BIOS, UEFI, Secure Boot et TPM : le démarrage d'un PC

L'UEFI (Unified Extensible Firmware Interface) est le micrologiciel qui démarre un ordinateur : il initialise le matériel, puis lance le chargeur du système d'exploitation. Il a remplacé le BIOS des PC d'avant 2012 environ. Le Secure Boot est une fonction de l'UEFI qui refuse de lancer un chargeur non signé, et le TPM 2.0 est une puce de sécurité qui garde des clés et mesure le démarrage. Windows 11 exige un UEFI compatible Secure Boot et un TPM 2.0. Ce chapitre suit le démarrage d'un PC étape par étape, puis explique comment vérifier et régler chacun de ces éléments.

Du bouton marche à l'écran de connexion

Entre l'appui sur le bouton et l'écran de connexion, il se passe six étapes. Les connaître, c'est savoir où chercher quand un PC « ne démarre pas » : il s'arrête toujours à l'une d'elles.

1. Mise sous tension. L'alimentation stabilise ses tensions et envoie un signal « Power Good » à la carte mère, qui libère le processeur. Rien ne s'allume ? La panne est électrique : prise, câble, bouton, alimentation.
2. POST (Power-On Self-Test). Le micrologiciel teste et initialise le processeur, la mémoire, la carte graphique, puis énumère les périphériques. S'il trouve une erreur avant d'avoir un écran, il la signale par des bips ou des voyants de diagnostic. Les codes dépendent du fabricant : la documentation de la carte mère ou du PC les donne.
3. Gestionnaire de démarrage UEFI. Il lit l'ordre de démarrage enregistré dans le micrologiciel et cherche, sur le disque choisi, la partition système EFI (ESP), une petite partition FAT32 qui contient les chargeurs.
4. Chargeur du système. Pour Windows, \EFI\Microsoft\Boot\bootmgfw.efi (le Windows Boot Manager). Pour la plupart des Linux, shimx64.efi puis grubx64.efi (GRUB), qui affiche le menu de choix du système.
5. Noyau. Le chargeur lance le noyau (ntoskrnl.exe pour Windows, vmlinuz pour Linux) et lui passe la main, avec les pilotes nécessaires au démarrage.
6. Services et session. Le système démarre ses services (services.exe sous Windows, systemd sous Linux), puis affiche l'écran de connexion.

BIOS hérité ou UEFI

Le BIOS (Basic Input/Output System) est le micrologiciel des PC compatibles IBM depuis 1981. L'UEFI l'a progressivement remplacé : les PC vendus depuis une dizaine d'années démarrent en UEFI, et beaucoup appellent encore « BIOS » l'écran de réglages de l'UEFI.

Pour rester compatibles, les cartes mères ont longtemps proposé un CSM (Compatibility Support Module) qui émule un BIOS. Le CSM désactive le Secure Boot. Windows 11 exige l'UEFI avec le Secure Boot possible : sur un PC où le CSM est activé, l'assistant d'installation refuse de continuer.

MBR ou GPT : le partitionnement du disque

Le partitionnement découpe un disque en zones indépendantes, les partitions. Deux schémas existent :

La limite de 2 Tio vient du calcul : le MBR range l'adresse des secteurs sur 32 bits, donc au plus 2³² secteurs de 512 octets, soit 2³² × 2⁹ = 2⁴¹ octets = 2 Tio. Un disque de 4 To initialisé en MBR n'offre que 2 Tio utilisables.

Pour savoir quel schéma utilise un disque : dans la Gestion des disques, clic droit sur le disque > Propriétés > onglet Volumes ; en PowerShell, Get-Disk (colonne PartitionStyle) ; sous Linux, sudo fdisk -l (ligne « Disklabel type: gpt » ou « dos »). Windows fournit MBR2GPT.exe pour convertir le disque système d'un PC sans perdre de données, avant de passer le micrologiciel en UEFI : c'est l'étape obligatoire pour faire passer vers Windows 11 un vieux poste resté en mode BIOS.

Entrer dans les réglages du micrologiciel

L'écran de réglages de l'UEFI s'ouvre en appuyant sur une touche pendant le POST. Elle dépend du fabricant :

Windows démarre souvent trop vite pour laisser le temps d'appuyer : avec le démarrage rapide, un « arrêt » n'est qu'une mise en veille prolongée du noyau. Deux méthodes fiables depuis Windows :

• Paramètres > Système > Récupération > Démarrage avancé > Redémarrer maintenant, puis Dépannage > Options avancées > Paramètres du microprogramme UEFI.
• En invite de commandes administrateur : shutdown /r /fw /t 0.

Sous Linux, systemctl reboot --firmware-setup fait la même chose.

Le menu de démarrage ponctuel sert à démarrer une seule fois sur une clé USB, sans toucher à l'ordre enregistré : c'est ce que tu utiliseras pour installer un système (chapitre 5) ou lancer un outil de diagnostic.

Dans les réglages, les options que tu toucheras le plus souvent :

• Boot : l'ordre de démarrage, le mode (UEFI ou CSM), le démarrage réseau (PXE) pour le déploiement.
• Security : le Secure Boot, le TPM (souvent appelé Intel PTT ou AMD fTPM), le mot de passe administrateur du micrologiciel.
• Advanced ou Configuration : la virtualisation (Intel VT-x ou AMD-V, indispensable pour Hyper-V, WSL 2 et VirtualBox), le mode du contrôleur de stockage (AHCI ou RAID), les ports USB.
• Date et heure, et le comportement après une coupure de courant (rester éteint ou redémarrer).

Le Secure Boot

Le Secure Boot (démarrage sécurisé) est une fonction de l'UEFI qui ne lance un chargeur que s'il est signé par une clé que le micrologiciel connaît. Chaque maillon vérifie le suivant : l'UEFI vérifie le chargeur, le chargeur vérifie le noyau, le noyau vérifie ses pilotes. Il protège contre les bootkits, des logiciels malveillants qui s'installent avant le système pour échapper à l'antivirus.

Le micrologiciel stocke quatre jeux de clés :

Les PC vendus avec Windows contiennent dans db le certificat de Windows et un certificat de Microsoft pour les autres éditeurs. C'est ce second certificat qui permet aux grandes distributions Linux (Ubuntu, Debian, Fedora, openSUSE) de démarrer avec le Secure Boot actif : leur petit chargeur shim est signé par Microsoft, puis shim vérifie GRUB et le noyau avec la clé de la distribution. Un pilote compilé sur ta machine (le module de VirtualBox, un pilote NVIDIA installé à la main) doit être signé avec une clé personnelle enregistrée dans la liste MOK (Machine Owner Key), sinon le noyau refuse de le charger.

Le Secure Boot n'est pas une protection théorique. En 2023, le bootkit BlackLotus a été le premier observé à contourner le Secure Boot d'un Windows 11 à jour, en exploitant un ancien chargeur Windows vulnérable mais encore signé. La réponse de Microsoft : ajouter ces chargeurs dans dbx. D'où l'importance des mises à jour de dbx, et des certificats.

Le TPM 2.0

Le TPM (Trusted Platform Module, module de plateforme sécurisée) est un composant de sécurité qui génère et garde des clés de chiffrement sans jamais les laisser sortir, et qui enregistre des mesures du démarrage. Il existe sous trois formes : une puce séparée sur la carte mère (TPM discret), une fonction du processeur (fTPM chez AMD, PTT chez Intel), ou le processeur de sécurité Pluton de Microsoft intégré à certains processeurs récents. La version 2.0 est celle qu'exige Windows 11.

Ce qu'il fait :

• Il protège des clés. Une clé créée dans le TPM ne peut pas être copiée : on peut seulement demander au TPM de s'en servir. C'est ce qui protège les clés de Windows Hello (connexion par code PIN, visage ou empreinte) et les certificats de l'appareil.
• Il mesure le démarrage. À chaque étape, le micrologiciel puis le chargeur calculent l'empreinte (un hachage) du maillon suivant et l'ajoutent dans les registres PCR du TPM. Si quelqu'un modifie le chargeur, les valeurs des PCR changent.
• Il scelle des secrets. Le TPM peut ne libérer un secret que si les PCR ont les valeurs attendues. C'est ainsi que BitLocker déverrouille le disque sans rien demander à l'utilisateur : le TPM ne libère la clé que si la chaîne de démarrage n'a pas été modifiée (chapitre 9).
• Il prouve l'état de la machine. Avec l'attestation, un service de gestion (Intune, par exemple) vérifie à distance qu'un appareil a démarré proprement avant de lui ouvrir l'accès.

Vérifier l'état d'un poste

# En PowerShell administrateur : l'état du TPM et du Secure Boot d'un poste
Get-Tpm | Select-Object TpmPresent, TpmReady, TpmEnabled, ManufacturerVersion
Confirm-SecureBootUEFI

Sur un PC qui répond Cmdlet not supported on this platform à Confirm-SecureBootUEFI, le système a démarré en mode BIOS hérité : le Secure Boot n'existe même pas.

Mettre à jour le micrologiciel

Le micrologiciel se met à jour comme un logiciel : les fabricants corrigent des failles (dont des failles des processeurs, corrigées par un nouveau microcode), ajoutent la prise en charge de nouveaux processeurs ou de nouvelles mémoires, et déploient les nouveaux certificats Secure Boot.

• Sur un PC de marque, l'outil du fabricant s'en occupe : Dell Command Update, HP Image Assistant, Lenovo System Update ou Vantage. Beaucoup de mises à jour passent aussi par Windows Update, dans les mises à jour facultatives.
• Sous Linux, le service fwupd récupère les mises à jour publiées sur le LVFS (Linux Vendor Firmware Service) : fwupdmgr refresh, fwupdmgr get-updates, puis fwupdmgr update.
• Sur une carte mère vendue seule, on télécharge le fichier sur le site du fabricant et on le lance depuis l'utilitaire de mise à jour intégré à l'UEFI (ASUS EZ Flash, MSI M-Flash…).

Protéger les réglages par un mot de passe

Sans mot de passe administrateur sur le micrologiciel, n'importe qui peut désactiver le Secure Boot, démarrer sur sa propre clé USB et contourner le système. En entreprise, on pose donc un mot de passe administrateur sur l'UEFI de chaque poste, géré par l'outil du fabricant et rangé dans le gestionnaire de mots de passe du service. Il ne gêne pas l'utilisateur : il ne protège que l'accès aux réglages et au menu de démarrage, pas l'allumage du PC.

Sur un PC fixe d'assemblage, un oubli de mot de passe se règle en effaçant la mémoire de configuration (clear CMOS) par un cavalier de la carte mère ou en retirant la pile quelques minutes. Sur les portables professionnels récents, le mot de passe est souvent stocké dans une puce qui ne s'efface pas ainsi : il faut passer par le fabricant, avec une preuve de propriété. C'est voulu : un voleur ne doit pas pouvoir le faire.

Exercices