Product SiteDocumentation Site

Chapitre 1. Qu'est-ce que UEFI Secure Boot ?

1.1. Secure Boot UEFI
1.2. Prérequis de Microsoft pour Secure Boot
1.2.1. Détails de l'implémentation
1.3. Secure Boot Fedora
1.4. De quoi vous protège Secure Boot ?
1.5. Risques potentiels Secure Boot
1.5.1. Fonctionnalités obligatoirement exclues en mode Secure Boot
1.5.2. Transformations du système en dehors de Secure Boot
1.5.3. Pas d'infrastructure d'allocation derrière Microsoft Windows
1.5.4. Procédures de révocation supposées
Secure Boot est une technologie dans laquelle le micrologiciel système vérifie que le chargeur de démarrage du système est signé avec une clé chiffrée autorisée par une base de donnée contenue dans le micrologiciel. Avec des vérifications de conformité de signature dans les phases suivantes de l'exécution du ou des chargeurs de démarrage, dans le noyau et, peut-être même, dans l'espace utilisateur, il est possible d'empêcher l'exécution de code non signé.
Secure Boot est une forme de démarrage sous contrôle. La validation du processus de démarrage fait également partie d'autres techniques, comme le démarrage sécurisé. La validation du processus de démarrage diffère d'un stockage sécurisé des clés de chiffrement ou d'une authentification à distance.

1.1. Secure Boot UEFI

Secure Boot UEFI est le composant « validation du processus de démarrage » de la directive UEFI (Unified Extensible Firmware Interface) dans sa version 2.3. Grosso modo, elle précise les points suivants :
  • une interface de programmation pour des variables UEFI protégées par chiffrement dans un stockage non-volatile,
  • la façon dont les certificats racine de confiance X.509 sont stockés dans les variables UEFI,
  • une validation des applications UEFI (chargeurs de démarrage et pilotes) en utilisant des signatures « AuthentiCode » incorporées dans ces applications, et
  • des procédures pour révoquer des certificats et des signatures d'applications reconnus comme mauvais.
Secure Boot UEFI ne nécessite pas de matériel spécialisé, sauf un stockage (flash) non volatil pouvant être basculé du mode lecture-écriture au mode lecture seule pendant le démarrage du système. Ce stockage est utilisé pour stocker l'implémentation de UEFI lui-même et quelques unes des variables protégées UEFI (y compris le certificat racine de confiance).
Du point de vue de l'utilisateur, un système, qui a activé Secure Boot UEFI et qui est confronté à un processus de démarrage trafiqué, s'arrête simplement de fonctionner jusqu'à ce que Secure Boot UEFI soit désactivé ou qu'une phase suivante correctement signée dans le chargeur de démarrage soit disponible sur le média de lancement (la Figure 1.1, « Message d'erreur type Secure Boot UEFI » montre un message d'erreur typique). De la même manière, des installeurs de systèmes d'exploitation sans signature chiffrée valide ne s'exécutent pas et se terminent par un message d'erreur. Aucun moyen n'est offert à l'utilisateur pour contourner la décision de rejet de signature du chargeur de démarrage, contrairement au scénario similaire avec les certificats des serveurs Web. Aucune information sur l'émetteur du certificat n'est fournie à l'utilisateur.
┌────────── Secure Boot Violation ──────────┐
│                                           │
├───────────────────────────────────────────┤
│ Invalid signature detected. Check Secure  │
│          Boot Policy in Setup             │
│                                           │
│                                           │
│                   [OK]                    │
└───────────────────────────────────────────┘
Figure 1.1. Message d'erreur type Secure Boot UEFI

Secure Boot UEFI n'empêche ni la mise en place ou l'enlèvement des logiciels exécutant la phase 2 des chargeurs de démarrage, ni l'obligation d'une confirmation explicite de l'utilisateur pour de telles modifications. Les signatures sont vérifiées pendant le démarrage, et non quand le chargeur de démarrage est installé ou mis à jour. Ainsi, Secure Boot UEFI n'empêche pas les manipulations du processus de démarrage. Il empêche uniquement le système d'exécuter un processus de démarrage modifié après qu'un tel changement est intervenu ; en outre, il simplifie leur détection.

Technologie client

Secure Boot UEFI est actuellement uniquement activé sur des périphériques client, et n'est pas recommandé pour un déploiement sur des serveurs. Il est prévu que les technologies serveur activent Secure Boot dans le futur.