Le grand ménage post-CrowdStrike : Expulser les antivirus du noyau Windows

Le 19 juillet 2024, le monde entier a reçu un cours intensif et terrifiant sur l’architecture des systèmes d’exploitation. Quand 8,5 millions de machines Windows ont simultanément affiché un écran bleu de la mort, clouant des avions au sol et paralysant des hôpitaux, le coupable n’était pas une cyberattaque sophistiquée. C’était un fichier de 40 kilo-octets poussé par CrowdStrike, un géant de la cybersécurité.

Avant de continuer : Nous avons récemment exploré comment Microsoft tente de sécuriser son système d’exploitation au niveau du code dans The Rust Rewrite: Why Windows and Linux Are Finally Abandoning C/C++. Mais réécrire du code ne sert à rien si des logiciels tiers peuvent contourner ces protections.

Table des matières

• Le problème de l’anneau 0
• La nouvelle feuille de route de Microsoft
• Le conflit d’intérêts
• Le saviez-vous ?
• Sources

Le problème de l’anneau 0

Pour comprendre comment une seule mauvaise mise à jour peut planter l’économie mondiale, il faut comprendre les anneaux de privilèges. Les processeurs modernes isolent les logiciels dans des cercles d’autorité concentriques. Votre navigateur et vos jeux roulent dans l’anneau 3, aussi appelé espace utilisateur. Si Chrome plante, Chrome meurt. Le système continue de tourner.

Mais le noyau—le cœur absolu du système d’exploitation—roule dans l’anneau 0. Si quelque chose plante dans l’anneau 0, la machine entière s’arrête pour se protéger contre des dommages matériels ou la corruption de données. C’est ça, l’écran bleu de la mort.

Pendant des décennies, les fournisseurs de sécurité ont exigé un accès à l’anneau 0. Leur argument est simple : les malwares opèrent profondément dans le système, donc l’antivirus doit être encore plus profond. Ils se branchent directement dans le noyau pour intercepter l’exécution des fichiers et le trafic réseau. C’est l’équivalent architectural de laisser l’agent de sécurité du centre d’achats faire une opération à cœur ouvert parce qu’il doit vérifier si votre sang contient de la contrebande.

La nouvelle feuille de route de Microsoft

Après le désastre de juillet, Microsoft a finalement pété une coche. Lors d’un sommet de sécurité à huis clos à Redmond en septembre dernier, ils ont présenté une feuille de route qui modifie fondamentalement le modèle de sécurité de Windows. Le plan ? Expulser complètement les fournisseurs de sécurité tiers du noyau.

Au lieu de laisser CrowdStrike, SentinelOne ou Trellix injecter leurs propres pilotes dans l’anneau 0, Microsoft construit un nouveau framework en dehors du noyau. Les outils de sécurité rouleront en mode utilisateur, communiquant avec le noyau via des API strictement contrôlées. Si un agent de sécurité en mode utilisateur pousse une erreur de pointeur nul demain matin, l’agent plante. Le serveur qui gère le tableau des départs à l’aéroport, lui, reste en ligne.

Le conflit d’intérêts

Évidemment, l’industrie de la sécurité déchire sa chemise. Ils soutiennent que repousser les outils de détection (EDR) dans l’espace utilisateur va les rendre aveugles face aux rootkits avancés et introduire une latence inacceptable. Ils soulignent aussi—avec raison—que Microsoft a un énorme conflit d’intérêts. Microsoft vend son propre produit de sécurité pour entreprises, Defender. Les fournisseurs sont terrifiés à l’idée que Microsoft les barre du noyau tout en gardant la porte arrière ouverte pour eux-mêmes, créant un cauchemar antitrust.

Honnêtement, je n’achète pas leurs excuses techniques. Apple a expulsé les extensions de noyau tierces de macOS en 2020 avec l’introduction du framework Endpoint Security. Linux se tourne vers eBPF depuis des années, permettant une observation profonde du système sans compromettre la stabilité du noyau. L’idée que Windows nécessite absolument des pilotes de noyau tiers pour rester sécuritaire est un mythe entretenu par une industrie qui ne veut pas réécrire ses vieilles bases de code. C’est toujours plus facile d’exiger un accès “God-mode” que de concevoir un agent résilient en espace utilisateur.

Cette transition ne se fera pas du jour au lendemain. Microsoft doit bâtir les nouvelles API, et les fournisseurs doivent réécrire des millions de lignes de code. Mais la panne du 19 juillet a prouvé que le modèle actuel est une menace existentielle pour l’infrastructure informatique mondiale. On a donné les clés du noyau à des vendeurs tiers, et ils ont crashé le char dans un hôpital.

Le saviez-vous ?

• La panne du 19 juillet a coûté aux entreprises du Fortune 500 environ 5,4 milliards de dollars en dommages financiers, ce qui en fait la défaillance informatique non malveillante la plus chère de l’histoire.
• L’écran bleu de la mort (BSOD) n’était pas bleu à l’origine. Les premières versions bêta de Windows 1.0 utilisaient un écran noir, mais les développeurs ont opté pour le bleu car il offrait un meilleur contraste sur les moniteurs cathodiques des années 80.

Sources

• Rapport du Microsoft Windows Endpoint Security Ecosystem Summit (Septembre 2024)
• Parametrix : “The Financial Impact of the CrowdStrike Outage on the Fortune 500”
• Documentation développeur Apple : Deprecating Kernel Extensions