TPM 2.0 Reemisión EK Cert

A diferencia del módulo TPM 1.2 , la especificación TPM 2.0 permite al usuario de la plataforma crear su propio EK (Clave de endoso) utilizando EPS (Semilla primaria de endoso) y EKTemplate y obtener un certificado firmado por la privacidad CA correspondiente a la clave pública.

De acuerdo con la especificación TPM 2.0

1. el fabricante puede instalar el certificado ya generado para la plantilla común proporcionada por la especificación.
   
2. el fabricante ya debe haber generado certificados para todas las plantillas con cero campos únicos.

Mis preguntas (no puedo encontrar respuestas en la especificación);

1. Según el protocolo, un administrador de TPM puede obtener certificados para una clave pública EK generada no por una plantilla estándar, sino por una plantilla que contiene un conjunto aleatorio de bytes en un campo único (también EKNonce ) ?
2. ¿El fabricante mantiene en secreto EPS ? Y si no, entonces entenderá que la clave EK generada con esta plantilla (la confianza para el administrador de la plataforma)?