Le Secure Boot est un protocole de l'UEFI (le remplaçant du BIOS) pour permettre une sécurisation de l'environnement pré-OS et notamment limiter d'éventuelles compromissions du processus de boot via un rootkit (ou bootkit).

porte Dans ce cadre du démarrage sécurisé, la machine démarre seulement grâce à un logiciel qui a été approuvé par son fabricant. Le firmware vérifie la signature de chaque logiciel de démarrage dont les pilotes du firmware et le système d'exploitation. Lorsque les signatures sont correctes, le contrôle est cédé par le firmware au système d'exploitation.

Accessoirement, le Secure Boot peut empêcher le recours à des systèmes d'exploitation non-Windows dans la mesure où il a été implémenté par Microsoft. Cependant, deux chercheurs en sécurité - ou hackers - se présentant sous les identités de my123 (@never_released) et slipstream (@TheWack0lian) ont découvert une possibilité de contournement du Secure Boot.

Ils font allusion à des Golden Keys et la faute en incombe en partie… à Microsoft suite à une fuite de ces clés. A priori pour permettre des tests en interne avec la possibilité de charger de nouvelles mises à jour de systèmes d'exploitation sans la nécessité d'une signature pour chacune, Microsoft a créé et signé une nouvelle politique du Secure Boot faisant l'impasse sur des contrôles et vérifications habituels.

Assimilée à une backdoor, cette politique de test a probablement été introduite pendant le développement de Windows 10 version 1607 (Redstone). On ne sait trop comment, il s'avère donc qu'elle a fuité en ligne et les deux hackers ont pu l'analyser.

Ils ont informé Microsoft de leurs trouvailles entre mars et avril. Microsoft a diffusé des patchs via des mises à jour de sécurité MS16-094 en juillet et MS16-100 lors du récent Pach Tuesday d'août. La première mise à jour a introduit une liste noire et la deuxième fait référence à une vulnérabilité permettant le contournement du Secure Boot si un attaquant installe un gestionnaire de boot affecté et contourne les fonctionnalités de sécurité de Windows.

Ces mises à jour ont été marquées importantes mais pas critiques. Pour my123 et slipstream, les patchs ne corrigent pas complètement le problème. Ils donnent de plus amples détails dans un billet très vintage.