Qu'est-ce que Secure Boot, et comment une faille vieille de dix ans est-elle passée inaperçue ?

Secure Boot est une couche de sécurité fondamentale intégrée aux ordinateurs modernes pour protéger le processus de démarrage. Lorsqu'une machine s'allume, Secure Boot vérifie que chaque élément logiciel exécuté avant le chargement du système d'exploitation provient d'une source fiable, afin d'empêcher les logiciels malveillants de s'infiltrer durant cette phase précoce et vulnérable.

Cette vérification repose sur des signatures numériques. Chaque composant est signé cryptographiquement par son fabricant, et le micrologiciel de l'ordinateur est conçu pour n'autoriser l'exécution que des signatures reconnues comme fiables. En théorie, cela rend pratiquement impossible pour un logiciel non autorisé de détourner le processus de démarrage.

Mais des chercheurs en sécurité ont révélé que cette protection pouvait en réalité être contournée depuis plus de dix ans. La racine du problème se situe dans ce que l'on appelle les « shims », de petits composants logiciels permettant à différents systèmes d'exploitation de fonctionner aux côtés de Secure Boot.

Certains de ces shims sont d'anciennes versions, développées il y a des années, qui comportent des vulnérabilités connues. En temps normal, les signatures numériques de ces composants défectueux auraient dû être révoquées, les retirant ainsi de la liste des logiciels fiables. Or, les chercheurs ont découvert que de nombreux shims anciens et oubliés étaient restés considérés comme fiables pendant des années, sans jamais avoir été révoqués.

Cette négligence signifie qu'un attaquant pourrait exploiter l'un de ces shims obsolètes et vulnérables pour contourner entièrement Secure Boot. En chargeant l'ancien composant sur un système, un attaquant peut effectivement exécuter un logiciel non fiable alors que la machine le considère comme fiable.

La faille est particulièrement dangereuse car un contournement réussi de Secure Boot peut permettre l'installation d'un bootkit — un logiciel malveillant intégré si profondément dans le processus de démarrage qu'il peut persister même après une réinstallation complète du système d'exploitation. Ce type de logiciel malveillant fonctionne à un niveau situé sous celui où opèrent habituellement les antivirus classiques, ce qui le rend extrêmement difficile à détecter.

Les experts estiment que la complexité technique de l'écosystème des shims explique en partie pourquoi le problème est passé inaperçu aussi longtemps. Avec des milliers de shims différents en circulation dans le monde, suivre ceux qui comportent des vulnérabilités — et les révoquer — représente une tâche véritablement ardue.

Microsoft affirme avoir accéléré le processus de révocation des shims connus pour être vulnérables depuis que le problème a été mis au jour. Les chercheurs en sécurité avertissent toutefois que la mise à jour des listes de révocation sur des millions d'appareils dans le monde prendra du temps.

Pour les utilisateurs ordinaires, la principale défense consiste simplement à maintenir à jour le système d'exploitation et le micrologiciel. Ces mises à jour intègrent les listes de révocation les plus récentes, garantissant que les composants obsolètes et vulnérables ne sont plus considérés comme fiables.

L'épisode est aujourd'hui discuté dans la communauté de la sécurité comme un rappel que les systèmes de confiance basés sur les signatures ne valent que par leur processus de révocation — délivrer correctement des signatures compte, mais retirer la confiance à temps, une fois qu'elle n'est plus justifiée, compte tout autant.