Bios : Secure Boot
Le Secure Boot est une fonction du firmware de démarrage, l'UEFI qu'on continue souvent d'appeler BIOS, conçue pour protéger la phase la plus vulnérable de la vie d'un ordinateur : son démarrage. Son but est d'empêcher le chargement de logiciels malveillants avant même que le système d'exploitation ne prenne la main, à un moment où aucun antivirus ne tourne encore. Face à des menaces qui ciblent de plus en plus cette étape, c'est devenu un élément de base de la sécurité d'un poste ou d'un système embarqué.
Ce que fait le Secure Boot
Le Secure Boot garantit que la machine ne démarre qu'avec des logiciels approuvés par son fabricant. Lorsqu'il est activé, le firmware vérifie la signature numérique de chaque composant logiciel chargé au démarrage, jusqu'au système d'exploitation, avant de l'exécuter. Si une signature n'est pas reconnue, le démarrage est bloqué et le code potentiellement dangereux ne s'exécute pas.
Cette vérification apporte deux protections. Elle bloque d'abord les rootkits et les malwares qui cherchent à s'installer avant le système d'exploitation, une catégorie de menaces particulièrement difficile à détecter une fois en place. Elle assure ensuite l'intégrité du système, en empêchant toute modification non autorisée de la chaîne de démarrage.
Activer le Secure Boot
L'activation reste simple, même si les menus varient d'un constructeur à l'autre. Sur un appareil Dell, par exemple, la procédure est la suivante :
- Accédez au BIOS/UEFI au démarrage de l'ordinateur.
- Recherchez l'option Secure Boot et activez-la.
- Vérifiez que le firmware est bien en mode UEFI : le Secure Boot ne fonctionne pas en mode hérité (Legacy).
- Enregistrez les modifications et redémarrez.
Les questions de compatibilité
La contrepartie de cette sécurité est une moindre souplesse. Le Secure Boot peut empêcher l'installation de logiciels ou de systèmes d'exploitation qui ne disposent pas d'une signature numérique reconnue. Des utilisateurs ont ainsi rencontré des difficultés pour installer certaines distributions Linux sur des machines où il était activé. Il faut alors soit désactiver temporairement le Secure Boot le temps de l'installation, soit configurer le firmware pour accepter d'autres signatures.
Pour un ingénieur ou un responsable technique, c'est cette seconde option qui mérite d'être anticipée : savoir quelles signatures le système accepte, et comment y intégrer son propre logiciel, permet de conserver la protection sans bloquer le déploiement. Le Secure Boot fonctionne d'ailleurs souvent de pair avec d'autres briques de sécurité matérielle comme le TPM 2.0. Si vous préparez un système embarqué qui doit démarrer en mode sécurisé, nos équipes peuvent vous aider à vérifier ce que prennent en charge le module et son firmware.