Votre PC est-il vraiment sécurisé ? Microsoft actualise son outil pour tester la fiabilité du TPM dans Windows 11 24H2

Avec Windows 11 24H2, Microsoft propose un nouvel outil pour surveiller la fiabilité du TPM au démarrage. Un nom neuf, une mission critique… et une vieille connaissance remise au goût du jour.

Le Trusted Platform Module, ou TPM pour les intimes, reste l’un des piliers les moins visibles de la sécurité Windows – même si vous en avez sûrement déjà entendu parler à tous les coins de rue avec la fin de Windows 10 et la transition chaotique vers Windows 11. Sans entrer dans des détails trop techniques, retenez simplement que c’est lui qui génère et protège les clés de chiffrement BitLocker, qui enregistre chaque étape critique du démarrage pour vérifier que tout se passe comme prévu quand le PC boote, et qui permet à certains services Microsoft de s’assurer que l’environnement est bien digne de confiance. Bref, sur le papier, le TPM, c’est un peu la sentinelle cyber de votre machine – et pas seulement l’empêcheur de tourner en rond pour ce qui est de migrer vers Windows 11.

Un outil discret, mais précieux, pour valider la santé du TPM

À condition (parce qu’il en faut bien une) qu’il fonctionne correctement. Qu’à cela ne tienne, Microsoft vient de ressortir de ses cartons un outil maison : Attestation Readiness Verifier. Officiellement présenté comme « nouveau », il s’agit en réalité d’une évolution de solutions internes déjà utilisées dans les processus qualité côté Windows et Azure, y compris dans les tests HLK (Windows Hardware Lab Kit), lesquels sont obligatoires pour les OEM souhaitant certifier leurs machines « Designed for Windows ».

Cette version-ci a le mérite d’être autonome, plus légère, intégrée nativement au système (Windows 11 24H2), et surtout, pensée pour faciliter le diagnostic à grande échelle. En bref, une version « grand public pro » d’un dispositif jusqu’ici réservé aux labos ou aux partenaires techniques.

Alors, comment ça marche ? À chaque démarrage ou sortie de veille prolongée, l’outil simule ce que verraient les services de sécurité s’ils venaient attester l’intégrité de la machine. À ce titre, il passe en revue plusieurs éléments clés : la présence et la réactivité du TPM (version 2.0 obligatoire), l’existence de logs de démarrage mesuré valides, la cohérence des PCR (Platform Configuration Registers), ou encore la disponibilité des certificats comme celui de la clé d’approbation.

Les résultats sont ensuite consignés dans le journal des événements système, sous l'Event ID 1041, et classés en trois catégories : Attestable (tout est OK), Possibly attestable (souci détecté, souvent côté firmware), ou Not attestable (échec critique). De quoi repérer facilement les machines qui posent problème, sans devoir passer par des solutions plus lourdes, ou du reverse engineering de logs obscurs.

C’est pointu, et si vous avez lu jusqu’ici, vous avez forcément compris que l’outil s’adressait d’abord aux professionnels : administrateurs de parc, responsables sécurité, constructeurs ou développeurs BIOS. Il permet de valider rapidement qu’un appareil est prêt à activer BitLocker, à se conformer à des politiques Intune, ou à rejoindre des environnements sensibles comme Azure. Mais il peut aussi rendre service aux équipes support ou aux utilisateurs et utilisatrices avancés, en aidant à identifier la cause d’un comportement anormal au démarrage.

Pourquoi ça compte, même si vous ne l’utiliserez jamais

Soyons honnêtes : très peu d’utilisateurs ou utilisatrices vont aller filtrer les logs dans l’Observateur des événements pour surveiller l’état de santé de leur TPM. Et Microsoft ne s’attend pas à ce que ce soit le cas. Mais ça ne veut pas dire que l’outil ne vous concerne pas.

Quand BitLocker refuse de s’activer sans explication, quand vous êtes bloqué à l’ouverture d’une session à cause d’une politique Intune, ou quand votre PC redémarre avec des messages d’erreur liés à la sécurité, c’est parfois le TPM qui est en cause. Et souvent, ce sont ces couches invisibles – firmware, certificats, logs de démarrage – qui posent problème. Ce nouvel outil permet donc à celles et ceux qui gèrent votre machine, dans l’entreprise ou chez le fabricant, de repérer ces problèmes plus vite et de les corriger plus facilement.

C’est aussi un moyen pour Microsoft de fiabiliser l’ensemble de la chaîne, du PC local jusqu’aux hôtes Azure. Le même outil est utilisé pour valider les configurations firmware sur les nouveaux matériels, vérifier que les hôtes cloud répondent aux exigences de sécurité, ou simuler l’application des politiques d’accès conditionnel. Moins d’erreurs, moins de blocages, et moins d’exceptions à gérer côté utilisateur.

Bref, vous n'irez sans doute jamais jeter un œil à Attestation Readiness Verifier vous-même. Mais si votre PC démarre correctement, que BitLocker s’active sans souci, et que vos accès cloud ne vous posent pas de problème, c’est peut-être aussi un peu grâce à lui.

Source : Microsoft