Microsoft supprime la confiance pour les pilotes du noyau qui n’ont pas été soumis au programme de compatibilité matérielle Windows (WHCP) dans le but de sécuriser davantage le noyau Windows.
La société cible les pilotes de noyau signés par le programme racine à signature croisée, obsolète depuis longtemps. Bien que tous les certificats associés au programme aient expiré, les pilotes sont « toujours largement approuvés dans le noyau Windows ». Cela se terminera avec la mise à jour Windows d’avril 2026.
Bien que Microsoft soit fier de sa compatibilité ascendante, le blocage des pilotes à signature croisée affectera certains cas d’utilisation et applications hérités. À cette fin, la politique sera déployée en « mode d’évaluation », où le noyau Windows surveillera et auditera les charges des pilotes pour déterminer si l’activation de la politique entraînera des problèmes de compatibilité.
AD ENREGISTREMENT
Microsoft a introduit le programme racine à signature croisée au début des années 2000 pour permettre l’intégrité du code pour les pilotes tiers. Cependant, des tiers administraient le programme de signature, obligeant les auteurs à stocker et à protéger les clés privées associées à ces certificats. Selon Microsoft, cela « a conduit à des abus et à des vols d’informations d’identification qui mettent en danger nos clients et leurs plates-formes ».
AD ENREGISTREMENT
La question de savoir si l’architecture Windows aurait dû permettre cela est discutable. Le problème est désormais de trouver un équilibre entre sécurité et compatibilité.
« Nous savons que nos clients ont besoin de la sécurité des pilotes et des applications, mais cela ne peut pas se faire au détriment de la compatibilité et de la productivité », a déclaré Microsoft. D’où le mode d’évaluation et le maintien des « pilotes à signature croisée essentiels et réputés » toujours fiables dans Windows.
Cela dit, les administrateurs peuvent toujours autoriser les pilotes de noyau personnalisés via la stratégie Application Control for Business à remplacer la stratégie de noyau par défaut. Microsoft prévoit que cela soit utilisé pour des scénarios de pilotes confidentiels ou internes uniquement, plutôt que pour prendre en charge un périphérique ou une application héritée.
« La politique doit être signée par une autorité dans les variables Secure Boot Platform Key (PK) ou Key Exchange Key (KEK) de l’appareil pour garantir que la politique est applicable uniquement à son environnement », a déclaré Microsoft. « Dans le cas contraire, les pilotes destinés à l’écosystème Windows doivent être certifiés WHCP et signés via le portail Microsoft HDC. »
La décision de Microsoft a mis du temps à venir, en particulier depuis qu’elle a rendu obsolète le programme racine à signature croisée il y a des années. Cette connaissance ne facilitera cependant pas les choses pour les utilisateurs dont les pilotes sont désormais sur la mauvaise voie et dont les fournisseurs sont peu susceptibles ou incapables de les actualiser. Des solutions de contournement existent, mais la décision de Microsoft indique clairement la direction que prendra l’entreprise. À terme, Microsoft interdira tout code n’ayant pas passé le processus de certification WHCP des manigances basées sur le noyau.
Le changement s’appliquera à Windows 11 24H2, 25H2 et 26H1 et Windows Server 2025. ®
