BitLocker, le système de chiffrement intégré de Windows, a récemment été mis à l’épreuve. Des chercheurs ont démontré qu’il était possible d’extraire les clés de chiffrement en retirant la puce TPM d’un ordinateur. De plus, certains disques durs peuvent compromettre la sécurité de BitLocker. Ce guide vous aidera à éviter les pièges potentiels de BitLocker.
Il est crucial de noter que ces attaques nécessitent un accès physique à votre appareil. L’objectif principal du chiffrement est de protéger vos données contre un voleur qui s’emparerait de votre ordinateur portable ou contre une personne qui tenterait d’accéder à votre ordinateur de bureau sans autorisation.
La version standard de BitLocker n’est pas incluse dans Windows Home
Bien que la plupart des systèmes d’exploitation modernes incluent le chiffrement par défaut, Windows 10 n’offre pas cette fonctionnalité sur tous les PC. Les Mac, Chromebooks, iPad, iPhones et même les distributions Linux proposent tous le chiffrement à leurs utilisateurs. Cependant, Microsoft n’intègre toujours pas BitLocker dans Windows 10 Famille.
Certains ordinateurs peuvent être équipés d’une technologie de chiffrement similaire, initialement nommée «chiffrement de l’appareil» par Microsoft, et parfois désignée aujourd’hui comme «chiffrement d’appareil BitLocker». Nous aborderons ce point plus en détail dans la section suivante. Toutefois, cette forme de chiffrement est plus limitée que la version complète de BitLocker.
Comment un attaquant peut-il exploiter cette faille? Il n’y a pas besoin de recourir à des techniques complexes! Si votre PC sous Windows Home n’est pas chiffré, un pirate peut simplement retirer le disque dur ou démarrer un autre système d’exploitation pour accéder à vos fichiers.
La solution: Une mise à niveau vers Windows 10 Professionnel, au coût de 99 $, vous permettra d’activer BitLocker. Vous pouvez également explorer d’autres options de chiffrement comme VeraCrypt, le successeur de TrueCrypt, qui est gratuit.
BitLocker peut parfois télécharger votre clé chez Microsoft
De nombreux ordinateurs sous Windows 10 sont équipés d’un chiffrement appelé «chiffrement de périphérique». Si votre PC est compatible, il sera automatiquement chiffré dès que vous vous connecterez avec votre compte Microsoft (ou un compte de domaine sur un réseau d’entreprise). La clé de récupération est alors automatiquement envoyée aux serveurs de Microsoft (ou aux serveurs de votre organisation dans un environnement de domaine).
Cela vous évite de perdre vos fichiers. Même si vous oubliez le mot de passe de votre compte Microsoft et ne pouvez plus vous connecter, vous pouvez toujours récupérer l’accès à votre clé de chiffrement via la procédure de récupération de compte.
Comment un attaquant peut-il exploiter cette vulnérabilité? Bien que ce système soit mieux que l’absence totale de chiffrement, il implique que Microsoft pourrait être contraint de révéler votre clé de chiffrement aux autorités sur présentation d’un mandat. Pire encore, un pirate pourrait potentiellement abuser de la procédure de récupération d’un compte Microsoft pour accéder à votre compte et obtenir votre clé de chiffrement. S’il a un accès physique à votre ordinateur ou à son disque dur, il pourra utiliser cette clé de récupération pour déchiffrer vos données, sans avoir besoin de votre mot de passe.
La solution: Passez à Windows 10 Professionnel (99$), activez BitLocker via le panneau de configuration et refusez le téléchargement de la clé de récupération sur les serveurs de Microsoft lorsque vous y serez invité.
Beaucoup de SSD perturbent le chiffrement BitLocker
Certains disques SSD annoncent une compatibilité avec le « chiffrement matériel ». Si vous utilisez un tel disque et activez BitLocker, Windows fera confiance à votre disque pour effectuer le chiffrement et ne lancera pas ses propres processus habituels. En effet, si le disque peut gérer le chiffrement au niveau matériel, cela devrait être plus rapide.
Le problème est que des chercheurs ont révélé que de nombreux SSD n’implémentent pas correctement ce chiffrement. Par exemple, le Crucial MX300 protège votre clé de chiffrement avec un mot de passe vide par défaut. Windows peut indiquer que BitLocker est activé, alors qu’en réalité, il ne fait pas grand-chose en arrière-plan. C’est préoccupant: BitLocker ne devrait pas faire confiance aux SSD pour assurer le chiffrement. Cette fonctionnalité étant récente, le problème ne concerne que Windows 10, et non Windows 7.
Comment un attaquant pourrait exploiter cette faille? Windows peut indiquer que BitLocker est activé, mais celui-ci pourrait rester inactif, laissant votre SSD échouer à sécuriser vos données. Un pirate pourrait potentiellement contourner le chiffrement mal implémenté de votre SSD pour accéder à vos fichiers.
La solution: modifiez l’option « Configurer l’utilisation du chiffrement matériel pour les lecteurs de données fixes » dans la stratégie de groupe Windows sur « Désactivé ». Vous devrez ensuite déchiffrer puis rechiffrer votre lecteur pour que le changement soit effectif. BitLocker cessera de faire confiance aux disques et effectuera le chiffrement par lui-même, au niveau logiciel plutôt que matériel.
Les puces TPM peuvent être contournées
Un expert en sécurité a récemment mis en évidence une autre attaque. BitLocker stocke votre clé de chiffrement dans le module de plateforme sécurisée (TPM) de votre ordinateur, qui est un matériel spécial censé être inviolable. Malheureusement, un pirate pourrait utiliser une carte FPGA à 27$ et du code open source pour l’extraire du TPM. Cela détruirait le matériel, mais permettrait d’extraire la clé et de contourner le chiffrement.
Comment un attaquant pourrait-il exploiter cette vulnérabilité? S’il possède votre PC, il pourrait en théorie déjouer toutes ces protections TPM sophistiquées en altérant le matériel et en extrayant la clé, ce qui est censé être impossible.
La solution: configurez BitLocker pour qu’il exige un code PIN de pré-démarrage dans la stratégie de groupe. L’option « Exiger un code PIN de démarrage avec TPM » obligera Windows à utiliser un code PIN pour déverrouiller le TPM au démarrage. Vous devrez donc saisir un code PIN avant que Windows ne démarre. Ceci renforcera la sécurité du TPM, empêchant un pirate d’extraire la clé sans connaître votre code PIN. Le TPM protège contre les attaques par force brute, empêchant les pirates de deviner chaque code PIN un par un.
Les PC en mode veille sont plus vulnérables
Microsoft recommande de désactiver le mode veille lorsque vous utilisez BitLocker pour une sécurité optimale. Le mode hibernation est idéal : BitLocker peut exiger un code PIN lorsque vous sortez votre PC de l’hibernation ou lorsque vous le démarrez normalement. En mode veille, l’ordinateur reste allumé avec la clé de chiffrement stockée dans la RAM.
Comment un attaquant pourrait-il exploiter cette faille? S’il met la main sur votre ordinateur, il peut le réveiller et se connecter. Sous Windows 10, il pourrait avoir besoin d’entrer un code PIN numérique. En ayant un accès physique à votre appareil, un pirate pourrait aussi utiliser l’accès direct à la mémoire (DMA) pour accéder au contenu de la RAM de votre système et obtenir la clé BitLocker. Un pirate pourrait aussi lancer une attaque de démarrage à froid – redémarrer l’ordinateur en cours d’exécution et récupérer les clés de la RAM avant qu’elles ne disparaissent. Cela pourrait même inclure l’utilisation d’un congélateur pour abaisser la température et ralentir le processus.
La solution: mettez votre ordinateur en hibernation ou éteignez-le au lieu de le laisser en mode veille. Utilisez un code PIN de pré-démarrage pour sécuriser le processus de démarrage et bloquer les attaques par démarrage à froid. BitLocker exigera également un code PIN lors de la sortie de veille prolongée si vous l’avez configuré pour exiger un code PIN au démarrage. Windows vous permet également de « désactiver les nouveaux périphériques DMA lorsque cet ordinateur est verrouillé » via un paramètre de stratégie de groupe. Cela offre une certaine protection même si un pirate accède à votre ordinateur pendant qu’il est en marche.
Si vous souhaitez approfondir le sujet, Microsoft propose une documentation détaillée sur la manière de sécuriser BitLocker sur son site Internet.