Paramètres BCD et BitLocker

Cette rubrique destinée aux professionnels de l’informatique décrit les paramètres BCD utilisés par BitLocker.

Pour protéger les données au repos sur un volume de système d’exploitation, BitLocker vérifie au cours du processus de démarrage que les paramètres de données de configuration de démarrage (BCD) n’ont pas été modifiés depuis la dernière activation, reprise ou récupération de BitLocker.

BitLocker et paramètres BCD

Dans Windows 7 et Windows Server 2008 R2, BitLocker validait la quasi-totalité des paramètres BCD présentant les préfixes memtest, winresume et winload. Toutefois, ce niveau élevé de validation obligeait BitLocker à passer en mode de récupération pour les modifications de paramètres mineures, par exemple lors de l’application d’un module linguistique.

Dans Windows 8, Windows Server 2012 et les systèmes d’exploitation ultérieurs, BitLocker restreint l’ensemble de paramètres BCD validés pour réduire le risque de problèmes de validation BCD dus à des modifications mineures. Si vous pensez que l’exclusion d’un paramètre BCD particulier du profil de validation présente un risque, vous pouvez élargir le champ d’application de la validation BCD en fonction de vos préférences. À l’inverse, si un paramètre BCD par défaut déclenche constamment le mode de récupération pour des modifications mineures, vous pouvez l’exclure du profil de validation.

Lorsque le démarrage sécurisé est activé

Les ordinateurs dotés du microprogramme UEFI peuvent utiliser le démarrage sécurisé pour renforcer la sécurité au démarrage. Lorsque BitLocker peut utiliser le démarrage sécurisé pour la validation de l’intégrité de la plateforme et des paramètres BCD, ce qu’indique le paramètre de stratégie de groupe Autoriser le démarrage sécurisé pour la validation de l’intégrité, le paramètre de stratégie de groupe Utiliser un profil amélioré de validation des données de configuration de démarrage est ignoré.

L’utilisation du démarrage sécurisé a notamment pour avantage de permettre la correction des paramètres BCD au cours du démarrage sans déclencher d’événements de récupération. Le démarrage sécurisé applique les mêmes paramètres BCD que BitLocker. L’application des paramètres BCD par le démarrage sécurisé n’est pas configurable à partir du système d’exploitation.

Personnalisation des paramètres de validation BCD

Pour modifier les paramètres BCD validés par BitLocker, le professionnel de l’informatique ajoute ou exclut des paramètres BCD du profil de validation de plateforme en activant et en configurant le paramètre de stratégie de groupe Utiliser un profil amélioré de validation des données de configuration de démarrage.

Dans le cadre de la validation par BitLocker, les paramètres BCD sont associés à un ensemble spécifique d’applications de démarrage Microsoft. Les paramètres BCD sont soit associés à une application de démarrage spécifique, soit appliqués à toutes les applications de démarrage en associant un préfixe au paramètre BCD entré dans le paramètre de stratégie de groupe. Les valeurs de préfixe incluent :

• winload

• winresume

• memtest

• all

Tous les paramètres BCD sont spécifiés en combinant la valeur de préfixe avec une valeur hexadécimale ou avec un « nom convivial ».

La valeur hexadécimale du paramètre BCD est indiquée lorsque BitLocker passe en mode de récupération et est stockée dans le journal des événements (ID d’événement 523). La valeur hexadécimale identifie de manière unique le paramètre BCD ayant déclenché l’événement de récupération.

Vous pouvez obtenir rapidement le nom convivial des paramètres BCD sur votre ordinateur à l’aide de la commande « bcdedit.exe /enum all ».

Certains paramètres BCD ne sont pas associés à un nom convivial ; pour ces paramètres, la valeur hexadécimale est le seul moyen de configurer une stratégie d’exclusion.

Lorsque vous spécifiez les valeurs BCD dans le paramètre de stratégie de groupe Utiliser un profil amélioré de validation des données de configuration de démarrage, utilisez la syntaxe suivante :

• Entrez le préfixe de l’application de démarrage à associer au paramètre.

• Ajoutez un signe deux-points « : ».

• Ajoutez la valeur hexadécimale ou le nom convivial du paramètre.

• Si vous entrez plusieurs paramètres BCD, vous devez entrer chaque paramètre BCD sur une nouvelle ligne.

Par exemple, « winload:hypervisordebugport » et « winload:0x250000f4 » produisent la même valeur.

Un paramètre s’appliquant à toutes les applications de démarrage peut être appliqué à une application individuelle, mais l’inverse n’est pas vrai. Par exemple, il est possible de spécifier « all:locale » ou « winresume:locale », mais comme le paramètre BCD « win-pe » ne s’applique pas à toutes les applications de démarrage, « winload:winpe » est valide, mais « all:winpe » ne l’est pas. Le paramètre qui contrôle le débogage de démarrage (« bootdebug » ou 0x16000010) est toujours validé et n’a aucun effet s’il est inclus dans les champs fournis.

Remarque  

Faites attention lors de la configuration des entrées BCD dans le paramètre de stratégie de groupe. L’Éditeur de stratégie de groupe locale ne vérifie pas si les entrées BCD sont correctes. BitLocker ne pourra pas être activé si le paramètre de stratégie de groupe spécifié n’est pas valide.

Profil de validation BCD par défaut

Le tableau suivant présente le profil de validation BCD par défaut utilisé par BitLocker dans Windows 8, Windows Server 2012 et les systèmes d’exploitation ultérieurs :

Liste complète de noms conviviaux pour les paramètres BCD ignorés

Le tableau suivant répertorie tous les paramètres BCD associés à un nom convivial qui sont ignorés par défaut. Ces paramètres ne font pas partie du profil de validation par défaut de BitLocker, mais peuvent être ajoutés si leur validation s’avère nécessaire avant d’autoriser le déverrouillage d’un lecteur de système d’exploitation protégé par BitLocker.

Remarque  

Il existe d’autres paramètres BCD qui présentent une valeur hexadécimale mais ne sont pas associés à un nom convivial. Ces paramètres ne sont pas inclus dans cette liste.