TPM et BitLocker : Cold Boot et Bypass Chiffrement

Le TPM (Trusted Platform Module) et BitLocker forment le duo de chiffrement de disque standard sur les systèmes Windows. Le TPM stocke les clés de chiffrement dans un coprocesseur matériel protégé, et BitLocker chiffre l'intégralité du volume système. Cependant, cette architecture présente des vulnérabilités fondamentales exploitées par les chercheurs et les attaquants : cold boot attacks (extraction des clés depuis la RAM), TPM sniffing (interception de la clé sur le bus SPI/LPC), evil maid attacks (modification du bootloader), et direct memory attacks via DMA Thunderbolt/PCIe. Ce guide technique couvre l'architecture TPM (1.2 vs 2.0, fTPM vs dTPM), les mécanismes de protection BitLocker (Seal/Unseal, PCR, protecteurs), les techniques d'attaque documentées et les contre-mesures effectives pour les organisations manipulant des données sensibles.

Architecture TPM 2.0

BitLocker : Mécanismes de Protection

BitLocker chiffre le volume avec une FVEK (Full Volume Encryption Key), elle-même chiffrée par une VMK (Volume Master Key), elle-même protégée par un ou plusieurs protecteurs :

• TPM-only (défaut) : la VMK est scellée dans le TPM et libérée automatiquement au boot si les PCR sont correctes. VULNÉRABLE — aucune interaction utilisateur, la clé est transmise en clair sur le bus TPM.
• TPM+PIN : la VMK nécessite le TPM ET un PIN utilisateur. Le PIN participe à la dérivation de la clé. RECOMMANDÉ — le sniffing du bus ne suffit plus.
• TPM+StartupKey : la VMK nécessite le TPM ET une clé USB de démarrage. Protection similaire au PIN.
• Password-only : pas de TPM, la VMK est dérivée du mot de passe utilisateur. Vulnérable au brute-force si le mot de passe est faible.

Cold Boot Attack : Extraction des Clés depuis la RAM

La cold boot attack exploite la rémanence de la DRAM : les données en RAM ne disparaissent pas instantanément quand l'alimentation est coupée. En refroidissant les modules de RAM (air compressé inversé : -50°C, ou azote liquide : -196°C), la rémanence peut durer plusieurs minutes. Le processus d'attaque :

1. Refroidir la RAM : air compressé inversé sur les modules DRAM (gel visible sur les puces)
2. Redémarrer sur un OS live : boot USB avec un outil d'extraction (cold boot tool, volatility)
3. Dump de la RAM : lire le contenu de la RAM avant que les données ne se dégradent
4. Extraction des clés : rechercher les clés AES de BitLocker dans le dump (patterns AES key schedule)

Les outils aeskeyfind et rsakeyfind recherchent automatiquement les key schedules AES et RSA dans un dump mémoire. L'attaque est efficace contre BitLocker en mode TPM-only car la clé FVEK est en mémoire en clair pendant toute la durée du fonctionnement.

TPM Sniffing : Interception sur le Bus SPI/LPC

Pour les systèmes avec un dTPM (TPM discret, puce séparée), la communication entre le CPU et le TPM passe par un bus physique (SPI ou LPC). En connectant un logic analyzer (Saleae, DSLogic) aux traces du bus, l'attaquant peut intercepter la VMK BitLocker quand le TPM la libère au boot :

# TPM Sniffing avec un Saleae Logic Analyzer
# 1. Identifier les pins SPI du dTPM sur la carte mère
# (CLK, MOSI, MISO, CS — datasheet du TPM)

# 2. Connecter le logic analyzer aux traces SPI

# 3. Capturer pendant le boot
# Le TPM envoie la VMK en réponse à TPM2_Unseal

# 4. Décoder la capture SPI
# L'outil tpm2-spi-decode parse le protocole TPM sur SPI
python3 tpm2_spi_decode.py --capture boot_capture.sr

# 5. Extraire la VMK
# La VMK est envoyée dans la réponse TPM2_Unseal
# Puis utilisée par BitLocker pour déchiffrer la FVEK

# 6. Déchiffrer le volume BitLocker avec la VMK
dislocker -V /dev/sda2 -K vmk.bin -- /mnt/bitlocker

Evil Maid Attack et Bootloader Manipulation

L'evil maid attack cible le bootloader : l'attaquant modifie le Windows Boot Manager pour injecter un keylogger qui capture le PIN BitLocker (si TPM+PIN est configuré) et le transmet à l'attaquant. Les mitigations incluent Secure Boot (vérifie la signature du bootloader) et Measured Boot (les PCR changent si le bootloader est modifié).

fTPM : Vulnérabilités du TPM Firmware

Le fTPM (firmware TPM) — implémenté dans AMD PSP ou Intel PTT — n'est pas un coprocesseur séparé mais un logiciel tournant dans l'environnement de confiance du CPU. Les attaques sur le coprocesseur de sécurité (AMD PSP, Intel ME) peuvent compromettre le fTPM. En 2023, des chercheurs ont démontré faulTPM : une attaque par injection de fautes voltage glitching sur AMD fTPM, permettant d'extraire les secrets scellés — y compris les clés BitLocker.

FAQ — Questions Fréquentes

Testez vos défenses avant les attaquants

Pentest, Red Team, audit de sécurité — rapport détaillé avec plan de remédiation priorisé.

Demander un devis pentest ayi@ayinedjimi-consultants.fr