Voici la plus grosse bourde de Microsoft en matière de cybersécurité de la décennie

« Secure Boot », ça vous dit peut-être quelque chose, et c'est tout à fait normal, car il est très important si vous utilisez Windows. Derrière ce nom se cache le videur de votre ordinateur : à chaque allumage, il vérifie le certificat de chaque brique de code qui se présente, et refuse l'entrée à tout élément qui n'a pas été approuvé par une autorité de confiance du nom de... Microsoft.

Mais voilà, ce système a un sacré problème : des chercheurs viennent de découvrir que 11 certificats sont restés valides pendant des années aux yeux de l'entreprise américaine, alors qu'ils n'auraient pas dû l'être. Le plus ancien date même de 2013 !

Une faille très dangereuse

Pendant des années, notre videur a ainsi laissé entrer n'importe qui lui présentant un vieux badge périmé. Et le constat est pire si on interprète la situation différemment : Secure Boot a été présenté en 2011, et il est resté faillible durant 13 de ses 14 années d'existence. Aïe !

Cette faille permettait à celles et ceux qui savaient l'utiliser d'infecter une machine avant même que le système d'exploitation ne démarre, là où aucun antivirus ne va généralement regarder. Pire : un programme malveillant l'employant pouvait survivre à une réinstallation complète de l'OS, voire à un changement de disque dur. Un petit cauchemar, en somme.

Le problème ne concerne d'ailleurs pas uniquement Windows, puisque des acteurs comme Red Hat, openSUSE ou Oracle s'appuient sur le même système pour sécuriser le démarrage de leurs distributions Linux.

Un système trop complexe ?

Reste une question : pourquoi Microsoft, qui gère quasiment seule la sûreté de ce dispositif, n'a-t-elle pas fait le ménage plus tôt ? Difficile à dire, et l'entreprise ne s'est pas encore justifiée. La complexité du système serait toutefois une piste sérieuse pour expliquer toute cette affaire, car il est difficile d'y toucher sans faire tanguer tout ce qui repose dessus. Certains experts en cybersécurité estiment même que le modèle est à repenser de zéro.

Pour finir, on a heureusement une bonne nouvelle : les certificats fautifs ont (enfin !) été révoqués en juin dernier. Si vous êtes sous Windows et que vous avez installé les derniers correctifs, vous êtes donc protégé. Les utilisateurs de Linux, eux, devront passer par le Linux Vendor Firmware Service ou attendre une confirmation de l'éditeur de leur distribution pour savoir s'ils sont hors de danger.

Source : Ars Technica