TPM 2.0 et Windows 11 : ce que les entreprises algériennes doivent vérifier

Sur le plan technique, la puce répond à la norme ISO/IEC 11889 et embarque un générateur de clés RSA/ECC ainsi qu’un générateur de nombres aléatoires matériel, si bien que la clé privée n’est jamais exposée au système d’exploitation. Chaque TPM possède une clé d’approbation (Endorsement Key) unique gravée en usine, qui sert de racine de confiance pour identifier la machine de façon certaine. On distingue le TPM discret (dTPM), une puce physique séparée soudée sur la carte mère, du TPM firmware (fTPM) intégré directement au processeur — PTT chez Intel, fTPM chez AMD — les deux étant reconnus conformes par Microsoft pour Windows 11.

Techniquement, BitLocker ne se contente pas de stocker la clé dans le TPM : il la scelle aux valeurs des registres PCR issues du Measured Boot, de sorte que toute modification du firmware, du chargeur de démarrage ou de la configuration Secure Boot invalide automatiquement l’accès au disque. Windows Hello for Business exploite le même principe : la clé biométrique ou le code PIN est liée matériellement au TPM et ne peut pas être extraite pour être rejouée sur une autre machine. Le TPM est également le socle de la Virtualization-based Security (VBS) et de l’intégrité du code protégée par hyperviseur (HVCI), deux mécanismes que Microsoft active par défaut sur les configurations certifiées Windows 11.

Pour une vérification en ligne de commande, plus adaptée à un parc de plusieurs postes, la commande PowerShell Get-Tpm renvoie l’état complet de la puce (présence, activation, propriété) et peut être exécutée à distance via un script de déploiement. La classe WMI Win32_Tpm expose les mêmes informations pour un inventaire automatisé, ce qui évite d’ouvrir tpm.msc manuellement sur chaque machine. Dans tpm.msc, une puce correctement reconnue affiche « Le TPM est prêt à l’utilisation » avec la mention « Version de la spécification : 2.0 » ; toute autre mention signale une action à mener avant la mise à niveau.

Pour un parc de plusieurs dizaines de postes, mieux vaut automatiser l’inventaire de compatibilité plutôt que de vérifier machine par machine : un script PowerShell s’appuyant sur Get-Tpm et Get-CimInstance permet de dresser en quelques minutes la liste des postes à traiter en priorité. Les mises à jour de firmware peuvent généralement être déployées en masse via les utilitaires constructeur (Lenovo Vantage / Commercial Vantage, Dell Command Update), ce qui évite une intervention physique sur chaque machine. Il faut aussi anticiper que Microsoft resserre progressivement ses exigences matérielles à chaque version majeure de Windows 11 : un parc juste en dessous du seuil aujourd’hui risque de basculer hors support à la prochaine mise à jour.

Concrètement, chaque machine professionnelle que nous livrons sort d’usine avec le TPM 2.0 activé et Secure Boot configuré ; aucune manipulation BIOS n’est nécessaire à la réception, contrairement à un parc plus ancien où la puce est souvent présente mais désactivée par défaut. Les commandes en volume sont livrées en FreeDOS pour laisser l’entreprise gérer ses propres licences et images Windows, tout en conservant un socle matériel conforme aux exigences de sécurité de Windows 11 Pro. Nous accompagnons aussi le choix des références selon l’usage (poste de direction, PME, poste fixe) pour éviter qu’un modèle d’entrée de gamme se retrouve à la limite de compatibilité dans deux ou trois ans.