Secure Boot a TPM 2.0 pro anticheat (VALORANT, FACEIT): jak je ověřit a zapnout

Zkontroluj TPM 2.0 a Secure Boot v msinfo32 a tpm.msc, ulož si obnovovací klíč BitLockeru, převeď systémový disk MBR a pak v nastavení firmwaru PC zapni fTPM a Secure Boot. To chtějí VAN 9001 a VAN 9003 ve VALORANTu, chyba Secure Boot v Battlefieldu 6, Failed Attestation Status v Call of Duty a chyby FACEITu.

Microsoft upozorňuje, že většina základních desek z obchodu pro PC, která si lidé staví sami, se dodává s vypnutým TPM, „even though it is almost always available to be enabled“, takže než si cokoli koupíš, zkontroluj to. Pastmi na cestě jsou BitLocker a systémový disk MBR. Pokud FACEIT místo toho hlásí chybějící bezpečnostní aktualizace Windows nebo zakázaný ovladač PawnIO, nejde o nastavení firmwaru; obojí je popsané níž.

Proč anticheaty vyžadují TPM 2.0 a Secure Boot?

Díky nim může anticheat věřit, že se PC spustilo čisté. Secure Boot (ve Windows zabezpečené spouštění) podle Microsoftu „pomáhá zabránit načtení škodlivého softwaru při spuštění počítače s Windows“, a to tak, že během spouštění dovolí běžet jen důvěryhodnému, digitálně podepsanému softwaru. Míří na rootkity: podle Microsoftu se spouštějí ještě před operačním systémem, a proto se můžou úplně skrýt.

TPM z toho dělá důkaz. FACEIT vysvětluje, že TPM provádí „Measured Boot“ (měřené spouštění), při kterém zaznamená otisk každé součásti v řetězci spouštění, a může anticheatu předat podepsanou zprávu, které se říká atestace, že start proběhl čistě. FACEIT také uvádí, že TPM a Secure Boot nemají vliv na výkon.

Které hry vyžadují TPM 2.0 a Secure Boot?

K říjnu 2026 je vyžadují tyto hry a platformy:

Windows 11 vyžaduje jen PC, které Secure Boot podporuje („Secure Boot capable“), ne aby byl Secure Boot zapnutý.

Jak zjistit, jestli jsou TPM 2.0 a Secure Boot zapnuté?

Systémové informace. Stiskni Windows + R, napiš msinfo32, stiskni Enter a přečti položky Režim systému BIOS a Stav zabezpečeného spouštění. Průvodce Riotu je čte takto:

Správa čipu TPM. Spusť tpm.msc: chceš vidět zprávu Čip TPM je připraven k použití a v části Informace o výrobci čipu TPM položku Verze specifikace s hodnotou 2.0. Hlášku Nelze najít kompatibilní čip TPM (Trusted Platform Module) Microsoft vykládá tak, že TPM může být vypnutý.

Zabezpečení Windows. V části Zabezpečení zařízení > Podrobnosti o procesoru zabezpečení chce FACEIT u položek Ověření identity i Úložiště stav Připraveno. Pokud tam část Procesor zabezpečení vůbec není, znamená to podle Microsoftu pravděpodobně, že TPM chybí nebo je ve firmwaru vypnutý.

Na PC s režimem Starší verze ukáže Správa disků položku Styl oddílu disku s Windows: v dolním panelu klikni pravým tlačítkem na číslo toho disku, třeba Disk 0, a pak na Vlastnosti > Svazky.

w0a přečte těch šest požadavků a ukáže, kde je který přepínač; seznam popisuje článek Nízké FPS a trhání v CS2.

Než cokoli změníš: BitLocker

BitLocker podle Microsoftu chrání disk před krádeží nebo vyzrazením dat ze ztracených, odcizených nebo nevhodně vyřazených zařízení, a změny v tom, jak se PC spouští, ho můžou přimět, aby si vyžádal 48místný obnovovací klíč. Mezi spouštěči, které Microsoft uvádí, je vymazání TPM, změny správce spouštění a tabulky oddílů a upgrade firmwaru BIOS nebo UEFI, takže na tom seznamu je několik kroků níže. Šifrování zařízení, automatická podoba BitLockeru, se podle Microsoftu může zapnout samo, jakmile PC splní podmínky, například tím, že zapneš Secure Boot.

1. Před prvním restartem do firmwaru si najdi obnovovací klíč a měj ho uložený mimo tohle PC. U účtu Microsoft odkazuje stránka Microsoftu na aka.ms/myrecoverykey; stejná stránka upozorňuje: „Podpora Microsoftu nemá možnost získat, poskytnout ani znovu vytvořit ztracený obnovovací klíč nástroje BitLocker.“
2. Pokud Ovládací panely > Nástroj BitLocker Drive Encryption ukazují disk jako chráněný, vyber před každým restartem do firmwaru Pozastavit ochranu. Disk zůstane zašifrovaný, ale jeho klíč je uložený nechráněně, dokud se ochrana při dalším restartu automaticky neobnoví.

Jak zapnout TPM 2.0 a Secure Boot?

Šest kroků, v tomhle pořadí:

1. Pokud je disk MBR, nejdřív ho převeď, a to z Windows. Riot: „Pokud přepneš systém BIOS na UEFI bez převedení disku, systém Windows se nespustí.“ Nástroj Microsoftu MBR2GPT převede systémový disk podle Microsoftu bez úprav nebo mazání dat na disku, jeho výstup ale varuje „These changes cannot be undone!“ (tyto změny nelze vrátit zpět), takže si nejdřív zálohuj data a ověř, že PC podporuje UEFI. Na zašifrovaném disku potřebuje MBR2GPT pozastavený BitLocker a jeho ochrany (protektory) je potom nutné vytvořit znovu; Riot a Activision místo toho žádají šifrování vypnout, takže disk zůstane nechráněný, dokud ho znovu nezapneš. V příkazovém řádku spuštěném jako správce spusť mbr2gpt /validate /allowFullOS, pak, pokud ověření projde, mbr2gpt /convert /allowFullOS, a jdi rovnou do firmwaru.
2. Otevři nastavení firmwaru. Ve Windows 11 přejdi do Nastavení > Systém > Obnovení a u položky Spuštění s upřesněným nastavením vyber Restartovat hned (Windows 10: Nastavení > Aktualizace a zabezpečení > Obnovení), pak Odstranit potíže > Upřesnit možnosti > Nastavení firmwaru UEFI > Restartovat. Nebo při zapnutí PC stiskni klávesu firmwaru; Riot uvádí Del, F2 nebo F10.
3. Režim spouštění UEFI, CSM vypnuto. Tam, kde jde zapnout UEFI i Legacy/CSM zároveň, je podle Microsoftu potřeba zvolit, aby UEFI bylo první nebo jedinou možností; Riot a Activision říkají vypnout CSM, pokud takové nastavení existuje.
4. Zapni firmwarový TPM. Podle Microsoftu bývá někdy v nabídce Advanced, Security nebo Trusted Computing, pod názvem Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT nebo Intel Platform Trust Technology. Kvůli VAN: RESTRICTION potřebuje Riot firmwarový TPM, ne jen samostatný modul.
5. Nastav Secure Boot na Enabled. Na deskách ASUS podle FACEITu použij „Windows UEFI Mode“. Pokud je volba zašedlá, Activision radí vybrat režim UEFI, uložit a firmware otevřít znovu; pokud zůstane šedá, je řešením Riotu Restore Factory Keys v části Key Management, což se zapnutým BitLockerem podle Riotu změní měření TPM a při příštím spuštění vyvolá obnovení BitLockeru.
6. Ulož, spusť Windows, zkontroluj znovu. Režim systému BIOS UEFI, Stav zabezpečeného spouštění Zapnuto, TPM připravený ve verzi 2.0; EA upozorňuje, že některé verze Windows můžou potřebovat ještě jeden restart.

Proč hra odmítá, i když je Secure Boot zapnutý?

Pět známých případů, každý s opravou, kterou uvádí jeho zdroj:

• Starý firmware. Podle Riotu může starý BIOS hlásit Secure Boot jako zapnutý („enabled“), a přesto neprojít kontrolami zásad, které Vanguard vyžaduje. Nainstaluj nejnovější BIOS pro svou přesnou desku, kterou msinfo32 uvádí na řádcích Výrobce základní desky a Základní deska.
• Verze AMD TPM 3.*.0.*. Pokud tpm.msc ukazuje AMD s položkou Verze výrobce, třeba 3.92.0.5, odkazují FACEIT i Activision na aktualizaci BIOSu.
• Smyčky při startu nebo pády po změně. Rada FACEITu: vrať poslední změnu ve firmwaru, aktualizuj BIOS a pak funkce zapínej zpátky jednu po druhé.
• „Secure Boot Violation“ nebo „Invalid Signature Detected“. Podle FACEITu jsou certifikáty Secure Boot na desce zastaralé a moderní aktualizace BIOSu přinášejí potřebné certifikáty Microsoftu z roku 2023. Jeho postup vypíná Secure Boot jen kvůli spuštění a aktualizaci; dokud je vypnutý, PC tuhle ochranu nemá, a Microsoft doporučuje Secure Boot po vyřešení problému znovu zapnout.
• „Your system is missing important Windows security updates.“ Podle FACEITu v tomto systému Windows chybí bezpečnostní opravy, které anticheat vyžaduje. Spusť Windows Update a nainstaluj, co nabídne; pokud nic nepřijde, další kroky FACEITu jsou nástroj Microsoftu pro upgrade na Windows 11 nebo ruční stažení z historie aktualizací Microsoftu. Pokud nějaký návod na tweaky vypnul služby aktualizací, karta Windows Update ve w0a je vrátí na výchozí hodnoty Windows; upravený systém Windows, který blokuje aktualizace, FACEIT nepodporuje. Na Windows 10 FACEIT vyžaduje verzi 22H2 (build 19045); podpora skončila 14. října 2025, takže bezpečnostní opravy teď chodí jen přes program Extended Security Updates, který Microsoft provozuje do 12. října 2027. Pokud hardware splňuje požadavky, FACEIT uvádí bezplatný upgrade na Windows 11 jako trvalé řešení.

Blokuje FACEIT ovladač PawnIO?

Seznam blokovaných ovladačů FACEITu uvádí PawnIO.sys s jediným pokynem: aktualizovat PawnIO na nejnovější verzi. PawnIO je volitelný ovladač, který w0a nabízí pro čtení teploty procesoru a časování pamětí; výchozí instalace w0a nenačítá žádný ovladač jádra. Když je načtený blokovaný ovladač, anticheat se nespustí a ukáže chybu „Forbidden driver“; podle FACEITu pak restart ovladač zablokuje a anticheat může běžet, a ovladače ze seznamu FACEIT doporučuje odebrat, nebo program, který potřebuješ, aktualizovat. Na jednom počítači běžel PawnIO 2.2.0 vedle FACEITu a zápasy se odehrály bez blokace. Je to jedno pozorování, ne záruka: seznam FACEITu PawnIO pořád uvádí.

w0a nainstaluje PawnIO jen tehdy, když o to sám požádáš a potvrdíš vydavatele, kterého ověřil systém Windows, a vždy stáhne nejnovější vydání. Pokud požádáš o instalaci nebo opravu PawnIO, když je nainstalovaný FACEIT a je přítomný PawnIO starší než 2.2.0, w0a tě nejdřív varuje a pokračuje jen s tvým souhlasem. PawnIO odstraníš tak, že ho odinstaluješ ze seznamu nainstalovaných aplikací Windows; jak uvádí Odinstalace w0a, odebrání w0a ho neodebere.

Vyprší certifikáty Secure Boot v roce 2026?

Certifikáty Microsoftu, na které Secure Boot spoléhá, byly vydány v roce 2011 a jejich platnost začala vypršet 24. června 2026; poslední vyprší 19. října. Náhrady z roku 2023 přicházejí přes Windows Update a podle Microsoftu u většiny uživatelů na podporovaných systémech Windows není potřeba nic dělat. Od dubna 2026 zavádí Zabezpečení Windows postupně stav certifikátů v části Zabezpečení zařízení > Zabezpečené spouštění; Microsoft upozorňuje, že samotná zelená značka ještě nepotvrzuje, že máš certifikáty aktualizované, takže hledej řádek, který říká, že byly použity všechny požadované aktualizace certifikátů.

Co nepomůže

• Vypnutí Secure Boot, aby zmizelo varování. Podle Microsoftu by se Secure Boot neměl vypínat kvůli obcházení vypršení certifikátů; vypnutí podle něj výrazně snižuje ochranu zařízení a odstraňuje pojistky proti malwaru na úrovni spouštění. Hry výše navíc přestanou fungovat.
• Vypnutí fTPM od AMD kvůli trhání. Podle Riotu AMD trhání způsobené fTPM na raných systémech Ryzen opravilo v pozdějších aktualizacích BIOSu a vypnutím fTPM přijdeš o hry s Vanguardem.
• Vymazání TPM jako první krok. Může vyvolat obnovení BitLockeru a Microsoft radí nejdřív si zálohovat data.

Časté dotazy

Snižují TPM 2.0 a Secure Boot FPS?

Podle FACEITu ne: jeho FAQ k bezpečnostním požadavkům uvádí, že TPM a Secure Boot výkon neovlivňují. Podle Riotu AMD trhání způsobené fTPM na raných systémech Ryzen opravilo v pozdějších aktualizacích BIOSu a vypnutím fTPM přijdeš o hry s Vanguardem.

Musím si koupit modul TPM 2.0?

Nejdřív zkontroluj firmware: podle Microsoftu se většina základních desek prodávaných pro svépomocí sestavené počítače dodává s vypnutým TPM, i když se skoro vždy dá zapnout. Pro VAN: RESTRICTION Riot potřebuje firmwarový TPM, ne jen samostatný modul.

Vyžadují Windows 11 zapnutý Secure Boot?

Ne. Požadavky Windows 11 chtějí firmware, který Secure Boot podporuje; zapnutý ho chtějí hry z tabulky výš.

Můžu si zapnutím Secure Boot zablokovat přístup k PC?

Ano, ve dvou případech. Na PC v režimu Legacy s diskem MBR se podle Riotu Windows po přepnutí na UEFI nespustí, pokud se disk předtím nepřevedl. Se zapnutým BitLockerem může změna způsobit, že si BitLocker vyžádá 48místný obnovovací klíč, takže si ten klíč před prvním restartem ulož mimo tohle PC.

Dá se hrát FACEIT na Windows 10?

Ano, na verzi 22H2 (build 19045) s TPM 2.0, Secure Boot a aktuálními bezpečnostními aktualizacemi. Ty teď chodí jen přes program Extended Security Updates, který Microsoft provozuje do 12. října 2027; pokud hardware splňuje požadavky, FACEIT označuje bezplatný upgrade na Windows 11 za trvalé řešení.

Související

• Nízké FPS, trhání a sekání v CS2: změřený kontrolní seznam
• Zapnout integritu paměti zpět
• Resizable BAR a Smart Access Memory: co to je a jak to zkontrolovat
• Pády her na Intelu 13. a 14. generace: oprava, na které záleží
• Herní nastavení Windows 11, na kterých opravdu záleží
• Co je PawnIO a blokuje ho FACEIT?