Microsoft renforce la sécurité BitLocker : le chiffrement logiciel privilégié sur les SSD
De nombreux SSD commercialisés auprès du grand public affichent une compatibilité avec le chiffrement, une caractéristique que BitLocker a longtemps prise pour acquise. Cependant, des révélations de l’année dernière ont mis en lumière une réalité préoccupante : ces disques ne chiffraient pas toujours les données de manière fiable. En réponse à cette faille de sécurité, Microsoft a modifié le fonctionnement de Windows 10, désactivant la confiance accordée à ces SSD et optant par défaut pour un chiffrement logiciel.
Pour clarifier, les SSD et autres disques durs peuvent se présenter comme des solutions « auto-chiffrantes ». Dans ce cas, BitLocker, même activé manuellement, ne procède pas au chiffrement des données. En théorie, cette approche était avantageuse : le disque réalisait le chiffrement au niveau de son firmware, ce qui accélérait le processus, réduisait la sollicitation du processeur et, potentiellement, économisait de l’énergie. Toutefois, la réalité s’est avérée bien différente, avec la découverte de mots de passe maîtres par défaut vides et d’autres graves lacunes de sécurité. Il est désormais établi que les SSD grand public ne peuvent être considérés comme des solutions fiables pour la mise en œuvre du chiffrement.
Face à ces constats, Microsoft a pris des mesures correctives. BitLocker, par défaut, ignore dorénavant les disques se déclarant auto-chiffrants et prend en charge lui-même le chiffrement des données via un processus logiciel. Ainsi, même si vous possédez un disque prétendant gérer le chiffrement, BitLocker ne le prendra plus en considération.
Ce changement a été introduit dans la mise à jour KB4516071 de Windows 10, publiée le 24 septembre 2019. SwiftOnSecurity l’a relayé sur Twitter :
Microsoft lâche les fabricants de SSD : Windows ne fera plus confiance aux lecteurs qui disent pouvoir se chiffrer eux-mêmes. BitLocker utilisera par défaut le chiffrement AES accéléré par le processeur. Ceci fait suite à un exposé sur les problèmes généraux rencontrés avec le chiffrement alimenté par le microprogramme. https://t.co/6B357jzv46 pic.twitter.com/fP7F9BGzdD
— SwiftOnSecurity (@SwiftOnSecurity) 27 septembre 2019
Les systèmes sur lesquels BitLocker était déjà activé ne sont pas automatiquement migrés et continuent d’utiliser le chiffrement matériel s’ils ont été configurés de cette manière à l’origine. Si BitLocker est déjà activé sur votre système, vous devrez décrypter le disque, puis le chiffrer de nouveau pour vous assurer que BitLocker utilise le chiffrement logiciel et non le chiffrement matériel. Ce bulletin de sécurité Microsoft fournit une commande pour vérifier si votre système utilise le chiffrement matériel ou logiciel.
Comme le souligne SwiftOnSecurity, les processeurs modernes sont capables de gérer efficacement ces opérations de chiffrement via le logiciel, ce qui limite l’impact sur les performances lors du passage au chiffrement logiciel par BitLocker.
BitLocker peut toujours faire confiance au chiffrement matériel, si vous le souhaitez. Cette option est simplement désactivée par défaut. Pour les entreprises disposant de disques avec un micrologiciel fiable, l’option « Configurer l’utilisation du chiffrement matériel pour les disques de données fixes » dans la stratégie de groupe, sous Configuration de l’ordinateur Modèles d’administration Windows Components BitLocker Drive Encryption Fixed Data Drives, permet de réactiver l’utilisation du chiffrement matériel. Pour tous les autres, il est fortement conseillé de laisser cette option désactivée.
Il est regrettable que Microsoft, et par extension nous tous, ne puisse plus faire confiance aux fabricants de disques. Cette situation n’est pas sans logique : bien que votre ordinateur portable puisse être fabriqué par des marques telles que Dell, HP ou même Microsoft, il est difficile de savoir avec certitude quel disque il contient et qui l’a fabriqué. Pouvez-vous faire confiance à ce fabricant pour gérer le chiffrement de manière sécurisée et publier des mises à jour en cas de problème ? Les événements récents ont démontré que la réponse est probablement non. Désormais, Windows partage également ce point de vue.