Microsoft a annoncé que Windows 11 nécessitera des puces TPM (Trusted Platform Module) sur les appareils existants et nouveaux. Les puces TPM fonctionnent en offrant une protection au niveau du matériel au lieu du logiciel uniquement. Elles peuvent être utilisées pour chiffrer des disques à l'aide de fonctionnalités Windows telles que bitLocker, ou pour empêcher les attaques par dictionnaire de mots de passe. Les puces TPM 1.2 existent depuis 2011, mais elles n'ont généralement été largement utilisées que dans les ordinateurs portables et de bureau professionnels gérés par l'informatique. Microsoft veut apporter le même niveau de protection à tous ceux qui utilisent Windows.Dans la documentation de Windows, il existe une rubrique qui liste les configurations matérielles minimales requises pour les éditions du système d’exploitation encore prises en charge. Pour Windows 11, l'éditeur a fait une mise à jour pour indiquer qu'il faut impérativement disposer d'un TPM 2.0 pour pouvoir installer Windows 11.
La spécification TPM 2.0 est standardisée (ISO/IEC 11889) depuis 2015. Elle a succédé à TPM 1.2, standardisée quant à elle en 2009.
En 2016, Microsoft a annoncé un changement dans la configuration matérielle minimum requise pour les dispositifs mobiles et PC qui allaient tourner sur Windows 10, espérant voir les constructeurs les adopter très vite pour des dispositifs plus sécurisés.
Aussi, depuis le 28 juillet 2016, tous les nouveaux modèles d’appareils doivent embarquer la version 2.0 du TPM (Trusted Platform Module) qui doit être activée par défaut. Le Trusted Platform Module (qui peut également se présenter sous forme de puce et porter le nom de puce TPM ou puce Fritz) est un composant cryptographique matériel, sur lequel s'appuie l'implémentation au niveau matériel du système Next-generation secure computing base (NGSCB). Il est appelé à être intégré sur les cartes mères des ordinateurs et autres équipements électroniques et informatiques conformes aux spécifications du Trusted Computing Group.
Bien que cette puce soit un composant électronique passif (qui ne peut pas donner d'ordre à l'ordinateur tel que bloquer le système, ou surveiller l'exécution d'une application), elle permet de facilement stocker des secrets (tels que des clés de chiffrement), de manière sécurisée. Aussi, elle va profiter aux utilisateurs en leur offrant une meilleure protection de leurs informations sensibles sur PC par exemple.
Le TPM 2.0 pourrait également permettre de renforcer la sécurité de la fonctionnalité d’authentification biométrique Windows Hello via laquelle les utilisateurs peuvent se connecter sur leur PC après s’être fait identifier par leurs empreintes digitales, leur visage ou un scan rétinien. Dans ce cas de figure, le TPM 2.0 pourra générer et sauvegarder les clés d’authentification dans une zone sécurisée.
Pour vérifier de quoi dispose une machine, on peut se rendre dans le gestionnaire de périphériques (commande "Devmgmt.msc" dans exécuter), catégorie « Périphériques de sécurité ». Et, pour obtenir davantage de détails, ouvrir l’outil « Gestion du module de plateforme sécurisée sur l’ordinateur local ».
Si votre TPM est bien utilisé, comme c’est le cas sur notre machine, l’utilitaire va vous donner la version de la spécification utilisée. Dans notre cas, il s'agit de la version 2.0. Si le TPM n’est pas activé sur votre machine, l’utilitaire va afficher le message « Module de plateforme sécurisée compatible introuvable ».
L'explication de Microsoft concernant Windows 11
La recommandation de l'éditeur semble être la même. Dans un billet de blog, David Weston, Director of Enterprise and OS Security chez Microsoft, a indiqué :
« En 2019, nous avons annoncé des PC à cœur sécurisé qui appliquent les meilleures pratiques de sécurité à la couche de micrologiciel, ou cœur de périphérique, qui sous-tend Windows. Ces appareils combinent des protections matérielles, logicielles et du système d'exploitation pour fournir des protections de bout en bout contre les menaces sophistiquées et émergentes telles que celles contre le matériel et les micrologiciels qui sont en augmentation selon le National Institute of Standards and Technology ainsi que le Department of Homeland Security. Notre rapport Security Signals a révélé que 83 % des entreprises ont subi une attaque de micrologiciel et que seulement 29 % allouent des ressources pour protéger cette couche critique.
« Avec Windows 11, nous permettons aux clients d'obtenir plus facilement une protection contre ces attaques avancées prêtes à l'emploi. Tous les systèmes Windows 11 certifiés seront livrés avec une puce TPM 2.0 pour garantir que les clients bénéficient d'une sécurité soutenue par une racine de confiance matérielle.
« Le Trusted Platform Module (TPM) est une puce qui est soit intégrée à la carte mère de votre PC, soit ajoutée séparément au CPU. Son objectif est d'aider à protéger les clés de chiffrement, les informations d'identification des utilisateurs et d'autres données sensibles derrière une barrière matérielle afin que les logiciels malveillants et les attaquants ne puissent pas accéder ou falsifier ces données.
« Les PC du futur ont besoin de cette racine de confiance matérielle moderne pour se protéger contre les attaques courantes et sophistiquées telles que les ransomwares et les attaques plus sophistiquées des États-nations. Exiger le TPM 2.0 élève la norme en matière de sécurité matérielle en exigeant cette racine de confiance intégrée.
« TPM 2.0 est un élément essentiel pour assurer la sécurité avec Windows Hello et bitLocker afin d'aider les clients à mieux protéger leurs identités et leurs données. En outre, pour de nombreuses entreprises clientes, les TPM contribuent à faciliter la sécurité Zero Trust en fournissant un élément sécurisé pour attester de la santé des appareils ».
Mais sera-t-il possible d'installer Windows 11 même sans TPM 2.0 ? À priori, la réponse est oui
Suite à l'annonce du système d'exploitation de nouvelle génération, il y a eu beaucoup d'engouement, mais aussi de confusion. Les utilisateurs sont confus quant à la configuration matérielle minimale requise pour l'installation de Windows 11 et Microsoft a tenté de clarifier la situation en mettant à jour sa documentation.
Microsoft expose différents scénarios possibles dans un PDF intitulé « Configuration matérielle minimale pour Windows 11 ». Rendez-vous à la section 3.6.1 de ce document et vous lirez ce qui suit*:
« Tous les modèles, lignes ou séries d'appareils doivent implémenter et être conformes à la norme internationale ISO/IEC 11889:2015 ou à la bibliothèque Trusted Computing Group TPM 2.0 et un composant qui implémente le TPM 2.0 doit être présent et activé par défaut.
« Les conditions suivantes doivent être remplies :
- Toutes les configurations TPM doivent être conformes aux lois et réglementations locales.
- Les composants basés sur le micrologiciel qui implémentent les capacités TPM doivent implémenter la version 2.0 de la spécification TPM.
- Un certificat EK doit soit être préprovisionné au TPM par le fournisseur de matériel, soit pouvoir être récupéré par l'appareil lors de la première expérience de démarrage.
- Il doit être livré avec les banques PCR SHA-256 et implémenter les PCR 0 à 23 pour SHA-256. Notez qu'il est acceptable d'expédier les TPM avec une seule banque PCR commutable qui peut être utilisée pour les mesures SHA-256.
- Il doit prendre en charge la commande TPM2_HMAC ».
Pour l'instant, rien d'anormal. Mais le document poursuit en disant : « Une option de micrologiciel UEFI pour désactiver le TPM n'est pas requise. Après approbation de Microsoft, les systèmes OEM pour les systèmes commerciaux à usage spécial, les commandes personnalisées et les systèmes clients avec une image personnalisée ne sont pas tenus d'être livrés avec une prise en charge TPM activée ».
En bref, cela signifie qu'il sera possible d'installer Windows 11 sur des systèmes qui ne répondent pas aux spécifications d'exigences minimales normales et qui n'ont pas TPM 2.0.
Des méthodes pour contourner cette restriction ont déjà fuité. En effet, en apportant des modifications au registre Windows ou au support d'installation, vous pouvez contourner toutes les restrictions TPM et débloquer Windows 11, ce qui va permettre à quiconque de mettre à niveau sa machine existante vers le nouveau système d'exploitation.
En plus du TPM, il est également possible de contourner la restriction SecureBoot.
Sources : David Weston (Director of Enterprise and OS Security chez Microsoft) , documentation Microsoft (Configuration matérielle minimale pour Windows 11 au format PDF), compatibilité Windows 11
Et vous ?
Quelle lecture en faites-vous ? Le TPM 2.0 est-il nécessaire en toutes circonstances selon vous ? Dans quelle mesure ? 
"
Envoyé par d_d_v
