La firme de Redmond renforce la sécurité dans Windows 11 en rendant obsolètes les signatures de pilotes noyau de son système d'exploitation effectuées via son programme racine de signature croisée (cross-signed root). La plupart des certificats reposant dessus ont expiré en juillet 2021, mais jusqu'alors ils continuaient de fonctionner jusqu’à leur date d'expiration. A partir d'avril ce ne sera plus le cas, la société ayant annoncé aux développeurs l'obligation de se conformer au WHCP (Windows Hardware Compatibility Program). Cette décision s'applique à partir de Windows 11 version 24H2 et Server 2025.
Avec cette évolution, le fournisseur remédie ainsi à un problème de sécurité bien connu affectant son système d'exploitation depuis des années. Le programme racine de signature croisée remonte au début des années 2000 et a longtemps été considérée comme la norme pour l'intégration de pilotes tiers dans le noyau Windows. Le problème ? La certification était assurée par des organismes externes et ne prévoyait que des contrôles de sécurité limités. Cela a donné lieu à des abus et au vol de clés de signature, ouvrant la voie à des pilotes trafiqués. Bien que le programme ait été abandonné dès 2021, Windows continuait d'accepter ces anciens pilotes mais à l'avenir, seuls les pilotes du noyau de l'OS certifiés via WHCP seront validés. Ces drivers sont notamment vérifiés par l'éditeur afin de détecter la présence éventuelle de logiciels malveillants et d'assurer leur compatibilité. L'objectif est de rendre nettement plus difficile l'injection de code malveillant dans le noyau, la partie la plus sensible de l'OS.
Des exemptions sous conditions
Grâce à cette politique, les attaques via des pilotes trafiqués ou non sécurisés seront considérablement plus difficiles à mener. Cependant, certains utilisateurs pourraient rencontrer des problèmes imprévus, par exemple si leur matériel très ancien repose sur des pilotes qui ne sont plus pris en charge. Microsoft limite ce risque grâce à un déploiement progressif et à des exceptions. Bien que l'annonce ait été faite la semaine dernière, le changement ne sera pas immédiat. En effet, l'éditeur commence par mettre en place ce qu'il appelle un « mode d'évaluation » pour les PC se présentant ainsi : « Le noyau Windows surveillera et vérifiera tous les chargements de pilotes pour déterminer si la nouvelle politique de confiance peut être activée en toute sécurité sans entraîner de problèmes de compatibilité dus au blocage de pilotes critiques signés de manière croisée », a expliqué l'éditeur.
A noter que les systèmes sur lesquels des pilotes incompatibles ont été détectés resteront pour l'instant en mode diagnostic et ne seront pas concernés par une transition complète de ce changement de règles. Il en est de même pour les anciens pilotes jugés fiables destinés à continuer de fonctionner, sachant que les entreprises pourront également définir leurs propres règles. Des politiques spéciales leurs permettent ainsi de continuer à utiliser des pilotes internes ou développés sur mesure, mais uniquement dans des conditions strictement contrôlées. À cette fin, Microsoft propose une fonctionnalité, application control pour Windows, permettant aux entreprises d'approuver de manière sélective leurs propres pilotes ou des pilotes non certifiés officiellement par exemple pour des applications internes ou du matériel spécialisé. Cette fonction sera intégrée pour les prochaines versions de l'OS.
La société souligne que cette évolution de politique s'appuie sur des données télémétriques exhaustives, notamment celles issues de milliards d'opérations de chargement de pilotes au cours des deux dernières années. Elle explique aussi avoir pris en compte les commentaires des développeurs dans le cadre de ce changement.