Cinq minutes peuvent suffire pour ouvrir un volume chiffré sous Windows 11 quand la machine s’appuie uniquement sur le TPM. La démonstration remet brutalement en cause l’idée qu’une configuration BitLocker par défaut reste suffisante face à un accès physique.
BitLocker pris en défaut par une attaque de rétrogradation
Les chercheurs d’Intrinsec ont publié BitUnlocker, un outil capable de contourner le chiffrement BitLocker de Windows 11 en moins de 5 minutes. L’attaque exploite CVE-2025-48804, une faille corrigée par Microsoft en juillet 2025, qui touche l’environnement de récupération Windows et le mécanisme System Deployment Image.
Le scénario reste conditionné à un accès physique à la machine. Un attaquant peut utiliser une clé USB pour fournir au gestionnaire de démarrage un fichier Windows Imaging Format légitime pour les contrôles d’intégrité, tout en y ajoutant une charge malveillante.
Le point critique est là : le système valide bien le fichier propre, mais lance ensuite le code injecté. À partir de ce moment, l’accès au volume déchiffré devient possible.
Le vieux certificat PCA 2011 maintient la porte ouverte
La vraie faiblesse vient du vecteur de rétrogradation. Comme l’ancien certificat Windows PCA 2011 reste globalement approuvé par Secure Boot, il suffit de charger un ancien boot manager vulnérable pour que la chaîne de confiance accepte l’exécution sans alerte.
Dans cette configuration, le TPM vérifie les mesures système à l’aune de ce certificat hérité. Ne détectant rien d’anormal, il libère normalement la BitLocker Volume Master Key, ce qui neutralise de fait la protection d’une machine configurée en mode TPM seul.
Les systèmes protégés et les mesures à retenir
Les machines configurées avec un TPM + code PIN pré-démarrage ne sont pas vulnérables à cette méthode, car une interaction physique est alors requise pour libérer les clés. Même constat pour les systèmes ayant finalisé la migration de la mise à jour KB5025885 vers le certificat numérique moderne Windows UEFI CA 2023.
Ce cas illustre surtout un problème récurrent de l’écosystème PC : corriger le logiciel ne suffit pas toujours si la révocation des anciens certificats tarde. Pour les entreprises comme pour les utilisateurs avancés, la protection BitLocker en mode TPM seul apparaît désormais comme un minimum trop fragile dès qu’un poste peut être manipulé physiquement.
Source : TechPowerUp
