Lors de la conférence annuelle du Chaos Communication Congress (CCC), Thomas Lambertz, un hacker expérimenté, a démontré comment il était possible de contourner le système de chiffrement BitLocker de Windows 11. Dans sa présentation intitulée « Windows BitLocker: Screwed without a Screwdriver », il a révélé une faille qui persiste malgré les correctifs appliqués par Microsoft en 2022. Selon lui, un simple adaptateur Ethernet ou Wi-Fi USB et une connexion réseau suffisent pour exploiter cette vulnérabilité.
Une vulnérabilité ancienne mais toujours d’actualité
La faille, identifiée sous le code CVE-2023-21563 et surnommée « bitpixie attack, » avait été signalée et corrigée par Microsoft en 2022, mais cette correction s’est avérée insuffisante.
Lambertz a démontré qu’un attaquant disposant d’un accès physique à l’ordinateur peut contourner BitLocker en combinant le démarrage PXE et un ancien chargeur de démarrage (bootloader) de Windows. En utilisant un simple adaptateur réseau USB (Ethernet ou Wi-Fi), l’attaquant active le démarrage PXE pour charger un environnement contrôlé. Depuis cet environnement, il force l’ordinateur à utiliser un bootloader de Windows obsolète, encore accepté par certains firmwares UEFI. Ce bootloader permet de démarrer un environnement non sécurisé où BitLocker place temporairement sa clé de chiffrement en mémoire. En exploitant cet accès, l’attaquant peut extraire la clé à l’aide d’outils Linux, puis déchiffrer le disque protégé et accéder aux données sensibles.
Cette méthode, bien que technique, est relativement rapide et ne nécessite ni ouverture de l’appareil ni un accès prolongé.
Pourquoi le correctif de Microsoft est-il insuffisant ?
Bien que Microsoft ait déployé un correctif en novembre 2022 pour tenter de combler cette faille, il reste insuffisant. Selon Lambertz, ce correctif n’a pas résolu le problème en profondeur car il est limité par des contraintes techniques liées au stockage des certificats Secure Boot dans le firmware UEFI. L’espace mémoire dédié aux certificats est trop restreint pour permettre une gestion optimale des sécurités nécessaires pour bloquer les anciens chargeurs de démarrage de Windows. Si cet espace était plus vaste, il serait possible d’inclure davantage de mécanismes de validation et de contrôler plus rigoureusement les chargeurs de démarrage autorisés. Cela empêcherait l’exécution de bootloaders obsolètes, comme ceux utilisés dans l’attaque « bitpixie ».
Cette limitation technique empêche donc l’implémentation d’une solution complète et immédiate. En effet, une plus grande capacité de stockage dans le firmware UEFI permettrait une mise à jour plus souple et dynamique des certificats de sécurité, rendant l’exploitation de la faille plus difficile. Par conséquent, les utilisateurs ne devraient pas s’attendre à un correctif complet avant 2026, date à laquelle des mises à jour pour résoudre ce problème pourraient enfin être disponibles.
Des solutions provisoires pour limiter les risques
En attendant une solution définitive, plusieurs mesures peuvent être prises pour limiter les risques :
- activer la protection par code PIN pour BitLocker afin d’ajouter une couche de sécurité supplémentaire ;
- désactiver l’accès réseau dans le BIOS/UEFI pour empêcher toute tentative d’accès via un réseau pendant le démarrage.
Pour les utilisateurs standards, cette attaque reste peu probable. Toutefois, dans les environnements professionnels ou gouvernementaux où la protection des données est essentielle, cette faille représente un risque majeur. Un simple accès physique à un appareil pourrait permettre à un attaquant de déchiffrer un disque BitLocker et d’accéder à des informations sensibles, voire classifiées.
Le mot de la fin
Pour les passionnés de cybersécurité ou les curieux souhaitant en apprendre davantage, la présentation complète de Thomas Lambertz est disponible sur le portail média du CCC (Windows BitLocker: Screwed without a Screwdriver). En 56 minutes, le hacker y explique en détail les subtilités techniques de cette attaque et pourquoi elle est si difficile à corriger.
Cette découverte souligne une fois de plus l’importance de rester vigilant face aux vulnérabilités des systèmes, même lorsqu’un correctif semble avoir été appliqué.