Contournement de BitLocker pendant le processus de mise à niveau

Si vous possédez un iPhone, un Android, un Mac ou bien un ordinateur sous Windows 10, vous savez probablement que lorsque vous effectuez une mise à niveau, l’équipement en question redémarre toujours pendant ce processus, et souvent plus d’une fois.

Il est facile de comprendre pourquoi ces redémarrages sont importants : en effet, si vous voulez mettre à jour des fichiers système critiques, il est plus facile de le faire si vous pouvez vous assurer qu’ils ne sont pas en cours d’utilisation.

Et si vous avez une mise à jour B qui dépend d’une autre mise à jour A qui s’est installé correctement juste avant, il est plus aisé si vous pouvez redémarrer votre équipement, pour que A se finalise correctement, avant de redémarrer de nouveau et de passer à B.

Ainsi, nous pestons souvent à cause de tous ces redémarrages, car nous ne pouvons pas utiliser notre ordinateur (notre téléphone ou bien l’équipement en question) lors du redémarrage. Cependant ils sont d’une grande utilité surtout pour rendre ce processus complexe de mise à niveau plus fiable, et ce particulièrement concernant des équipements que nous avons personnalisés en profondeur, avec une large gamme d’applications et de services interdépendants.

De plus aujourd’hui, l’avantage avec les mises à niveau actuelles, est que même si elles prennent un certain temps à s’installer complètement, il est rare de devoir faire quoi que ce soit en plus par la suite.

On ne vous posera pas d’interminables questions, qui en apparence n’ont aucun lien avec l’opération en cours, à des intervalles variables et aléatoires, comme c’était le cas par le passé, lorsque vous installiez Windows 95 !

En réalité, vous pouvez tout simplement vous absentez et partir faire autre chose d’autre, et à votre retour vous aurez juste l’impression d’avoir éteint votre ordinateur un court instant et puis de l’avoir allumé de nouveau.

Windows 10 vous propose même de choisir des créneaux horaires, et effectuera la mise à niveau automatiquement pour vous, en dehors de ces créneaux, si vous n’utilisez pas votre ordinateur.

Pourquoi est ce important ?

En fait, si vous utilisez un chiffrement intégral du disque : BitLocker sous Windows ou FileVault sous MacOS, ou encore le chiffrement intégré à votre iPhone, ou à votre récent Android, vous avez certainement déjà remarqué que vous n’avez pas à saisir votre mot de passe pendant le processus de mise à niveau, et ce même si votre ordinateur redémarre à plusieurs reprises pendant l’opération.

Pour finaliser le processus de mise à niveau lorsque vous n’êtes pas dans les parages, ou bien que vous êtes présents mais en train de faire autre chose, le système de mise à jour a besoin de conserver vos volumes de données chiffrées non verrouillées pendant la mise à niveau, d’une manière ou d’une autre.

Au passage, vous ne courrez pas un risque en matière de cybersécurité plus élevé dans ce cas de figure, que dans les autres cas où votre ordinateur est tout simplement en cours d’utilisation.

Lorsqu’un volume chiffré est monté et en cours d’utilisation, le système a besoin d’un accès à la clé de déchiffrement du disque, et c’est comme cela que ce système fonctionne.

En théorie, un cybercriminel  ne peut pas avoir accès à vos données en utilisant votre ordinateur, chiffré ou non, tant que vous votre écran est verrouillé (et tant qu’il n’existe pas de bug au niveau de cet écran de verrouillage bien entendu).

Cependant, s’il éteint votre ordinateur pour le contourner et parvenir à entrer en force par un autre biais, il aura besoin de connaitre votre mot de passe pour remonter le volume chiffré.

Notez qu’avoir un accès à la clé de déchiffrement du disque n’est pas similaire au fait d’avoir l’accès à votre mot de passe, qui est utilisé uniquement pour déchiffrer la clé du disque, et non pour déchiffrer le disque lui-même. C’est la raison pour laquelle vous pouvez changer votre mot de passe sans avoir à chiffrer de nouveau l’intégralité de votre disque : seule la clé d’un disque protégé par mot de passe nécessite d’être de nouveau chiffré. C’est aussi la raison pour laquelle, en cas de vol de votre mot de passe, vous pouvez rapidement récupérer votre disque en effaçant tout simplement la clé de chiffrement du disque. Une fois la clé du disque éliminée, votre mot de passe n’a plus de lien de chiffrement avec vos données présentes sur le disque en question.

Malheureusement, il semble que sous Windows 10, au moins, il existe un bref moment, lorsque votre ordinateur redémarre pour une mise à niveau, durant lequel vous pouvez presser Shift + F10, afin de basculer vers une fenêtre de récupération.

Vous pouvez imaginer où cela peut mener : si vous pouvez basculer vers un shell de récupération au bon moment pendant le processus de mise à niveau, le volume chiffré pourra être monté.

En d’autres mots, vous avez réussi à contourner la fenêtre de saisie du mot de passe de BitLocker, et vous pouvez ainsi avoir accès à des données sans autorisation particulière.

Quoi faire ?

Si vous êtes chez vous, la bonne nouvelle est que votre version de Windows n’intègre pas BitLocker. Ainsi, à moins de payer pour cela, ce problème ne vous concerne pas.

Un cybercriminel avec un accès physique à votre ordinateur, pourra le démarrer à partir d’une clé USB et lire le contenu de votre disque de toutes les façons.

Si vous êtes sur votre lieu de travail, ou bien chez vous avec BitLocker actif, vous pouvez éviter ce problème en ne laissant pas votre ordinateur sans surveillance pendant le processus de mise à niveau.

Certains rapports ont suggéré que sur des ordinateurs gérés par le SCCM (System Center Configuration Manager) de Microsoft, vous pouviez désactiver la console de récupération définitivement en créant un fichier appelé :

C:WINDOWSSystem32setupScriptsDisableCMDRequest.tag

Pensez à changer le répertoire Windows pour qu’il corresponde à votre installation locale.

Nous ne savons pas si cette opération fonctionne, ou bien si cette dernière est autorisée officiellement. En effet, nous n’avons pas pu trouver une quelconque mention de cette astuce sur les pages de support technique de Microsoft, cependant il ne semble pas y avoir de risque particulier en créant ce type de fichier si vous utilisez SCCM.

Nous pensons également que Microsoft mettra “l’absence de console de récupération” comme paramètre par défaut …

….ainsi au moment de faire votre prochaine mise à niveau, toute cette histoire risque de n’avoir plus aucun intérêt !

Follow @ SophosFrance //platform.twitter.com/widgets.js
Partagez Contournement de BitLocker pendant le processus de mise à niveau : http://wp.me/p2YJS1-38w
Billet inspiré de Bypassing BitLocker during an upgrade, par Paul Ducklin, Sophos NakedSecurity.