Un ordinateur portable perdu dans un train, un poste volé dans une voiture, un disque récupéré lors d'un remplacement : dans tous ces cas, le disque peut être retiré ou lu depuis un autre système, et les données avec. BitLocker, le chiffrement de disque intégré à Windows, répond à ce risque : sans la bonne clé, le contenu du disque est illisible. Cet article explique comment BitLocker fonctionne, comment l'activer, ce qu'il apporte réellement en cybersécurité, ses limites, et comment on accède à un volume chiffré quand une analyse le justifie (réponse à incident, investigation numérique, récupération de données).
BitLocker en bref
BitLocker chiffre des volumes entiers (système, données fixes, disques amovibles) : tout ce qui est écrit sur le volume est chiffré, y compris les fichiers temporaires et l'espace de swap. Le chiffrement et le déchiffrement se font de façon transparente pour l'utilisateur une fois le volume déverrouillé. C'est une protection des données au repos, c'est-à-dire quand la machine est éteinte ou verrouillée.
Comment BitLocker fonctionne
Une hiérarchie de clés
BitLocker ne chiffre pas directement avec le mot de passe de l'utilisateur. Il utilise une chaîne de clés :
| Clé | Rôle |
|---|---|
| FVEK (Full Volume Encryption Key) | Chiffre les données du volume |
| VMK (Volume Master Key) | Chiffre la FVEK |
| Protecteurs de clé | Protègent la VMK : TPM, code PIN, clé de démarrage, mot de passe, mot de passe de récupération |
Cette structure explique deux choses : changer un protecteur (par exemple le PIN) ne demande pas de rechiffrer tout le disque, et il suffit d'obtenir un protecteur valide, ou la VMK, ou la FVEK, pour accéder au volume.
Par défaut, Windows utilise l'algorithme XTS-AES 128 bits pour le chiffrement de l'appareil, selon la documentation Microsoft. Le mode 256 bits est configurable.
Le rôle du TPM
Le TPM (Trusted Platform Module) est une puce de sécurité qui conserve la clé et ne la libère que si l'état de démarrage de la machine est celui attendu (micrologiciel, chargeur de démarrage, configuration). Si quelqu'un modifie la chaîne de démarrage ou déplace le disque dans une autre machine, le TPM ne libère pas la clé et Windows demande la clé de récupération.
Les protecteurs disponibles
- TPM seul : démarrage transparent, sans saisie ; pratique, mais plus exposé si l'appareil est volé.
- TPM + PIN : un code saisi avant le démarrage de Windows (de 4 à 20 chiffres, ou plus complexe si les PIN améliorés sont autorisés).
- TPM + PIN + clé de démarrage : ajoute une clé sur une clé USB.
- Mot de passe : pour les disques de données ou amovibles.
- Mot de passe de récupération : 48 chiffres, à conserver en lieu sûr ; c'est la clé de secours.
Comment activer BitLocker
Avant de commencer
- Vérifiez les prérequis : BitLocker est disponible sur les éditions Pro, Entreprise et Éducation de Windows ; certaines éditions Famille proposent un « chiffrement de l'appareil » aux conditions plus restreintes. Un TPM et le démarrage sécurisé (Secure Boot) sont recommandés.
- Sauvegardez vos données : un problème pendant le chiffrement est rare, mais une sauvegarde reste la règle.
- Prévoyez la clé de récupération : elle sera demandée en cas de changement matériel ou de mise à jour du micrologiciel.
Par l'interface graphique
- Ouvrez « Gérer BitLocker » (Panneau de configuration, Chiffrement de lecteur BitLocker) ou, sur une édition Famille, Paramètres puis « Chiffrement de l'appareil ».
- Cliquez sur « Activer BitLocker » sur le lecteur système.
- Sauvegardez la clé de récupération : compte Microsoft, compte professionnel, fichier ou impression. Jamais sur le disque chiffré lui-même.
- Choisissez de chiffrer l'espace utilisé seulement (plus rapide, adapté à un disque neuf) ou tout le lecteur (recommandé pour un disque déjà utilisé).
- Choisissez le mode de chiffrement : nouveau mode pour un disque fixe, mode compatible pour un disque amovible qui sera lu sur d'anciennes versions de Windows.
- Lancez le chiffrement : vous pouvez continuer à travailler pendant l'opération.
En ligne de commande
Vérifier l'état et les protecteurs :
manage-bde -status
manage-bde -protectors -get C:
Activer BitLocker avec TPM et PIN, puis ajouter un mot de passe de récupération (dans un terminal administrateur) :
$pin = Read-Host "PIN de démarrage" -AsSecureString
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmAndPinProtector -Pin $pin
Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector
Le PIN de démarrage nécessite d'autoriser une authentification supplémentaire au démarrage dans la stratégie de groupe. Voir la documentation de la commande Enable-BitLocker.
En entreprise
Le déploiement passe par les stratégies de groupe ou par la gestion des appareils (Intune). L'essentiel est de sauvegarder automatiquement les clés de récupération dans l'annuaire (Active Directory ou Entra ID) : sans cela, un appareil en mode récupération peut devenir inutilisable. Voir aussi notre article sur les CIS Benchmarks, qui incluent des recommandations de chiffrement.
L'intérêt de BitLocker en cybersécurité
- Perte ou vol de matériel : sans clé, les données restent illisibles, même si le disque est démonté ou lu depuis un autre système.
- Conformité : le chiffrement est une mesure de sécurité reconnue. Sous le RGPD, il peut contribuer à démontrer une sécurité adaptée et, en cas de perte d'un appareil, l'incident peut dans certains cas ne pas exiger d'informer les personnes concernées si les données sont rendues inintelligibles. Voir notre article sur la CNIL et faites valider votre situation.
- Mise au rebut et réparation : un disque chiffré peut sortir de l'entreprise avec beaucoup moins de risques.
- Protection contre les attaques « hors ligne » : démarrer un autre système pour lire le disque ne suffit plus.
Les limites à connaître
À retenir : BitLocker protège une machine éteinte. Il ne protège pas une session ouverte, un malware ou un rançongiciel actif.
- Une session déverrouillée est lisible : un attaquant qui obtient l'accès à une machine allumée voit les données en clair.
- TPM seul : un point faible : plusieurs recherches ont montré des attaques contre les configurations TPM sans PIN, par exemple l'écoute du bus entre le TPM et le processeur ou la faille « bitpixie » (CVE-2023-21563) dans des conditions précises. Le PIN au démarrage réduit fortement ces risques. Le dépôt bitlocker-attacks recense les attaques publiques connues.
- Perte de la clé de récupération = perte des données : elle est le seul recours si le TPM refuse de libérer la clé.
- Détournement par des attaquants : des campagnes ont déjà utilisé BitLocker pour chiffrer les données de victimes à des fins d'extorsion. Surveillez les activations inattendues.
- Le chiffrement ne remplace pas le reste : sauvegardes, correctifs, gestion des accès et détection restent nécessaires.
Déchiffrer un volume BitLocker pour l'analyser
Les situations légitimes sont nombreuses : réponse à incident sur un poste d'entreprise, enquête interne, récupération d'un disque dont l'utilisateur a quitté la société, analyse forensique d'un support saisi. Dans tous les cas, agissez avec une autorisation écrite et dans le respect du droit (voir aussi notre guide sur le choix des logiciels d'investigation Windows). Ce qui suit concerne les systèmes dont vous avez le droit d'analyser les données.
Principe : obtenir une clé légitime
Comme un seul protecteur suffit, la voie normale est de retrouver l'un d'eux :
| Source de la clé | Où la trouver |
|---|---|
| Mot de passe de récupération (48 chiffres) | Active Directory, Entra ID, compte Microsoft du propriétaire, fichier ou impression |
| Mot de passe ou code PIN | Fourni par l'utilisateur |
| Fichier de clé de démarrage (.BEK) | Clé USB de démarrage |
En entreprise, la récupération se fait via l'outil de gestion des clés, avec une procédure et une traçabilité.
Cas 1 : la machine est allumée et déverrouillée
C'est la situation la plus favorable pour l'analyste. Suivez l'ordre de volatilité : capturez d'abord la mémoire vive (elle peut contenir des clés et des éléments qui disparaissent à l'extinction), puis acquérez les données du volume déchiffré (image logique ou physique), en documentant chaque étape. Éteindre la machine avant de le faire peut rendre le volume inaccessible sans la clé.
Cas 2 : la machine est éteinte, la clé est disponible
Vous pouvez déverrouiller sous Windows avec la clé de récupération :
manage-bde -unlock D: -RecoveryPassword 111111-222222-333333-444444-555555-666666-777777-888888
Ou en PowerShell avec Unlock-BitLocker. Le mieux est de travailler sur une image du disque plutôt que sur le disque original, en lecture seule (blocage en écriture), et de calculer les empreintes de hachage avant et après.
Sous Linux, l'outil libre dislocker permet de monter une image chiffrée en lecture seule à partir de la clé de récupération :
sudo dislocker -V /dev/sdb2 -p111111-222222-333333-444444-555555-666666-777777-888888 -- /mnt/dislocker
sudo mount -o ro,loop /mnt/dislocker/dislocker-file /mnt/volume
Des suites forensiques commerciales et des outils de montage d'images savent aussi gérer les volumes BitLocker quand la clé est fournie.
Cas 3 : la clé n'est pas disponible
- Volume protégé par le TPM seul : la clé est libérée par le TPM de la machine d'origine. Une acquisition et un démarrage sur le matériel d'origine peuvent donc s'imposer. Des laboratoires spécialisés ont publié des méthodes avancées (par exemple via des interfaces de débogage matérielles), qui relèvent d'expertises pointues et de cadres légaux stricts.
- Mémoire vive disponible : des outils d'analyse mémoire peuvent, dans certains cas, retrouver la clé FVEK d'un système qui était déverrouillé.
- Mot de passe faible : il existe des outils d'audit de robustesse, à employer uniquement sur vos propres systèmes ou avec autorisation.
Sans clé et sans faille exploitable, un volume BitLocker correctement configuré résiste : c'est précisément son objet.
Bonnes pratiques pour l'analyste
- Documentez : qui a autorisé, quelle clé a été utilisée, à quelle heure, sur quelle image.
- Travaillez en lecture seule et conservez le support d'origine intact.
- Hachez les images (avant et après) pour prouver l'intégrité.
- Protégez les clés : une clé de récupération est un secret sensible, à stocker de façon chiffrée.
- Surveillez les journaux : Windows enregistre des événements liés à BitLocker, à explorer avec le référentiel des Event IDs Windows.
Checklist de déploiement
- TPM et démarrage sécurisé activés, micrologiciel à jour.
- Chiffrement XTS-AES sur tous les postes, avec TPM + PIN pour les postes nomades ou sensibles.
- Clés de récupération sauvegardées automatiquement dans l'annuaire et testées.
- Chiffrement des disques de données et amovibles quand ils contiennent des informations sensibles.
- Procédure de récupération et d'accès aux clés, avec contrôle et traçabilité.
- Surveillance des activations, désactivations et déchiffrements.
- Correctifs Windows et de la partition de récupération appliqués.
En résumé
BitLocker chiffre les volumes Windows avec une chaîne de clés protégée par le TPM, un PIN ou une clé de récupération. Il protège efficacement contre le vol et la perte de matériel, à condition d'être bien configuré (idéalement TPM + PIN) et d'avoir des clés de récupération sauvegardées. Il ne protège pas une session ouverte ni les malwares. Pour analyser un volume, on part toujours d'une clé légitime, en agissant avec autorisation, sur une image en lecture seule, avec une traçabilité rigoureuse.