Les articles expliquant comment contourner TPM 2.0 et Secure Boot dans Windows 11 se sont multipliés sur le Web, et nous disposons même d'outils qui désactivent automatiquement ces deux exigences lors de la création d'une clé USB d'installation. Pourtant, une partie du travail de Microsoft consiste à expliquer pourquoi il est nécessaire d'utiliser TPM 2.0 et Secure Boot dans Windows 11. Sa chaîne officielle Microsoft Mechanics a publié une vidéo de 17 minutes début octobre dans laquelle elle explore ces deux technologies plus en profondeur, et qui vaut le détour.
L'autre face de la médaille
La décision de Microsoft est controversée, personne ne le conteste. De la division immédiate de sa base d'utilisateurs à la recommandation d'acheter de nouveaux ordinateurs en pleine crise des semi-conducteurs, Windows 11 a démontré que les problèmes de tact et de communication chez Redmond persistent. Mais maintenant que le nouveau système d'exploitation est parmi nous, Microsoft cherche à transmettre à ses utilisateurs les principales raisons pour lesquelles il est nécessaire d'utiliser TPM 2.0 et Secure Boot dans Windows 11… ou plutôt, «recommandé».
Cela nous amène à une vidéo publiée sur Microsoft Mechanics, l'une des chaînes officielles de l'entreprise sur YouTube. La chaîne produit généralement du contenu destiné aux professionnels de l'informatique, mais cette vidéo de 17 minutes fait un travail décent pour décrire les avantages directs de ces technologies de sécurité auprès d'un public plus large, et inclut quelques attaques à titre de démonstration.
TPM 2.0 et Secure Boot dans Windows 11, expliqués par Microsoft
- La première attaque exploite l'exposition de RDP sur le Web. D'abord, il localise la cible avec Shodan, puis passe à Kali Linux, et utilise enfin Hydra pour effectuer une attaque par force brute à l'aide d'une base de données de mots de passe simples. La simulation ne prend que quelques secondes, mais nous savons bien qu'une attaque par force brute peut s'étendre sur des jours, et il est très peu pratique de la réaliser à l'aveugle. Avec un accès complet, l'attaquant injecte sa charge utile.
- La deuxième attaque se déroule directement sur un appareil sans sécurité basée sur la virtualisation (VBS). À l'aide d'un accessoire utilisant PCILeech, l'attaquant parvient à modifier/remplacer le code d'authentification biométrique pour les empreintes digitales avec un correctif, afin de pouvoir entrer en utilisant quelque chose d'aussi simple qu'une guimauve. VBS neutralise cette possibilité en isolant des éléments fondamentaux (clés, signatures, etc.) de la session standard, séparés par le matériel. Une fois la fonction activée, l'attaque est neutralisée.
- La phase suivante explique le rôle de TPM 2.0, qui consiste à protéger les clés de chiffrement, les identifiants utilisateur et d'autres données sensibles par une barrière matérielle. À ce stade, rappelons que de nombreux équipements prennent déjà en charge TPM 2.0 (la vidéo elle-même parle d'«ordinateurs des cinq dernières années»), mais il est désactivé dans l'UEFI. De nombreux utilisateurs peuvent installer Windows 11 sans problème en l'activant simplement.
- La combinaison de UEFI, Secure Boot et Trusted Boot bloque des attaques comme celle observée dans le premier exemple, ou minimise les dégâts si l'appareil est déjà compromis. Dans la vidéo, on nous apprend à activer Secure Boot, ce qui nécessite également de désactiver le mode Legacy ou CSM. Les modifications de la séquence de démarrage sont rejetées et l'ordinateur revient à une connexion Windows 11 classique.
Petits détails
L'un des aspects les plus intéressants apparaît à la fin de la vidéo, où ils admettent essentiellement que l'augmentation des mesures de sécurité peut avoir un impact sur les performances de l'ordinateur, et c'est là qu'interviennent les nouvelles puces d'Intel et d'AMD. De plus, toutes les exigences de sécurité de Windows 11 sont facultatives sous Windows 10 et peuvent être activées par l'utilisateur quand il le souhaite.
En ce qui concerne les attaques, j'aimerais ajouter ceci : d'une part, bon nombre des résultats présentés par Shodan révèlent que RDP est exposé sur des ordinateurs sous Windows 8.1 ou inférieur, donc le problème n'est pas un développement récent. D'autre part, si un attaquant obtient un accès physique à l'appareil, il n'est pas absurde de le déclarer compromis dès le départ. En résumé, il n'est jamais inutile de recevoir des informations supplémentaires, et l'idée est que l'utilisateur ait un plus grand pouvoir de décision, qu'il préfère chercher un nouvel ordinateur ou prolonger le cycle de vie d'un matériel parfaitement fonctionnel.
Source : Microsoft Mechanics sur YouTube
