Devenue une exigence pour l’installation de Windows 11, la fonction Secure Boot est souvent évoquée sans que son fonctionnement précis soit réellement compris. Cette mesure de sécurité intégrée aux ordinateurs récents vise à protéger le démarrage du système en empêchant l’exécution de logiciels non autorisés.
Secure Boot opère au niveau du firmware UEFI (Unified Extensible Firmware Interface), le successeur moderne du BIOS. Dès la mise sous tension de l’ordinateur, avant même le chargement du système d’exploitation, le firmware UEFI effectue une série de vérifications cruciales. Il s’assure du bon fonctionnement des composants essentiels – processeur, mémoire, cartes et périphériques – et détecte les supports de démarrage disponibles, chargeant si nécessaire les pilotes UEFI pour garantir l’accès à certains périphériques.
C’est à ce stade que Secure Boot intervient. Le firmware vérifie la signature numérique de chaque élément UEFI qui s’apprête à être exécuté, qu’il s’agisse de pilotes, d’extensions de périphériques ou du gestionnaire de démarrage de Windows. Cette vérification repose sur une chaîne de confiance complexe.
Cette chaîne débute avec la Clé de plate-forme (PK), installée par le fabricant de l’ordinateur. Elle détermine qui est autorisé à modifier la configuration de Secure Boot. Viennent ensuite les Touches d’échange de clés (KEK), qui permettent à des acteurs tels que Microsoft ou le constructeur de mettre à jour les listes de confiance. Ces listes se composent de deux bases de données : la Db, qui regroupe les certificats d’autorité et les empreintes des binaires autorisés, et la Dbx, qui recense les signatures révoquées, c’est-à-dire les éléments qui doivent être bloqués.
Les signatures des binaires sont comparées à ces deux bases de données. Si un élément n’est pas reconnu ou figure dans la liste noire de la Dbx – ce qui peut arriver lorsqu’un programme de démarrage vulnérable est identifié par Microsoft – son exécution est bloquée. Si la validation est concluante, l’UEFI transfère le contrôle à Windows Boot Manager, qui charge les composants nécessaires, initialise le noyau, monte les volumes et prépare l’écran de connexion. Le système d’exploitation prend alors définitivement le relais, et les protections propres à Windows entrent en vigueur.
À lire aussi
