉かな？と感じました。

速報：IoT MCU RND脆弱性、解決策無し

2021年8月11日、IoT MCU RND脆弱性に解決策なしという記事が掲載されました。脆弱性を指摘したBishop Foxによると、解決策は無くアップデートが提供された場合には迅速に適用することをアドバイスしたそうです。

IoT MCUも、Windows 365のような仮想MCU化を願う記事内容です。

Windows 11ショックとTPM

2021年7月16日2021年11月6日 WithHappy

今秋リリース予定のSun Valleyは、新OSのWindows 11でした。TPM 2.0が障壁になり、所有3PCのうち2PC（Note/Backup）はWindows 10からWindows 11へ無償アップグレードができません。アップグレード要件に変更が無ければ、MainのみWindows 11になり、残りはWindows 10のまま･･･、Windows 11ショックです。

このWindows 11ショック原因のTPM、現状の対処法などをまとめます。

TPM (Trusted Platform Module)

TPMは、MicrosoftがWindows 11（以下Win 11）要件にした専用ハードウェアで、PCを起動するBIOS/UEFIのデバイスです。セキュリティキー、暗号鍵や機密性の高いユーザーデータの保護・保管機能を持ち、最新版Version 2が必要です。

このTPM機能を既に持っているPCでも、Win 10では未使用が多かったのが判っています。弊社Main PCもそうで、設定を変更し最初の図のようにWin11対応チェック結果が全てOKになりました。

テレワークでPC需要が高いこの時期に、敢えてTPMをWin 11アップグレード要件にしたMicrosoftの狙いが、もしも新しいPCへの買換え需要喚起だとしたら、残り2PCは、WindowsからLinux MintへのOS乗換も対処法に入れます。

※2021年7月8日、Linux Mint 20.2 MATEがリリースされました。サポート期間は2025年までです。

弊社テレワーク利用中のMCU開発アプリケーションは、マルチプラットフォーム対応なのでOS乗換に問題はありません。

MCUのTPM相当機能

MCUにも暗号鍵などを保管するTPM相当の外付けチップがあります。例えば、関連投稿のNXP）EdgeLock SE050、Maxim)DS28E38などです。これらは、MCU外付けのセキュリティ強化ハードウェアです。

また、これら外付けハードウェアを使わずに、セキュリティ強化内蔵Flashへ機密情報を保存するCortex-M33コアMCUなどもあります。

これらMCUへTPM相当の機密情報保持機能を実装すると、開発工数が増えることが判っています。

Win 11要件のTPMは、IoT MCUがMicrosoft Azure接続時、上記どちらかの機密情報保持機能を持たないMCUは、例え接続中であっても、将来のセキュリティ脅威を理由に接続拒否することに近いと思います。

MCU開発者は、新たな開発案件が増えて喜びそうですが、Azure利用中の顧客は、納得するでしょうか？　Azure以外のAWSやGoogleクラウドへの移行にならないでしょうか？

TPM効果

なぜBIOS/UEFIのTPMハードウェアなのか、OSソフトウェアで代替しない（できない）理由は何か？
TPM情報は、PCのバックアップアプリでバックアップ/リカバリできるか？
BIOS/UEFI更新時、TPM情報は保持されるのか？
TPM不具合発生時、Win 11は起動しないのか？
PC廃棄時のTPM情報の完全削除とその確認方法は？
TPM搭載Win 11 PCと、非搭載Win 10 PCのサイバー攻撃防衛差は、どの程度か？

など、TPM採用の明確な理由とその効果を示した情報は、今のところ見当たりません。Win 10でTPMをデフォルト未使用としたのも、なんらかの理由や副作用があったからだと思います。

定性的には、セキュリティ対策が重要であることは解ります。しかし、定量的な比較や副作用も知りたいです。

具体的に、TPM無し（未使用）BIOS/UEFI のWin 10 PCと、TPM有効化Win 11 PCで比較し、攻撃防御差が大きいなら費用対効果によりWin 11対応の新PC購入もありえます。

もちろんPCハードウェアも経年劣化します。しかし、パーツ単体交換が容易なのもWin PCのMacやスマホに無い特徴です。最初の図のようにWin 10で快適に動作するハードウェアが、BIOS/UEFI TPMだけでNGになるのは、「足切り」に近いと感じます。

Win 10と同様、Win 11でもユーザ責任でTPM未使用オプションが設定できれば済む話です。Win 11プレビュー版は、TPM無しでも動作します。このオプション相当は既に存在します。

TPM効果、その具体的・数値的な攻撃防御差評価は、必要でしょう。

Windows 11とWindows 10の運用対処法

現在判っているWin 11とWin 10の主な運用面差が下表です。

	Windows 11	Windows 10
OSコア	新OS（Cobalt）	旧OS
大型更新	年1回	年2回
サポート期間	大型更新後2年	大型更新後1.5年サポート終了2025年10月

Win 11の下図のような新GUIに対して、使いなれたWin 10やWin 7に近いGUIへ戻す無償ツールが既にあります。筆者もOSの見た目の新しさは不要です。現行Win 10でさえ、上記ツールを使って効率的なGUIに変えて運用中です。

当然ながら新しいOSコア（Cobalt）ですので、旧OS比、見た目以外の性能も改善されるでしょう。

しかし、Win 10の旧OSコアがトラブルなく安定するまで数年を要したことや大型更新回数が年1回に減ったことも考慮すると、最低でもWin 11新OSコア（Cobalt）安定に1年はかかると思います。

従って、次回Win 11大型更新の1年後まで、アップグレードを待つのは、安全策として良さそうです。

Windows 10サポート延長

Win 10のサポート終了は、2025年10月14日となっています。しかし、良い意味で撤回し、「Win 7のようにサポート終了が延長」される可能性は高いと筆者は思います。

その理由は、Win 10 Version 21H1が、20H1からの3世代、2年に渡る同じOSコアの小規模更新をした結果、更新トラブルが減り安定度が増したこと、Win 11へ更新できない多くのWin PCの「最後の受け皿OS」となること、などです。

サポート終了のWin 7、2023年1月10日にサポート終了予定のWin 8.1のPCは、足切りTPMのためWin 11へのアップグレードが不可能です。Win 7/8.1世代のPCは全てWin 10になり、アップグレードしないWin 10を含めて2025年10月までこれらPC群は稼働できます。

4年半後、2025年10月予定のこれらPC群へのWin 10サポート終了は、多くのユーザ反感を買うと同時に、セキュリティ更新無しで稼働するPCを多数生みます。

何らかの方法でWin 10へTPM相当機能を実装するか、または、セキュリティサポートを延長することは、これまで足切りアップグレードを避けることでシェアを伸ばしてきたMicrosoftの宿命だと思います。

まとめ

2025年10月14日のWindows 10サポート終了までは、Windows 11 TPM要件のため、所有３PCをWin11とWin10の2種運用とするか、それとも3PCともWin10運用とするか、今秋のWindows 11リリース後のトラブル状況や、前章までに示した対処法で決める予定です。

ポイントの1つは、TPM未使用のWin 10 PCとTPMを使うWin 11 PCのサイバー攻撃防御差、その費用対効果です。
※ネットカフェのWin PC移行状況でこの評価結果が判ると思います。

ただMCUテンプレートを新たに開発する立場からは、最新PC環境、つまりWin 11で新開発テンプレートの動作確認は必須です。2 OS運用は余分に手間が掛かりますが、Win11とWin10の併用にならざるを得ない、というのがWindows 11ショックの根源です😣。

なおMicrosoftは、Win 11要件の見直しも行っているようです。TPM相当手段や未使用オプションなどに期待しています。また、7月14日発表のWindows 365 Cloud PCも、料金次第ですが気になる存在です。

*　*　*

速報：Microsoftは、7月15日（米国現地時間）、Windows 11とは別に、次期Windows 10バージョン 21H2 、サポート期間1.5年の提供を発表しました。また、5年サポート期間の Windows 10バージョンLTSC（Long-Term Servicing Channel）も提供するようです。今秋、提供開始予定です。

タグ: Windows 11