TPM 1.2重启后tpm_sealdata/unsealdata失效，报密钥未找到问题求助

问题原因及解决办法 #

1. TrouSerS服务缓存失效 #

TrouSerS的tcsd服务会在内存中缓存TPM密钥信息，系统重启后缓存清空，若服务启动时未正确加载SRK的持久化记录，就会触发密钥找不到的错误。

• 操作：重启tcsd后重试命令

  sudo service tcsd restart
  tpm_unsealdata -i sealed_data.bin
  

2. SRK UUID不匹配 #

tpm-tools默认使用固定UUID加载SRK，若获取所有权时SRK UUID被修改，或工具配置的UUID与TPM中实际SRK的UUID不匹配，会导致加载失败。

• 操作：
  1. 查询TPM中所有持久化密钥的UUID：

     tpm_getpubek -u
     tpm_listpersistent
     

  2. 手动指定正确的SRK UUID执行命令：

     tpm_unsealdata -s <SRK_UUID> -i sealed_data.bin
     

3. TPM非易失性存储初始化异常 #

部分老旧TPM 1.2芯片可能出现重启后密钥索引未正确初始化的情况，BIOS显示TPM处于已拥有状态，但底层存储的密钥索引未就绪。

• 操作：
  1. 进入BIOS临时禁用TPM，保存退出并重启系统；
  2. 重新进入BIOS启用TPM，确认其处于已拥有状态；
  3. 回到系统后重启tcsd服务，再执行相关命令。

4. Well-Known Secret未明确指定 #

即使已将所有者和SRK密码改为well-known secret（空密码），工具可能仍尝试使用旧的授权缓存，或未识别空密码配置。

• 操作：执行命令时明确指定空密码参数

  tpm_unsealdata -z -i sealed_data.bin
  

  其中-z参数代表使用well-known secret作为授权密码。

额外验证步骤 #

• 执行tpm_ownership命令，确认输出中显示SRK存在于持久存储；
• 查看系统日志（/var/log/messages或/var/log/syslog）中的tcsd启动日志，排查TPM初始化相关报错。

内容的提问来源于stack exchange，提问作者Dhruv Choksi