Come verificare da remoto nei computer l’attivazione e la versione del TPM

Da un cliente dove mi trovavo a lavorare dovevamo verificare perché alcuni computer non erano riusciti a crittografare i propri hard disk automaticamente con Bitlocker come previsto dalle policy di sicurezza aziendale. Tramite MBAM (Microsoft BitLocker Administration and Monitoring) i computer dovevano comunicare con una console centralizzata e quando pronti dare il via alla criptazione dei dischi, il problema era che molti computer non riuscivano ad avviarsi perché il TPM (per maggiori informazioni) non era attivo o era della versione sbagliata. Per maggiori informazioni sul funzionamento di Bitlocker, e sulle versioni supportate di Windows, potete consultare questo articolo. Per una verifica sul computer locale della versione del TPM il comando da utilizzare è tpm.msc.

Riuscire però a contattare gli utenti per verificare insieme i problemi del loro computer si rivelava difficile, per la loro indisponibilità, e così ci siamo dovuti arrangiare da remoto grazie a Psexec e alla linea di comando.

Funzionamento

Per poter eseguire i comandi sul computer remoto bisogna avere una utenza con permessi amministrativi a livello di dominio.

Estraete il contenuto dell’archivio in una cartella qualsiasi e dal prompt dei comandi bisogna usare psexec per entrare nel pc remoto.

Il comando da utilizzare è in questo formato psexec -h -s \\nomepc cmd.exe, se il nome pc ha il simbolo meno al suo interno, non ho avuto modo di provare con altri simboli, mettete tutto il percorso tra due apici “\\nome-pc” per esempio.

Una volta avviato il comando impiegherà alcuni secondi per connettersi, la finestra del prompt dei comandi non sembra cambiare più di tanto ma nella parte alta ci dovreste trovare il nome del computer remoto.

Il comando da utilizzare per vedere se il TPM è attivo e la sua versione è questo:

wmic /namespace:\\root\cimv2\security\microsofttpm path win32_tpm get * /format:textvaluelist.xsl

In caso di TPM non attivo il TRUE della prima riga diventa FALSE e allora bisogna entrare nel BIOS del computer per abilitarlo.

TPM nel Bios

In caso di TPM disattivato bisognava cercare nel BIOS del computer la relativa voce, in genere si dovrebbe trovare in Security o qualcosa di corrispondente, e abilitarlo.

Ogni computer ha il suo tasto per accedere al BIOS e le voci per attivare il TPM potrebbero essere differenti.

In computer privi di TPM, i due comandi che abbiamo utilizzato in precedenza restituiscono dei risultati simili a questi.