Qual è il modo corretto per rimuovere i segreti bitlocker da un TPM quando si restituisce un dispositivo per la garanzia?

Windows rifiuta di separarsi dai segreti di Bitlocker che si basa sull'avvio

Non ho trovato documentazione ufficiale da Microsoft per come rimuovere i segreti bitlocker dal TPM senza che una copia del segreto venga scritta nel volume in chiaro. Ho provato a eliminare i segreti del bitlocker usando i comandi in esecuzione all'interno dell'istanza di Windows che i segreti stavano proteggendo. Ogni sforzo che ho fatto per farlo è fallito. Sembra che tu possa cancellare il segreto dal TPM, ma solo una volta che il segreto viene scritto nel volume che sta proteggendo in chiaro. Suppongo che ciò impedisca agli utenti di TPM di finire inavvertitamente in uno stato in cui non possono sbloccare il volume di sistema protetto da Bitlocker.

In altre parole, ogni data installazione di Windows rifiuta di separarsi dai segreti del bitlocker che deve essere avviato. Vorrei davvero poter trovare alcune indicazioni ufficiali su come cancellare correttamente i segreti di bitlocker da un TPM fisicamente collegato all'archivio che sta proteggendo. Questa disposizione è comune su molti moderni tablet e computer portatili, ma non sono riuscito a trovare alcuna best practice pubblicata per la dismissione di tale dispositivo.

Sembra un'installazione di un altro OS può cancellare i segreti di Bitlocker

Ho determinato che sembra che un'altra installazione del sistema operativo che si avvia sullo stesso computer possa cancellare il TPM. In tal caso, cancellare il TPM dai suoi segreti senza che vengano scritti nel volume in chiaro dovrebbe essere raggiungibile avviando un altro sistema operativo e liberando il TPM da lì.

Premessa e procedura

Nota: non sono né esperto di sicurezza di Windows, né sono sufficientemente informato sul funzionamento interno di TPM o Bitlocker per confermare che questa premessa sia corretta o che questa sia una procedura efficace.

Questa procedura si basa sulla seguente premessa:

1. Quando il bitlocker è abilitato in modalità TPM, l'unica copia del segreto bitlocker sul dispositivo risiede nel TPM.
2. Quando un sistema operativo non protetto dal TPM viene avviato sul dispositivo, può cancellare il TPM senza accedere al segreto nel TPM.

Se la premessa di cui sopra e il mio ragionamento sono corretti, la procedura per cancellare completamente i segreti del bitlocker dal dispositivo è la seguente:

1. Avvia l'istanza di Windows protetta da bitlocker.
2. Assicurati che il bitlocker sia "attivo" per tutte le unità. Se il bitlocker non è attivato, i dati sull'unità o il segreto che può essere utilizzato per decrittografare i dati sono in chiaro sull'unità, in tal caso questa procedura non sarà di aiuto. li>
3. Spegni il computer.
4. Avvia il computer su un altro sistema operativo senza inserire il pin TPM .
5. Cancella il TPM dal sistema operativo in cui è stato avviato il passaggio (4).

Perdonami se sono errato ma TPM manterrà solo le chiavi crittografiche e non i dati. Le chiavi dell'utente e del produttore sono memorizzate su parti diverse del TPM. La reimpostazione del TPM (e delle chiavi) dovrebbe essere sufficiente- link e link

Non posso pubblicare più di 2 collegamenti, tuttavia l'articolo di Wikipedia offre una breve panoramica dell'architettura TPM, delle chiavi memorizzate su TPM e dei relativi usi.