Il y a un ordinateur secret à l'intérieur de votre ordinateur

Lorsque vous appuyez sur le bouton d’alimentation de votre ordinateur, vous vous attendez probablement à ce que Windows, macOS ou Linux entrent en action. Mais voici quelque chose que la plupart des gens ne réalisent pas : au moment où vous voyez votre bureau, votre ordinateur a déjà exécuté des millions d’instructions sur plusieurs processeurs indépendants. Il a déjà exécuté une grande quantité de code de micrologiciel sur plusieurs contrôleurs, potentiellement vérifié les composants de démarrage avec des signatures cryptographiques, formé la mémoire, initialisé les périphériques et préparé la machine à charger un système d’exploitation. Et tout cela avant même que votre système d’exploitation actuel ne commence à se charger.

Cette couche invisible de code de pré-démarrage est l’endroit où fonctionnent certaines des parties les plus vulnérables de votre ordinateur. Comprendre ce qui se passe au cours de ces premières secondes peut vous aider à résoudre des problèmes de démarrage tenaces, à vous protéger contre les attaques ou même simplement à mieux comprendre votre ordinateur et ce qui se passe en interne. De plus, il révèle à quel point l’informatique moderne est devenue complexe et à quel point votre système contient bien plus de choses qu’il n’y paraît.

Un petit sous-système démarre tout le processus de démarrage

Intel et AMD l’ont tous les deux

Avant même que votre processeur principal ne se réveille, du code est déjà en cours d’exécution sur votre machine. Les processeurs Intel et AMD contiennent des processeurs de sécurité distincts et autonomes qui s’allument dès que votre carte mère reçoit de l’électricité, même lorsque votre ordinateur est « éteint », et nous commencerons par ce qui se passe sur Intel. Si vous possédez un processeur Intel fabriqué après 2008, votre ordinateur contient probablement le moteur de gestion Intel (ME). Il s’agit d’un sous-système au sein de la plate-forme avec son propre système d’exploitation (MINIX 3 à partir de la version 11 du micrologiciel), un accès complet à la mémoire de votre système et peut même fournir une gestion de réseau hors bande lorsque le système d’exploitation hôte est en panne.

Le ME a accès à tout : votre RAM, votre stockage, votre adaptateur réseau. Et il fonctionne constamment dans un état de faible consommation tant qu’il reçoit une alimentation en veille. Il ne s’agit pas d’un bug ou d’une porte dérobée, bien que des chercheurs en sécurité et des organisations comme l’Electronic Frontier Foundation aient exprimé leurs inquiétudes quant à son potentiel d’utilisation abusive. Alors que l’EFF affirme que ME “constitue désormais un environnement informatique distinct conçu pour refuser aux utilisateurs le contrôle de leur ordinateur”, il est conçu pour activer des fonctionnalités d’entreprise telles que la gestion à distance et la sécurité au niveau matériel.

L’équivalent d’AMD est le Platform Security Processor (PSP), présent dans les puces AMD depuis 2013 environ. Sur les plates-formes AMD, le PSP Arm Cortex-A5 démarre avant la sortie complète des cœurs x86 et participe à l’initialisation précoce de la plate-forme et aux vérifications de racine de confiance. C’est ce qui le rend si intéressant : les cœurs de votre processeur x86 ne peuvent littéralement pas démarrer tant que la PSP ne le leur permet pas. Il vérifie l’authenticité de votre micrologiciel avant que votre processeur principal n’exécute une seule instruction.

Ces deux processeurs de sécurité représentent la première couche d’exécution de code, s’exécutant avant même que tout ce que vous considérez généralement comme « votre ordinateur » ne commence.

Comment le firmware a évolué et ce qu’il fait réellement

Du BIOS à l’UEFI

Appuyez sur le bouton d’alimentation de votre ordinateur ; cela peut sembler instantané, mais rien ne se passe réellement jusqu’à ce que le processeur de sécurité donne le feu vert. C’est à ce moment-là que votre processeur se réveille et recherche immédiatement des instructions à une adresse mémoire spécifique appelée vecteur de réinitialisation. Sur les processeurs x86, il s’agit de l’emplacement mémoire FFFFFFF0h (16 octets inférieurs à 4 Go). Le processeur commence à récupérer à partir de cette adresse, qui est mappée au micrologiciel via le mappage du chipset, et ce qu’il y trouve est le micrologiciel de votre système. Ce micrologiciel système a énormément évolué au fil des décennies.

Le BIOS IBM PC d’origine tient dans 8 kilo-octets de ROM. Le micrologiciel UEFI moderne peut atteindre 32 mégaoctets, soit une multiplication par 4 000, et cela est dû au fait que votre micrologiciel gère désormais un nombre important de tâches qui auraient été inimaginables en 1981. Si vous vous demandez quelle est la différence entre un BIOS et un UEFI, pour l’utilisateur final, ils atteignent le même objectif, mais ils sont très différents sous le capot.

Si vous avez acheté un ordinateur au cours de la dernière décennie, il utilise presque certainement l’UEFI (Unified Extensible Firmware Interface) plutôt que le BIOS (Basic Input Output System). Le BIOS hérité fonctionne en mode réel 16 bits, ne peut accéder qu’à 1 Mo de mémoire et est limité au démarrage à partir de disques inférieurs à 2,2 To en raison des limitations du Master Boot Record (MBR). Son interface est basée sur du texte et uniquement au clavier. L’UEFI, cependant, fonctionne en mode 32 bits ou 64 bits avec accès à l’intégralité de la mémoire système. Il peut démarrer à partir de disques jusqu’à 9,4 zettaoctets (théoriquement) à l’aide des tables de partition GPT. Il prend en charge les interfaces graphiques avec saisie à la souris, peut initialiser le matériel en parallèle pour des temps de démarrage plus rapides et inclut une prise en charge réseau intégrée.

Plus important encore pour la sécurité, l’UEFI a introduit Secure Boot, un mécanisme qui valide les signatures numériques des composants de démarrage à l’aide de certificats généralement basés sur RSA (généralement RSA-2048, selon la politique de la plate-forme) avant de leur permettre de s’exécuter. Cela crée une chaîne de confiance allant du micrologiciel au chargeur de démarrage en passant par le noyau du système d’exploitation. Bien que l’UEFI et le BIOS permettent à votre ordinateur de démarrer et de gérer les paramètres de bas niveau, ce sont des systèmes très différents en termes de mise en œuvre.

Valider la chaîne de confiance

Le processus POST est complexe

Lorsque nous parlons de POSTing sur un ordinateur, nous voulons dire que l’ordinateur a réussi l’auto-test de mise sous tension. Il s’agit de la séquence POST et d’initialisation que la plupart des ordinateurs subissent généralement :

Initialisez votre processeur et chargez les correctifs de microcode pour corriger les bugs du processeur
Teste et configure la RAM, nécessitant des étalonnages de synchronisation complexes
Initialisez les contrôleurs de stockage, les ports USB, les interfaces réseau et les adaptateurs d’affichage
Exécuter des tests de diagnostic pour vérifier la fonctionnalité du matériel
Gérer la sélection et la priorité du périphérique de démarrage
Valider les signatures cryptographiques sur les composants de démarrage (si Secure Boot est activé)
Chargez un firmware supplémentaire à partir de cartes d’extension et de périphériques

Ce dernier point est particulièrement important, car votre carte graphique, votre carte réseau, votre contrôleur RAID et vos autres périphériques disposent chacun de leur propre micrologiciel intégré appelé ROM optionnelles. Ceux-ci s’exécutent pendant le démarrage pour initialiser leur matériel respectif, ajoutant encore plus de code à l’environnement d’exécution pré-OS.

Secure Boot (lorsqu’il est activé) applique des vérifications de signature pour les chargeurs de démarrage UEFI et les pilotes UEFI dans l’environnement pré-OS. Mais tous les micrologiciels présents sur le bus ne sont pas automatiquement vérifiés comme vous pourriez le supposer, surtout si vous incluez des ROM d’options tierces et les nombreux contrôleurs de périphériques qui s’initialisent eux-mêmes. C’est pourquoi le Trusted Platform Module, ou TPM, est également important, car il s’agit d’une puce de sécurité dédiée utilisée pour le démarrage mesuré. Cela signifie que le micrologiciel et les premiers composants de démarrage enregistrent les mesures cryptographiques (hachages) dans les registres de configuration de la plateforme TPM, qui sont des registres de mémoire spéciaux utilisés par le TPM. Des outils comme BitLocker peuvent utiliser ces mesures pour détecter les changements de démarrage inattendus et nécessiter une récupération

En règle générale, il s’agit d’un aperçu général du processus de démarrage sur une machine Windows 11 moderne :

Le processeur de sécurité (ME/PSP) vérifie le firmware
Le firmware vérifie le bootloader (via Secure Boot)
Secure Boot valide les signatures des composants de démarrage UEFI (le gestionnaire de démarrage Windows ou winload). Après le transfert, les mécanismes d’intégrité du code de Windows appliquent la politique de signature du noyau et des pilotes.
Le noyau vérifie les pilotes et les composants du système

En théorie, cela crée une chaîne de confiance ininterrompue du matériel au logiciel. Dans la pratique, les chercheurs continuent de trouver des moyens de le briser.

Les attaques de micrologiciels sont dangereuses et les vulnérabilités ne cessent de s’accumuler

BlackLotus est un exemple parmi tant d’autres

Les logiciels malveillants au niveau du micrologiciel (souvent appelés bootkits) peuvent survivre aux réinstallations du système d’exploitation, car le reformatage de votre disque ne touche pas le micrologiciel. Il échappe aux logiciels antivirus car les outils de sécurité s’exécutent au niveau du système d’exploitation tandis que le micrologiciel s’exécute en dessous. Rappelez-vous comment nous avons mentionné que le moteur de gestion d’Intel était une préoccupation en matière de sécurité ? Il est souvent décrit comme fonctionnant au niveau 3, ce qui signifie qu’il se trouve en dessous du système d’exploitation, et tout ce qui s’exécute à ce niveau peut être impossible à détecter. De plus, un code exécuté aussi tôt peut voir toutes les activités ultérieures.

Le seul moyen presque fiable de supprimer les logiciels malveillants du micrologiciel consiste souvent à reflasher le micrologiciel lui-même, en supposant qu’il ne cible pas les verrous de descripteur SPI, les chemins de mise à jour des capsules ou qu’il ne persiste pas dans les appareils connectés. En d’autres termes, si vous constatez que votre carte mère est infectée, il est probablement plus sûr d’acheter simplement une nouvelle carte mère. Il y a eu plusieurs kits de démarrage UEFI au fil des ans, BlackLotus étant l’un des exemples les plus célèbres qui ont abusé des faiblesses de l’écosystème de démarrage sécurisé et des lacunes de révocation. Cependant, d’autres problèmes sont également apparus au cours de l’année écoulée.

Janvier 2025 : les chercheurs d’ESET ont découvert un contournement du démarrage sécurisé UEFI (CVE-2024-7344) affectant la majorité des systèmes basés sur UEFI.
Juin 2025 : les chercheurs ont découvert « Hydroph0bia » (CVE-2025-4275), un contournement du démarrage sécurisé qui permet l’exécution de code malveillant lors d’un démarrage anticipé sur des systèmes qui semblent avoir toutes les protections activées.
Juillet 2025 : les cartes mères Gigabyte se sont révélées sensibles à des vulnérabilités de corruption de mémoire en mode de gestion système (SMM), un mode de fonctionnement spécial du processeur qui s’exécute en dessous du niveau du système d’exploitation (CVE-2025-7026, CVE-2025-7027, CVE-2025-7029). Ces failles pourraient permettre l’installation persistante d’un bootkit qui survit aux réinstallations du système d’exploitation. Ni Intel Boot Guard ni UEFI Secure Boot ne peuvent empêcher ces attaques, car Secure Boot n’arrête pas l’exploitation SMM.
Décembre 2025 : découvertes par Riot Games, des vulnérabilités d’attaque DMA à démarrage anticipé ont été trouvées (CVE-2025-14304, CVE-2025-11901, CVE-2025-14302, CVE-2025-14303) affectant les cartes mères d’ASRock, ASUS, GIGABYTE et MSI. Celles-ci ont permis aux attaquants disposant d’un accès physique d’injecter du code malveillant via des périphériques PCIe, car le micrologiciel signalait à tort que la protection DMA était active alors qu’elle ne l’était pas.

Un autre défaut des implémentations UEFI modernes est la nécessité de mettre à jour le certificat intégré qui vérifie que l’UEFI lui-même n’est pas falsifié. Le certificat Microsoft UEFI CA 2011 expire en juin 2026 et est utilisé sur de nombreux appareils plus anciens. Alors que la plupart des implémentations UEFI désactivent la vérification de la date des certificats, Microsoft a déclaré que les systèmes auront besoin de certificats de démarrage sécurisé mis à jour pour continuer à exécuter Windows et à recevoir des mises à jour régulières lorsque le démarrage sécurisé est activé. Les systèmes Linux peuvent également rencontrer des problèmes de démarrage sur les systèmes sur lesquels Secure Boot est activé si les certificats ne sont pas mis à jour.

Tout se passe dans les coulisses

Il se passe quelque chose sous le capot

Ce qui se passe dans les premières secondes après avoir appuyé sur le bouton d’alimentation est plus important que vous ne le pensez. Les processeurs de sécurité, les couches du micrologiciel et la vérification cryptographique sont invisibles pour la plupart des gens. Mais lorsque quelqu’un découvre comment contourner le démarrage sécurisé en exploitant un bug du micrologiciel, les conséquences sont sérieuses. Les logiciels malveillants qui persistent après avoir effacé un lecteur et réinstallé Windows sont le cadet de vos soucis ; c’est découvrir que vous l’avez en premier lieu. Votre antivirus ne le détectera certainement pas.

Restez informé en vous abonnant à la newsletter pour une couverture ciblée et approfondie de la sécurité des micrologiciels et du démarrage précoce : UEFI, démarrage sécurisé, mesures TPM et vulnérabilités émergentes des kits de démarrage, avec des explications claires et des analyses d’experts pour comprendre ce qui fonctionne avant votre système d’exploitation.

Abonnez-vous

En vous abonnant, vous acceptez de recevoir la newsletter et les e-mails marketing, et acceptez les conditions d’utilisation et la politique de confidentialité de Valnet. Vous pouvez vous désinscrire à tout moment.

Heureusement, la communauté de la sécurité a accordé une grande attention à l’UEFI et au démarrage sécurisé, et les fabricants de matériel sont plus prudents et corrigent les choses plus rapidement. Malgré tout, il y a ici une vérité gênante. Les processus de démarrage modernes sont si compliqués qu’avec chaque correctif introduisant plus de code, nous nous retrouvons dans un endroit où les risques de problèmes augmentent.

Si vous êtes un utilisateur régulier et typique, le conseil est simple. Gardez votre système à jour, laissez Secure Boot activé et installez les mises à jour du BIOS dès leur publication. Si vous êtes quelqu’un qui a besoin de réfléchir davantage à ce genre de choses, comprendre comment tout fonctionne ensemble peut vous aider à prendre de meilleures décisions quant au matériel auquel faire confiance et aux actions à entreprendre pour vous protéger davantage.

Votre ordinateur est occupé bien avant que vous voyiez votre bureau ; plusieurs processeurs vérifient les signatures et initialisent le matériel en même temps que d’autres étapes importantes comme l’entraînement de la mémoire sont en cours. Des millions d’instructions se produisent avant même que votre système d’exploitation ne fasse son tour. Le plus étonnant dans tout cela, c’est qu’on n’a jamais vraiment besoin d’y penser.

*️⃣ Lien source :

inquiétudes soulevées, différence entre un BIOS et un UEFI, vérifie les pilotes et les composants du système, expire en juin 2026 , , , Conditions d’utilisation , Politique de confidentialité , installez les mises à jour du BIOS,