Windows 11 TPM 双启动

Question

Windows 11 需要 TPM 和安全启动这一事实是否意味着我们不能再与 Linux 进行双启动设置？

Answer 1

TPM是一个无源组件；它本身不会参与启动过程，除非操作系统（或引导加载程序）专门尝试与其交互。即使操作系统不支持 TPM，您也可以双启动操作系统。

也就是说，如果您想在 Linux 中使用 TPM，即使它是由 Windows 初始化的，您仍然可以这样做。

Windows 使用它丢弃的随机“所有者密码”来初始化 TPM2...但它立即丢弃密码的事实只是告诉您正常操作不需要它。

例如，RSA“存储根密钥”以标准方式在 0x81000001 处初始化，并且可以在任何操作系统（包括 Linux）中使用。（某些工具，例如 systemd-cryptenroll，只会忽略它并生成 ECDSA 根密钥。）

（如果有必要，您仍然可以说服Windows将所有者密码存储在注册表中，尽管显然您无法恢复被丢弃的密码，因此这需要重新初始化TPM。）

目前唯一的限制是你不能使用 Linux tpm2-tss 中的高级 FAPI 工具，但这确实不是一个很大的损失；无论如何，几乎所有东西都建立在“原始”EAPI 之上。

另一方面，安全启动功能可能会引起一些麻烦。您应该仍然可以使用 Fedora 或 Ubuntu 等具有官方支持的 Linux 发行版（它们具有 Microsoft 签名的引导加载程序）。

经过一些修改，您应该能够使用 Microsoft 签名Shim来启动几乎所有支持 UEFI 的东西。（这是一种漏洞，因为 Shim 只是提示您通过哈希值授权未知的 .efi 文件。）

x86 系统上的安全启动还允许您设置自己的签名密钥以及 Microsoft 密钥。这可能会变得相当复杂，但仍然完全有可能让 Linux 内核或另一个 .efi 文件通过固件的安全启动进行完全验证。

Answer 2

任何双重启动的设备都必须支持安全启动、UEFI 和 TPM。对于大多数双启动场景来说，它很可能是行不通的。

这里和其他地方出现的许多双启动问题都是较旧的，需要非 UEFI，并且禁用了安全启动，这不适用于 Windows 11

目前它仍然是新的，但我预计严格的要求仍将存在。也就是说，任何不支持Windows 11基本要求（安全启动和UEFI）的东西都将无法工作。这意味着当前许多要求较宽松的设置将无法在 Windows 11 中运行。

虚拟机将是运行 Windows 11 多台计算机的一种更有可能的方式。