Guía completa sobre TPM 2.0: Seguridad, requisitos y activación en Windows 11

TPM 2.0 es una tecnología de seguridad de hardware con la que muchos usuarios se encuentran por primera vez al instalar o actualizar a Windows 11. Durante la comprobación de compatibilidad, puede aparecer el mensaje de que el equipo requiere TPM 2.0, aunque el usuario nunca haya instalado ningún módulo adicional ni lo haya visto físicamente dentro del PC.

TPM, o Trusted Platform Module, se utiliza para almacenar de forma segura claves criptográficas y ayuda al sistema a verificar que los componentes esenciales del ordenador no han sido modificados de manera inadvertida. Forma parte de los mecanismos de cifrado de disco, protección de credenciales y otras funciones de seguridad de Windows.

No siempre el TPM 2.0 es un chip independiente en la placa base. En muchos equipos modernos, sus funciones están implementadas a nivel de procesador y firmware, por lo que la tecnología puede estar presente en el sistema pero desactivada en BIOS o UEFI.

¿Qué es TPM 2.0 y dónde se encuentra este módulo?

¿Qué significa Trusted Platform Module?

TPM 2.0 corresponde a Trusted Platform Module - módulo de plataforma confiable. Su tarea es realizar operaciones de seguridad en un entorno aislado y almacenar datos sensibles que no deberían mantenerse en la memoria convencional del ordenador.

En términos sencillos, el TPM puede verse como una caja fuerte protegida para claves criptográficas. El sistema operativo utiliza estas claves para autenticar al usuario, cifrar datos y comprobar que el equipo arranca en un estado confiable.

La principal diferencia entre el TPM y un almacenamiento de software común es que las claves críticas nunca salen de su entorno protegido. Incluso si un atacante accede a los archivos del disco, no podrá extraer los secretos almacenados por el TPM.

La versión TPM 2.0 es una evolución del estándar anterior TPM 1.2. Soporta algoritmos modernos y una gestión criptográfica más flexible, por eso es la base de las funciones de seguridad actuales de Windows.

Chip independiente, TPM por firmware y módulo en la placa base

El término "módulo TPM 2.0" puede dar la impresión de que cada equipo compatible debe incluir un chip físico separado. Sin embargo, la implementación varía.

• TPM discreto: un chip independiente en la placa base, con su propio entorno seguro, actuando como componente de hardware autónomo.
• TPM por firmware: las funciones de Trusted Platform Module se implementan a nivel de firmware y plataforma, sin necesidad de un módulo extraíble. En equipos AMD suele llamarse fTPM; en Intel, PTT (Platform Trust Technology).

Por ello, es posible que no se observe un chip TPM en la placa, aunque el equipo sea compatible con TPM 2.0. Muchos sistemas modernos ya incluyen esta función, aunque puede estar desactivada en la UEFI o BIOS.

Antes de comprar un módulo TPM físico, conviene revisar primero la configuración del sistema y la documentación de la placa base. En la mayoría de los casos, no se requiere hardware adicional.

¿Cómo funciona TPM 2.0 y qué protege exactamente?

Almacenamiento de claves criptográficas

Una de las funciones principales de TPM 2.0 es la creación y almacenamiento seguro de claves criptográficas. El sistema las utiliza para cifrar datos, autenticar el dispositivo y otras operaciones donde es crucial proteger la información sensible.

En el almacenamiento tradicional, la clave puede guardarse como archivo o en memoria, desde donde puede extraerse si se tienen permisos suficientes. El TPM es diferente: ciertas claves se generan y usan dentro de su entorno seguro. Las aplicaciones o Windows solicitan operaciones criptográficas al módulo, pero no acceden directamente a la clave privada.

Esto es fundamental en el cifrado de discos. Incluso si un atacante extrae el SSD y lo conecta a otro sistema, el acceso al contenido del disco no basta para obtener las claves protegidas por el TPM.

Para profundizar en las diferencias entre métodos criptográficos, consulta el artículo "Cifrado simétrico y asimétrico: diferencias y aplicaciones".

Verificación de integridad del sistema al arrancar

El TPM no solo almacena claves, sino que también participa en la verificación del estado del equipo durante el arranque. Para ello, utiliza registros especiales donde se almacenan los resultados de la comprobación de los componentes de la cadena de arranque.

Durante el inicio, el sistema registra información sobre el firmware UEFI, el gestor de arranque y otros elementos críticos. Si alguno cambia inesperadamente, los valores resultantes también varían. Esto permite vincular el acceso a datos protegidos al estado esperado del equipo.

El TPM no sustituye al antivirus ni analiza archivos en el sentido tradicional. Su función es proporcionar un mecanismo seguro para que el sistema determine si el estado actual es el esperado.

Este enfoque es útil contra ataques que intentan intervenir en el proceso de arranque antes del inicio completo de Windows. Junto a otras herramientas como Secure Boot, el TPM proporciona una base de hardware para un arranque confiable.

TPM y BitLocker

Un ejemplo claro del uso del TPM es BitLocker, la tecnología de cifrado integrada en Windows. BitLocker cifra los datos del disco para que no puedan leerse si no se dispone de la clave adecuada.

El TPM protege las claves asociadas a BitLocker y solo proporciona acceso si se cumplen determinadas condiciones, como el estado de arranque. Si el disco se instala en otro equipo, el TPM original no lo acompaña.

Normalmente, el usuario no percibe el funcionamiento de este sistema: el equipo pasa la comprobación, el TPM permite usar la clave protegida y Windows arranca con normalidad. Si se detectan cambios importantes, BitLocker puede solicitar la clave de recuperación.

Así, el TPM no cifra el SSD directamente; esa tarea corresponde a BitLocker. El TPM actúa como elemento seguro que controla el acceso a los secretos criptográficos.

¿Por qué necesita TPM 2.0 Windows 11?

¿Por qué Microsoft lo exige como requisito del sistema?

Para Windows 11, TPM 2.0 es un requisito mínimo. Microsoft lo utiliza como base de confianza de hardware para proteger claves, credenciales y la cadena de arranque del sistema operativo.

La exigencia no es porque sin TPM el equipo no pueda funcionar, sino para garantizar que todos los dispositivos oficialmente compatibles tengan un nivel mínimo de seguridad de hardware.

De este modo, Windows no depende solo de la protección por software. Incluso si un malware obtiene altos privilegios, ciertos secretos almacenados en el TPM serán mucho más difíciles de copiar o utilizar en otro equipo.

TPM 2.0 también soporta algoritmos criptográficos más modernos que TPM 1.2, por lo que Microsoft lo adopta como estándar para nuevos dispositivos y Windows 11.

¿Qué funciones de Windows usan TPM?

• BitLocker y cifrado de dispositivos: el TPM protege las claves necesarias para descifrar el disco, por lo que un SSD robado no puede simplemente instalarse en otro equipo y acceder a los datos.
• Windows Hello: al usar PIN o métodos compatibles, los datos criptográficos pueden vincularse a un dispositivo específico, evitando que el secreto se almacene como una contraseña normal que pueda copiarse.
• Measured Boot (arranque medido): el TPM guarda los resultados de la comprobación de los componentes de arranque, permitiendo a Windows y sistemas de gestión corporativa identificar si el equipo arrancó en el estado esperado.

Disponer de TPM no significa que todas estas funciones estén activadas por defecto. El módulo proporciona la base de hardware segura y es el sistema operativo quien decide cómo utilizarla.

¿Se puede usar el ordenador sin TPM 2.0?

El ordenador puede funcionar sin TPM 2.0; el módulo no interviene en cálculos normales, gráficos o la ejecución de la mayoría de los programas.

La principal limitación está en los requisitos oficiales de Windows 11. Si el sistema no detecta TPM 2.0, el equipo no cumple con los requisitos mínimos de Microsoft para esta versión.

No obstante, la ausencia de TPM en Windows no siempre significa que el equipo no lo soporte. Muchas veces el TPM por firmware está presente pero desactivado en la UEFI. En ese caso, basta con activarlo (por ejemplo, AMD fTPM o Intel PTT) sin comprar un módulo adicional.

¿Cómo comprobar si tu ordenador tiene TPM 2.0?

Comprobación mediante tpm.msc

La forma más sencilla de comprobar el TPM 2.0 en Windows es abrir la consola de gestión del módulo de seguridad:

1. Pulsa Win + R, escribe tpm.msc y pulsa Enter.

Se abrirá la ventana de "Administración del módulo de plataforma confiable". Si el TPM está disponible y funciona, aparecerá su estado e información del fabricante.

El parámetro clave es la versión de especificación. Para Windows 11 debe ser 2.0. Si aparece 1.2, el equipo usa una versión antigua.

Si ves un mensaje de que no se encuentra un TPM compatible, puede que esté desactivado en la UEFI o BIOS.

Comprobación desde "Seguridad de Windows"

También puedes comprobar el TPM desde la aplicación estándar de seguridad de Windows:

1. Abre Configuración → Privacidad y seguridad → Seguridad de Windows → Seguridad del dispositivo.

Si el TPM está activo, suele aparecer un bloque de "Procesador de seguridad" u otra información relevante. Desde ahí puedes consultar el fabricante, la versión y otros parámetros.

Este método es más cómodo para el usuario habitual, ya que no requiere abrir consolas adicionales.

¿Por qué el TPM puede no aparecer?

Una de las causas más comunes es que el TPM está soportado por el equipo pero desactivado en la placa base.

• En sistemas AMD suele llamarse AMD fTPM, Firmware TPM o simplemente fTPM.
• En Intel, la función se llama Intel PTT (Platform Trust Technology).

También puede deberse a un firmware UEFI desactualizado. Algunos fabricantes añadieron o modificaron ajustes de TPM en actualizaciones de BIOS, sobre todo tras el lanzamiento de Windows 11.

Otra causa es hardware demasiado antiguo. Si la plataforma no soporta TPM 2.0, no basta con cambiar configuraciones en Windows. En algunos PC de sobremesa se puede instalar un módulo TPM físico, pero debe ser compatible con la placa base concreta.

Antes de comprar un módulo adicional, revisa el modelo de placa, la versión de BIOS y la presencia de parámetros como fTPM, PTT, Security Device Support o Trusted Computing.

¿Cómo activar TPM 2.0 en BIOS o UEFI?

¿Cómo acceder a la BIOS o UEFI?

Si Windows no detecta TPM 2.0, lo primero es revisar la configuración de la UEFI. En la mayoría de los equipos modernos, la función está disponible pero puede estar desactivada por el fabricante o usuario.

Para entrar en la UEFI, en Windows 11 sigue estos pasos:

1. Accede a Configuración → Sistema → Recuperación → Inicio avanzado → Reiniciar ahora.
2. Tras reiniciar, selecciona: Solucionar problemas → Opciones avanzadas → Configuración de firmware UEFI.

El equipo reiniciará y abrirá la configuración de la placa base.

También puedes acceder a la BIOS al encender el ordenador pulsando teclas como Delete, F2, a veces F10, F12 o Esc, según el fabricante.

No modifiques parámetros cuyo propósito desconozcas. Para activar el TPM suele bastar con cambiar una opción.

Intel PTT y AMD fTPM

Una de las dificultades es que el ajuste no siempre se llama TPM 2.0.

• En equipos AMD suele denominarse AMD fTPM o Firmware TPM - una implementación por firmware que no requiere chip físico.
• En Intel, la tecnología equivalente se llama Intel PTT (Platform Trust Technology).

La opción puede encontrarse en secciones como:

• Security
• Advanced
• Trusted Computing
• CPU Configuration
• Security Device Support

La ubicación exacta depende del fabricante y la versión de UEFI. Los nombres de los menús varían entre ASUS, MSI, Gigabyte, ASRock y otras marcas.

Una vez encontrada la opción, selecciona Enabled para activarla. En AMD, esto suele ser fTPM; en Intel, PTT.

Guarda los cambios (normalmente "Save & Exit" o F10) y el ordenador se reiniciará.

¿Cómo saber si el TPM se ha activado correctamente?

Tras arrancar Windows, vuelve a pulsar Win + R, escribe tpm.msc y abre la gestión del TPM.

Si la configuración ha sido correcta, verás información sobre el Trusted Platform Module en lugar del mensaje de ausencia de módulo compatible.

Para Windows 11, asegúrate de que en "Versión de especificación" figure 2.0.

Después, el equipo debe pasar la comprobación de TPM 2.0 al evaluar la compatibilidad con Windows 11.

¿Qué hacer si no aparece la opción TPM en la BIOS?

No encontrar una opción llamada "TPM" no significa que la tecnología no esté soportada. Busca parámetros como PTT, fTPM, Firmware TPM, Trusted Computing o Security Device Support.

Si realmente no existen, comprueba el modelo de placa base o portátil y la versión de BIOS. Algunos fabricantes han lanzado actualizaciones de UEFI que activan el soporte TPM 2.0 o añaden nuevas opciones de seguridad.

En placas antiguas, puede haber un conector específico para un módulo TPM discreto. Pero no compres cualquier módulo: la disposición de pines y la compatibilidad varían incluso entre modelos del mismo fabricante.

Si el equipo es demasiado antiguo y no soporta TPM 2.0, no es posible activarlo por software desde Windows. En este caso, la limitación es del hardware.

Conclusión

TPM 2.0 es la base de hardware para la seguridad de Windows, ayudando a proteger claves criptográficas, verificar el estado del sistema al arrancar y mejorar la seguridad de funciones como BitLocker y Windows Hello. El módulo no sustituye al antivirus ni cifra datos directamente, pero crea un entorno protegido para operaciones críticas.

En la mayoría de los equipos modernos no es necesario comprar un chip TPM aparte; sus funciones ya pueden estar disponibles mediante AMD fTPM o Intel PTT. Si Windows no detecta TPM 2.0, revisa primero la configuración de UEFI o BIOS.

Antes de instalar Windows 11, abre tpm.msc y verifica que el sistema detecta TPM 2.0. Si el módulo no aparece pero el ordenador es relativamente moderno, comprueba la activación de fTPM o PTT en UEFI antes de considerar la compra de un módulo TPM independiente.