其他软件可通过扩展PCR测量值阻止TPM中该PCR密封数据访问吗？

核心结论：你的理解部分正确，但需补充关键安全机制 #

其他软件通过扩展目标PCR的测量值，确实会导致原密封数据无法被解封——因为解封时TPM会验证当前PCR值是否与密封时的预期值集合完全匹配。但TPM的设计本身有机制缓解你担心的MITM风险，下面结合Windows和Linux的场景具体说明：

1. 为什么PCR扩展会导致解封失败？ #

TPM的PCR是单向累加哈希，扩展操作遵循公式：new_pcr = Hash(old_pcr || new_measurement)。密封数据时，需指定一组PCR的预期值（比如PCR9）；解封时，TPM会对比当前这些PCR的实际值和密封时的预期值，只要有一个不匹配，就会拒绝解封。

所以如果其他软件恶意扩展了目标PCR，当前PCR值会偏离密封时的状态，自然无法取回数据——这部分你的理解是对的。

2. Windows "仅使用一个PCR bank"的含义 #

这里的"PCR bank"不是指单个PCR，而是TPM支持的不同哈希算法组（比如SHA-1和SHA-256各对应一个bank）。Windows选择仅启用一个bank（通常是SHA-256），是为了简化测量逻辑并保证哈希强度，和"单个PCR"是完全不同的概念。Windows启动过程中会测量多个PCR（比如PCR0到PCR7），并非只用一个PCR。

3. Linux仅用PCR[9]的实际场景 #

Linux内核启动时主要用PCR9，是因为它把PCR9作为运行时测量的专用寄存器，用来记录内核模块、initramfs、启动参数等动态加载的组件。但Linux的完整启动链（比如GRUB、UEFI固件）依然会测量PCR0到PCR8这些静态组件——只是内核阶段重点用PCR9做扩展。

4. 关于MITM攻击的缓解机制 #

你担心的"任意软件扩展PCR就能阻止解封"的MITM风险，其实存在以下关键限制：

• PCR的访问权限：TPM对PCR扩展操作有严格的权限控制，不是所有软件都能随意操作。系统固件、bootloader、内核这类特权组件才能扩展特定PCR，普通用户态软件通常没有直接操作PCR的权限。
• 密封策略的多PCR绑定：实际场景中，密封数据很少只绑定单个PCR，通常会绑定一组PCR（比如PCR0+PCR1+PCR9）。这样即使某个PCR被恶意修改，只要其他PCR的状态符合预期，也不一定会直接导致解封失败——具体要看密封时的策略配置。
• 动态PCR重置限制：部分TPM支持PCR重置，但重置操作需要严格的权限验证，无法被随意触发。

内容的提问来源于stack exchange，提问作者John Glen