Windows Autopilot : L’ancrage de l’appartenance dans le firmware via la Device Association

Microsoft repense la sécurité de l’inscription des terminaux en introduisant une association directe entre le matériel et votre tenant Azure AD/Entra ID, validée par le TPM et persistée dans l’UEFI. Cette évolution, baptisée Device Association, élimine le risque de détournement de l'identité d'entreprise par un acteur malveillant avant l'arrivée du poste en production.

En bref

• Nouvelle étape de sécurité : Le lien entre le PC et le tenant est établi avant l'OS, dans le firmware (UEFI), plutôt que lors du premier boot Windows.
• Attestation par le TPM : Le marqueur d'association est cryptographiquement lié au Trusted Platform Module (TPM) 2.0, rendant le contournement extrêmement difficile sans accès physique ou clé privée.
• Prévention des attaques "Bring Your Own Device" (BYOD) frauduleuses : Empêche un attaquant de réinitialiser un PC et de l'inscrire dans un tenant tiers ou personnel.
• Intégration fluide avec Intune : L'association se fait via le portail Intune ou le script PowerShell, sans impact majeur sur l'expérience utilisateur finale.
• Exigence matérielle : Nécessite un PC Windows 11 (ou 10 compatible) avec un TPM 2.0 actif et un firmware UEFI mis à jour.

Le contexte : Pourquoi l'inscription classique est-elle vulnérable ?

Pendant des années, le processus d'inscription d'un terminal dans Microsoft 365 (via Autopilot) reposait sur un modèle de confiance "post-boot". Le scénario standard était le suivant :

1. L'administrateur configure l'objet d'inscription (hash de l'identifiant de produit ou numéro de série) dans Intune.
2. Le PC est expédié ou livré.
3. L'utilisateur (ou l'attaquant) allume le PC, passe par OOBE (Out of Box Experience).
4. Windows contacte les serveurs Microsoft, vérifie le hash, et s'inscrit dans le tenant.

La faille réside dans l'étape 3. Si un PC est volé, perdu, ou intercepté avant sa première utilisation, un acteur malveillant peut effectuer une réinitialisation complète (Reset). Bien que le hash Autopilot soit généralement conservé, certaines attaques sophistiquées permettent de manipuler l'environnement de boot ou d'utiliser des images personnalisées pour forcer l'inscription dans un tenant différent, ou simplement pour utiliser la machine comme un botnet "propre" avant de la revendre.

La Device Association déplace cette confiance. Elle crée un lien cryptographique indissociable entre l'identité du tenant (votre organisation) et l'identité physique du PC (via le TPM), stocké dans une zone sécurisée de l'UEFI.

Mécanisme technique : Comment fonctionne la Device Association ?

Le principe repose sur la génération d'une paire de clés asymétriques. Voici le flux logique simplifié :

1. Génération de clés : Lors de la phase de préparation (via le portail Intune ou un script PowerShell exécuté sur une machine de référence), le service d'association génère une clé publique et une clé privée.
2. Stockage sécurisé :
   • La clé privée est stockée de manière sécurisée dans le TPM du terminal. Elle ne peut pas être extraite du module.
   • La clé publique est envoyée au tenant Azure AD/Entra ID et associée à l'objet d'inscription Autopilot.
3. Persistance UEFI : Un marqueur (un "attestation token") est écrit dans une variable UEFI sécurisée. Ce marqueur contient la preuve que ce PC spécifique a été approuvé par ce tenant spécifique.
4. Vérification au boot : Au démarrage, le firmware UEFI vérifie l'intégrité de ce marqueur avant même que Windows ne démarre. Si le marqueur est absent, corrompu, ou ne correspond pas à la clé privée du TPM (ce qui signifierait un changement de matériel ou une tentative d'usurpation), l'inscription dans le tenant d'origine est bloquée ou requiert une re-authentification administrative stricte.

Différence avec l'Autopilot classique

Mise en œuvre : Configurer la Device Association

La configuration se fait principalement via le portail Microsoft Intune. Assurez-vous que vos terminaux cibles disposent d'un TPM 2.0 actif.

1. Pré-requis

• Windows 11 (version 22H2 ou ultérieure recommandée) ou Windows 10 (21H2+) avec mises à jour de sécurité à jour.
• TPM 2.0 présent et activé dans le BIOS/UEFI.
• Accès administrateur au portail Microsoft Intune.

2. Création de l'association via le portail Intune

1. Accédez à Microsoft Intune Admin Center > Devices > Windows > Autopilot.
2. Dans le menu déroulant Settings, sélectionnez Device association.
3. Cliquez sur Create association.
4. Vous pouvez choisir deux méthodes :
   • Par numéro de série : Si vous avez déjà les PC en main, vous pouvez générer l'association pour un lot spécifique.
   • Par fichier CSV : Pour les déploiements massifs.
5. Une fois l'association créée, le portail génère un script PowerShell ou un paquet de configuration à déployer sur les machines cibles pour finaliser le lien avec le TPM local.

3. Script PowerShell pour l'association locale

Si vous ne pouvez pas utiliser le portail pour chaque machine individuellement, vous pouvez utiliser un script fourni par Microsoft pour lier le PC local au tenant. Voici un exemple de structure du script d'association (à adapter avec votre ID de tenant) :

# Exemple simplifié du workflow d'association locale
# Ce script doit être exécuté sur le PC cible avec les droits administrateur

# 1. Vérifier la présence du TPM
$tpm = Get-Tpm
if ($tpm.TpmReady -eq $false) {
    Write-Error "TPM n'est pas prêt. Veuillez l'activer dans le BIOS."
    exit 1
}

# 2. Vérifier que Windows est bien inscrit ou prêt pour l'inscription
# (La Device Association peut se faire avant l'inscription complète dans Entra ID)

# 3. Appeler le module PowerShell de Device Association
# Note: Les cmdlets exacts varient selon la version du SDK Microsoft Device Association
# Utilisez le module officiel "Microsoft.DeviceAssociation" si disponible

# Exemple hypothétique de commande (vérifiez la documentation Microsoft à jour)
# Initialize-DeviceAssociation -TenantId "votre-tenant-id" -DeviceName "PC-001"

# 4. Écrire le marqueur dans l'UEFI (opération effectuée par le service système)
# Set-UefiVariable -Name "DeviceAssociationToken" -Value $token

Write-Host "Association Device effectuée avec succès."

Note importante : Microsoft fournit des modules PowerShell spécifiques pour cette fonctionnalité dans les dernières mises à jour des "Windows Autopilot PowerShell Modules". Vérifiez la version la plus récente pour garantir la compatibilité avec les cmdlets d'écriture UEFI sécurisés.

Cas d'usage critiques pour les consultants IT

1. La flotte de télétravail

C'est le cas d'usage principal. Les PC sont expédiés directement à domicile. Avec la Device Association, même si un livreur ou un intermédiaire tente de réinitialiser la machine pour en faire un PC personnel, le lien avec votre entreprise sera rompu ou bloqué. Le PC ne pourra plus s'inscrire dans votre environnement sans une intervention administrative majeure, ce qui dissuade fortement le vol.

2. Les marchés de l'occasion (Reconditionnement)

Lorsque vous achetez des PC reconditionnés, la Device Association permet de vérifier l'historique d'association. Si un PC a déjà été associé à un autre tenant, vous serez alerté. Cela permet de "purger" proprement l'ancien tenant avant de créer une nouvelle association avec le vôtre, garantissant que vous partez d'une feuille blanche sécurisée.

3. Les environnements haute sécurité

Pour les secteurs bancaires, de la santé ou de la défense, la preuve que le matériel est bien celui commandé et qu'il n'a pas été "cloné" ou modifié est essentielle. La Device Association fournit une chaîne de confiance matériel-logiciel qui est beaucoup plus robuste que le simple numéro de série.

Bonnes pratiques pour consultants IT

1. Audit du firmware : Avant de déployer la Device Association, vérifiez que le BIOS/UEFI de vos modèles de PC est à jour. Certains fabricants ont des bugs dans la gestion des variables UEFI sécurisées.
2. Gestion des clés TPM : Ne jamais supprimer le TPM sans procédure de dé-provisionnement. Si vous réinitialisez le TPM, vous perdez l'association et devrez refaire tout le processus.
3. Documentation des processus de "Dé-association" : Mettez en place une procédure claire pour le cas où un PC doit être revendu ou recyclé. Il faut explicitement supprimer l'association du tenant avant de formater le disque.
4. Test en environnement de staging : Testez le processus complet (Association -> Reset -> Tentative d'inscription dans un tenant tiers) sur un parc de test. Vous devriez voir échouer l'inscription ou une alerte de sécurité.
5. Intégration avec l'Intune Policy : Créez une stratégie Intune qui force la vérification de l'état de la Device Association. Si elle est absente ou invalide, bloquez l'accès aux ressources sensibles (SharePoint, Teams, etc.).

Points clés

• La Device Association est une avancée majeure en sécurité du cycle de vie du terminal, déplaçant la confiance de l'OS vers le firmware.
• Elle exploite la puissance du TPM 2.0 pour créer une identité matériel unique et non falsifiable.
• Pour les consultants, cela signifie une réduction des risques liés à la distribution physique des équipements, mais une complexité accrue dans la gestion du dé-provisionnement.
• La mise en œuvre nécessite une coordination étroite entre les équipes système (BIOS/UEFI) et les équipes identité (Entra ID/Intune).
• C'est une fonctionnalité à adopter progressivement, en commençant par les flottes les plus sensibles, pour valider la compatibilité avec vos images de déploiement actuelles.

En conclusion, l'inscription de l'appartenance dans l'UEFI n'est pas juste une option de sécurité supplémentaire, c'est un changement de paradigme. Elle transforme le PC d'un simple conteneur d'OS en un partenaire de confiance vérifiable matériellement. Pour tout consultant IT gérant des flottes distribuées, c'est un outil indispensable pour sécuriser la chaîne d'approvisionnement numérique.

Source : IT Connect