Instructeur : Dans cette leçon, nous
allons explorer certaines
des fonctions de sécurité du BIOS et de l'UEFI.
En plus de fournir des protections sur notre réseau et dans
l'environnement de notre système d'exploitation,
nous devons également prendre en compte la sécurité
de l'environnement de notre système de pré-exploitation.
C'est la partie de l'ordinateur
qui peut être attaquée pendant la phase de démarrage.
Il faut donc prendre en compte les protections du chargeur
de démarrage, y compris les mots de passe du BIOS et de l'UEFI, le processus de démarrage
sécurisé et la définition des autorisations sur les ports USB
de votre carte mère.
Rappelons que le BIOS et l'UEFI sont deux types de microprogrammes
différents utilisés dans nos ordinateurs pour nous aider
à charger et à démarrer notre système d'exploitation.
Chaque ordinateur peut contenir soit le BIOS, soit l'UEFI,
mais pas les deux.
Le BIOS est le système d'entrée/sortie de base. Il s'agit
d'une interface micrologicielle qui initialise le matériel
pour un système d'exploitation afin qu'il puisse démarrer.
Les ordinateurs qui s'appuient sur le BIOS vont utiliser
un enregistrement d'amorçage principal, ou MBR, pour contenir leurs informations d'amorçage
et identifier les partitions d'un disque dur donné qui contiennent
le système d'exploitation à charger.
Le BIOS est l'ancien type de microprogramme.
L'UEFI (Unified Extensible Firmware Initiative)
est un type de microprogramme plus récent.
L'UEFI est un type de micrologiciel système qui prend en charge
les opérations du processeur 64 bits au moment du démarrage, une interface utilisateur
graphique complète et des opérations de souris au démarrage, ainsi qu'une
meilleure sécurité au démarrage.
Les ordinateurs qui utilisent l'UEFI vont utiliser une table
de partition GUID, connue sous le nom de GPT, pour contenir leurs informations de démarrage.
L'UEFI permet d'accéder à des disques de plus
de deux téraoctets et de démarrer à partir de ceux-ci. Il fournit
une architecture et des pilotes indépendants du processeur,
ainsi qu'un environnement pré-OS qui peut inclure des capacités
réseau et un accès à la navigation sur le web.
Dans l'ensemble, l'UEFI est plus récent et plus avancé que le BIOS et fournit
des contrôles de sécurité et d'intégrité supplémentaires
pendant le processus de démarrage, y compris le démarrage sécurisé.
Désormais, le BIOS et l'UEFI peuvent également être protégés
par différents types de mots de passe.
Il s'agit du mot de passe du superviseur, de l'administrateur
ou de la configuration, du mot de passe de l'utilisateur ou du système et du mot
de passe du stockage ou du disque dur.
Le mot de passe du superviseur, de l'administrateur ou de la configuration
est le premier type de mot de passe que vous trouverez lorsque
vous utiliserez le BIOS ou l'UEFI.
Ce mot de passe est utilisé pour protéger l'accès
au programme de configuration du BIOS ou de l'UEFI et empêche
les utilisateurs non autorisés d'accéder à cet
outil de configuration sensible.
Si vous définissez ce mot de passe, chaque fois que quelqu'un
tentera d'entrer dans le BIOS ou l'UEFI, il devra saisir
le mot de passe avant d'accorder l'accès, mais
cela n'empêchera pas quelqu'un d'allumer l'ordinateur et de démarrer
dans l'environnement normal du système d'exploitation.
Ce mot de passe sera presque toujours configuré sur les ordinateurs
d'un réseau d'entreprise, de sorte que les utilisateurs
finaux ne puissent pas accéder au BIOS ou à l'UEFI, mais que les administrateurs
système et les techniciens puissent le faire s'ils disposent
du bon mot de passe.
Le mot de passe utilisateur ou système est le deuxième
type de mot de passe qui peut être configuré dans le BIOS ou l'UEFI.
Ce mot de passe est utilisé pour verrouiller l'accès à l'ensemble de l'ordinateur.
Chaque fois que l'ordinateur est mis sous
tension, il s'arrête et demande un mot de passe.
Si l'utilisateur final saisit le bon mot de passe, l'ordinateur
va continuer à charger le système d'exploitation et à démarrer.
Bien qu'il s'agisse d'une méthode très sûre pour protéger un ordinateur,
elle n'est presque jamais utilisée dans les réseaux d'entreprise, car ce
mot de passe devrait être partagé avec tous les
utilisateurs qui accèdent à cet ordinateur, et ce mot de passe partagé
annule alors une partie de la sécurité que nous essayons d'obtenir.
Au lieu de cela, vous verrez généralement un mot de passe d'utilisateur ou de système utilisé
uniquement sur l'ordinateur d'une personne, lorsque
celle-ci est le seul utilisateur de l'ordinateur.
Il s'agit d'un mot de passe distinct et différent
du mot de passe utilisateur qui sera
utilisé pour accéder à Windows, Linux ou au système MacOS, et qui permet
à l'utilisateur d'accéder au système dans cet
environnement de pré-exploitation.
Le troisième type de mot de passe est connu sous le nom
de mot de passe de stockage ou de disque dur.
Ce type de mot de passe était très répandu avant
l'inclusion du module de plateforme de confiance ou du module
de sécurité matériel dans les ordinateurs modernes.
Ce mot de passe verrouille l'accès à un disque dur
connecté à un système et oblige l'utilisateur final
à saisir le mot de passe pour que le disque dur puisse
être lu et le système d'exploitation chargé.
Contrairement au mot de passe de l'utilisateur ou du système qui bloque
l'accès à l'ensemble du système jusqu'à ce que le bon
mot de passe soit saisi, le mot de passe de stockage ou de disque
dur ne bloque que le disque dur et la possibilité
de démarrer le système d'exploitation à partir de celui-ci.
La prochaine fonction de sécurité que nous devons aborder
est connue sous le nom de démarrage sécurisé.
Le démarrage sécurisé peut être activé dans l'interface
et les paramètres UEFI et n'est pas pris en charge par le BIOS.
S'il est activé, il effectuera trois vérifications différentes
au cours du processus de démarrage de Windows ou d'autres
systèmes d'exploitation prenant en charge cette fonction, afin de
s'assurer que l'ordinateur n'a pas été détourné par un code
malveillant injecté dans le système d'exploitation.
Examinons le processus de démarrage complet
d'un système Windows normal.
La première étape du processus se produit lorsqu'un ordinateur Windows
démarre, que les composants de démarrage du microprogramme sont chargés et
que le gestionnaire de démarrage est lancé.
Ensuite, le chargeur Windows va démarrer, le noyau
Windows va être lancé et les installations
de pilotes critiques pour le démarrage
vont avoir lieu.
Maintenant, toutes les initialisations supplémentaires du système
d'exploitation vont se produire, et enfin, l'utilisateur se voit
présenter l'écran de connexion de Windows.
Lorsque les composants de démarrage du micrologiciel
sont chargés pendant un démarrage sécurisé, le micrologiciel va d'abord
vérifier que tous les fichiers exécutables UV et le chargeur du système d'exploitation
lui-même sont intacts et qu'ils n'ont pas été compromis
par un logiciel malveillant.
Cela signifie qu'ils peuvent être chargés en toute sécurité.
Ensuite, les composants de démarrage de Windows vont vérifier
la signature numérique de chaque composant avant
de les charger.
Si un composant échoue à ce contrôle de signature,
il ne se chargera pas et déclenchera une alerte pour
l'utilisateur final.
Enfin, les pilotes critiques pour le démarrage vont être vérifiés
par rapport à leurs hachages connus et, s'ils passent cette
vérification, ils vont être chargés en tant que partie finale du
processus de démarrage sécurisé.
En ce qui concerne le démarrage sécurisé, je vous rappelle
qu'il s'agit d'une procédure utilisée pour s'assurer
que notre système d'exploitation est fiable et qu'il n'a pas été
victime d'un type particulier de logiciel malveillant connu
sous le nom de kit racine.
Pour que le démarrage sécurisé fonctionne, il doit
être activé dans votre système UEFI et votre système d'exploitation
doit également le prendre en charge.
La dernière fonction de sécurité que nous devons aborder
dans le BIOS ou l'UEFI est la configuration des autorisations pour les
ports USB de votre carte mère.
La plupart des systèmes modernes peuvent être configurés pour activer
ou désactiver les ports USB de votre carte mère, et certains vous
permettront même de restreindre les ports USB de manière à ce qu'ils ne prennent
pas en charge certains types de périphériques
USB tout en permettant l'utilisation d'autres périphériques.
La principale préoccupation concerne normalement
les logiciels malveillants et la perte de données.
En ce qui concerne les logiciels malveillants, les ports USB peuvent constituer un excellent
moyen d'attaque pour quelqu'un qui tente
de s'introduire dans votre système.
Par exemple, si je charge une clé USB de logiciels malveillants,
je peux la déposer dans un parking à l'extérieur d'un immeuble
de bureaux, et si quelqu'un est curieux, la ramasse et la branche
sur sa machine, cela peut alors installer des logiciels
malveillants sur vos systèmes.
Nous voulons donc empêcher cela en désactivant la capacité de
l'USB à lire et à écrire à partir de périphériques de stockage de masse.
Pour ce faire, vous pouvez soit bloquer complètement l'USB, mais vous
ne pourrez alors pas utiliser des éléments tels que des écouteurs
et des webcams, des souris et des claviers, et d'autres choses du même genre.
Au lieu de cela, nous pourrions nous contenter de restreindre
la possibilité de les utiliser comme périphériques de stockage
de masse, ce qui empêcherait les clés USB, les lecteurs
flash ou les disques durs externes d'être connectés au système.
Cela peut nous aider à empêcher l'introduction
de logiciels malveillants dans notre système.
Mais en plus de cela, il pourrait également nous aider à empêcher
les données de sortir de notre système.
Par exemple, supposons que vous travailliez pour une organisation
top secrète au sein du gouvernement.
Vous ne voudriez pas que quelqu'un puisse
entrer avec une petite clé USB, la brancher sur l'ordinateur, télécharger
toutes vos informations et sortir par la
porte d'entrée avec.
Pour éviter cela, vous pouvez configurer votre UEFI de manière à bloquer
ces ports USB ou à empêcher qu'ils soient utilisés pour des périphériques
de stockage de masse, et encore une fois, bloquer la possibilité d'utiliser
des clés USB et des disques durs externes, ce qui empêchera
les gens de sortir par la porte d'entrée
avec vos informations critiques.
N'oubliez donc pas qu'en matière de sécurité, votre BIOS
ou UEFI peut vous apporter trois choses principales.
La première est la possibilité de définir des mots de passe pour contrôler
les différents accès aux différentes parties de votre système.
La seconde est la possibilité d'activer le démarrage sécurisé
pour s'assurer que votre système d'exploitation n'a pas été compromis
avant de le charger.
Enfin, il est possible de restreindre ou de désactiver les ports USB de la carte mère
afin d'empêcher l'introduction de logiciels
malveillants dans le système ou
l'exfiltration de données de ce dernier.