Chapitre 5 — Durcissement, TPM, HSM & Chiffrement des Hôtes

Le durcissement (hardening) réduit la surface d'attaque des systèmes. Ce module couvre les techniques de durcissement OS, TPM, HSM, Secure Boot, et le chiffrement des disques.

Durcissement des Systèmes (OS Hardening)

Mémorisez ! Durcissement = réduire la surface d'attaque. Désactiver les services inutiles, supprimer les logiciels non nécessaires, appliquer les patches, configurer les politiques de sécurité. Baselines de sécurité (CIS Benchmarks, STIG) guident ce processus.

Désactiver les services inutiles : chaque service actif est un vecteur d'attaque potentiel. Nettoyer les services non nécessaires (telnet, FTP, SMBv1).
Supprimer les logiciels inutiles : réduire l'empreinte logicielle. Moins de code = moins de vulnérabilités potentielles.
Gestion des patches : appliquer régulièrement les mises à jour de sécurité OS et applications.
Politiques de mots de passe : longueur minimale, verrouillage de compte, complexité.
Désactiver les comptes inutilisés : compte guest, compte administrateur par défaut.
Firewall local : Windows Defender Firewall, iptables — bloquer les ports inutilisés sur l'hôte lui-même.
CIS Benchmarks : guides de durcissement pour chaque OS/application, produits par le Center for Internet Security.
STIG (Security Technical Implementation Guide) : guides de durcissement du DISA pour les organisations gouvernementales américaines.

TPM — Trusted Platform Module

Le TPM est une puce matérielle sécurisée intégrée à la carte mère qui stocke des clés cryptographiques et fournit des fonctions de sécurité hardware.

Fonctions TPM : génération de clés, stockage sécurisé des clés, mesures de l'intégrité du boot (PCR registers), attestation de plateforme.
TPM 2.0 : version actuelle requise pour Windows 11. Supporte SHA-256, ECC, HMAC.
BitLocker + TPM : BitLocker chiffre le disque entier, le TPM stocke la clé de chiffrement. Au démarrage, le TPM vérifie l'intégrité du système — si quelqu'un modifie le bootloader, le TPM refuse de libérer la clé.
PCR (Platform Configuration Registers) : registres qui stockent les mesures de hash de chaque étape du démarrage. Permet de détecter les modifications.

HSM — Hardware Security Module

Un HSM est un dispositif matériel dédié à la gestion sécurisée des clés cryptographiques. Plus puissant qu'un TPM — conçu pour les usages enterprise.

Fonctions HSM : génération de clés aléatoires vraies (TRNG), stockage sécurisé des clés, opérations cryptographiques (sans jamais exposer les clés).
Tamper Evident/Resistant : si quelqu'un essaie d'ouvrir physiquement l'HSM, il efface automatiquement les clés.
FIPS 140-2/3 : standard de validation de modules cryptographiques. Niveau 3 = protection physique contre la falsification.
Usages : PKI (CA root), paiement bancaire, signature de code, tokens SSL/TLS à haute performance.
HSM Cloud : AWS CloudHSM, Azure Dedicated HSM — HSM dédiés dans le cloud.

Astuce Examen

TPM vs HSM : TPM = puce sur la carte mère, principalement pour sécuriser l'hôte (Secure Boot, BitLocker). HSM = appareil réseau ou PCI card, pour gérer les clés d'une infrastructure entière (CA, bases de données, applications). HSM peut gérer des milliers de clés pour des dizaines d'applications.

Secure Boot & Chiffrement des Disques

Secure Boot (UEFI)

Secure Boot est une fonctionnalité UEFI qui vérifie que le bootloader et les pilotes de démarrage sont signés par des clés de confiance. Empêche les rootkits UEFI et bootkits.

Signature des bootloaders par Microsoft (ou l'OEM) — seuls les bootloaders signés démarrent.
Peut être désactivé en BIOS — risque si l'accès physique n'est pas protégé.
Complément au TPM : TPM mesure l'intégrité, Secure Boot empêche l'exécution de code non signé.

Chiffrement des Disques

Solution	OS	Type	Notes
BitLocker	Windows	FDE (Full Disk Encryption)	Intégré, TPM recommandé, FIPS 140-2
FileVault 2	macOS	FDE	Intégré, chiffrement AES-XTS 128 bits
LUKS/dm-crypt	Linux	FDE ou volumes	Standard Linux, AES-XTS 256 bits
VeraCrypt	Multi-OS	FDE ou volumes	Open source, containers chiffrés, niable

Quiz — Durcissement, TPM, HSM

1. Quel est l'objectif principal du "durcissement" (hardening) d'un système d'exploitation ?

Améliorer les performances du système Réduire la surface d'attaque en désactivant les services, comptes et fonctionnalités inutiles Augmenter la mémoire disponible pour les applications Installer tous les logiciels disponibles pour préparer le système

Le hardening réduit la surface d'attaque : moins de services actifs = moins de vecteurs d'attaque. Chaque service, port ouvert, ou logiciel non nécessaire représente une vulnérabilité potentielle.

2. Le TPM (Trusted Platform Module) est utilisé avec BitLocker principalement pour :

Chiffrer les communications réseau du poste Remplacer les mots de passe par une authentification biométrique Stocker la clé de chiffrement du disque et vérifier l'intégrité du système au démarrage Générer des certificats TLS pour le navigateur

TPM + BitLocker : le TPM stocke la clé de chiffrement (VMK) dans ses registres sécurisés. Au démarrage, il mesure l'intégrité du système (hash du bootloader, BIOS). Si les mesures correspondent aux valeurs attendues, il libère la clé et le disque se déchiffre. Si le disque est volé, sans ce TPM, pas de déchiffrement.

3. Quelle est la principale différence entre un TPM et un HSM ?

Le TPM peut gérer des milliers de clés, le HSM seulement quelques-unes Le HSM est intégré à la carte mère ; le TPM est un appareil réseau Le TPM nécessite Windows ; le HSM fonctionne sur tous les OS Le TPM est une puce dédiée à la sécurité d'un hôte ; le HSM est un appareil enterprise pour gérer les clés d'une infrastructure entière

TPM = puce sur carte mère, sécurise cet hôte spécifique (Secure Boot, BitLocker). HSM = appareil dédié (rack-mounted, USB, cloud) pour gérer des clés d'infrastructure : CA racine, chiffrement de bases de données, tokens d'applications multiples. Bien plus puissant et scalable.

4. Secure Boot (UEFI) protège principalement contre :

Les bootkits et rootkits UEFI qui modifient le processus de démarrage avant le chargement de l'OS Les attaques de phishing ciblant les utilisateurs L'accès non autorisé aux fichiers chiffrés Les exploits réseau sur les services Windows

Secure Boot vérifie la signature cryptographique du bootloader avant de le charger. Si un malware modifie le bootloader (bootkit), Secure Boot détecte que la signature ne correspond plus et refuse de démarrer.

5. Les "CIS Benchmarks" sont des :

Tests de performance pour les serveurs Guides de configuration sécurisée (hardening) pour OS, applications et services cloud Frameworks de gestion du risque comme NIST Certifications pour les administrateurs système

CIS Benchmarks (Center for Internet Security) = guides de référence pour configurer sécuritairement Windows, Linux, macOS, Docker, AWS, Azure, etc. Gratuits, largement utilisés, vérifiables avec des outils d'audit comme CIS-CAT.

6. La norme FIPS 140-2 Niveau 3 pour les modules cryptographiques exige :

Uniquement que les algorithmes utilisés soient approuvés Un audit annuel par un organisme tiers Une protection physique contre la falsification avec effacement automatique des clés si violation détectée L'utilisation exclusive de l'algorithme AES-256

FIPS 140-2/3 a plusieurs niveaux. Niveau 1 = algorithmes approuvés. Niveau 2 = tamper evident. Niveau 3 = tamper resistant + réponse à la falsification (effacement automatique des clés si ouverture détectée). Requis pour les HSM utilisés par le gouvernement américain.

7. Pourquoi est-il recommandé de chiffrer les disques (FDE) sur tous les laptops d'entreprise ?

Pour améliorer la vitesse de démarrage Pour empêcher les mises à jour non autorisées Pour satisfaire les exigences GDPR uniquement Pour protéger les données en cas de perte ou vol physique du laptop

FDE protège les données au repos. Si un laptop est volé et le disque retiré pour être lu directement, sans la clé de déchiffrement (stockée dans le TPM ou protégée par un PIN), les données sont illisibles. C'est la menace que FDE adresse.

8. Les "PCR registers" (Platform Configuration Registers) dans un TPM sont utilisés pour : Stocker des mesures de hash de chaque composant du processus de démarrage pour détecter les modifications Générer des nombres aléatoires pour les algorithmes de chiffrement Stocker les mots de passe hachés des utilisateurs Configurer les paramètres BIOS/UEFI à distance

Les PCR stockent des mesures (hashes SHA-256) de chaque étape du boot : BIOS/UEFI, MBR, bootloader, noyau OS. Si une valeur change (indicateur de modification), le TPM peut refuser de libérer les secrets (clé BitLocker) — attestation de platform.

9. Quelle solution de chiffrement de disque est native sur les systèmes Linux ?

BitLocker FileVault LUKS/dm-crypt VeraCrypt uniquement

LUKS (Linux Unified Key Setup) avec dm-crypt est le standard de chiffrement de disque natif Linux, inclus dans le noyau. FileVault = macOS. BitLocker = Windows. VeraCrypt est multiplateforme mais tiers.

10. Les STIG (Security Technical Implementation Guides) sont publiés par : Le NIST (National Institute of Standards and Technology) La DISA (Defense Information Systems Agency) pour les organisations gouvernementales américaines Le CIS (Center for Internet Security) L'ISO (International Organization for Standardization)

STIG = DISA (agence DoD). Très prescriptifs et stricts — conçus pour les systèmes militaires et gouvernementaux US. CIS Benchmarks = Center for Internet Security, plus adaptés aux entreprises privées. NIST publie des SP (Special Publications) et frameworks.