Informatique et réseau 1.1

• Le document porte sur l'informatique et les réseaux.

Bootloader

• Le bootloader, parfois appelé Second-stage bootloader, est lancé par le BIOS/UEFI pour poursuivre le processus de démarrage.
• La première étape du bootloader consiste à charger la mémoire principale, essentielle au fonctionnement du processeur.
• Son rôle est ensuite de charger le système d'exploitation et de lui transférer l'exécution.
• Après cette étape, l'OS s'initialise et peut charger des drivers supplémentaires.
• Le bootloader est souvent invisible, mais peut parfois proposer des options durant quelques secondes.

Système d'exploitation

• Un système d'exploitation (SE ou OS) est un ensemble de programmes gérant l'utilisation des ressources d'un ordinateur par les logiciels applicatifs.
• Il gère les composantes de l'ordinateur, notamment le disque dur, et organise la partition.
• Les systèmes d'exploitation incluent des programmes dédiés comme les navigateurs, éditeurs de texte, jeux, etc.
• Exemples de systèmes d'exploitation : Windows, MacOS, Unix, Linux (Ubuntu, Debian, Kali, etc.), Android et iOS.
• Un système de fichiers stocke et organise les informations dans des fichiers.
• « FS » (File System) désigne l'organisation des fichiers dans un volume physique ou logique.
• Types de systèmes de fichiers incluent Windows (NTFS, FAT, FAT32), Linux (ext2, ext3, ext4), Apple (HFS, HFS+, APFS), et génériques (extFAT, zfs, btrfs).

Noyau

• Un noyau de système d'exploitation (ou kernel) est une partie fondamentale, gérant les ressources de l'ordinateur et permettant la communication entre les composants matériels et logiciels.
• Il fournit l'abstraction du matériel, notamment la mémoire, le processeur, et les échanges entre logiciels et périphériques.
• Le noyau est lui-même un logiciel central en communication avec tous les programmes.

Processus

• Un processus est un programme en cours d'exécution sur un ordinateur.
• Il peut être démarré par un utilisateur via un périphérique ou par un autre processus.
• Les applications utilisateurs consistent en ensembles de processus.
• Le bootloader lance le premier processus d'initialisation, considéré comme le parent de tous les autres processus.

Pilote

• Un pilote (de périphérique ou driver) est un programme permettant au système d'exploitation d'interagir avec un périphérique.
• Chaque périphérique a généralement son propre pilote.
• Un pilote d'imprimante traduit les ordres de l'OS dans le langage de l'imprimante.
• Sans pilote, certains périphériques comme les imprimantes ou cartes graphiques ne fonctionneraient pas.

Démarrage : les menaces

• Différents types de rootkits peuvent se charger pendant le processus de démarrage du système d'exploitation.
• Firmware rootkits : Remplacent le microprogramme de l'UEFI pour démarrer avant l'OS.
• Bootkits : Remplacent le bootloader du système d'exploitation pour charger un bootkit de démarrage avant le système.
• Kernel rootkits : Remplacent une partie du noyau de l'OS pour démarrer automatiquement.
• Driver rootkits : Se font passer pour des pilotes approuvés pour communiquer avec le matériel.

Démarrage : les contre-mesures (Exemple de Windows)

• Windows utilise quatre fonctionnalités pour empêcher le chargement des rootkits et bootkits au démarrage.
• Secure Boot : Les PCs avec UEFI et TPM peuvent être configurés pour charger seulement les bootloaders d'OS approuvés.
• Il s'agit d'un système de démarrage qui valide UEFI.
• Trusted Boot : Windows vérifie l'intégrité des composants du processus de démarrage avant de les charger (contrôle des hash).
• Early Launch Anti-Malware (ELAM) : ELAM teste tous les pilotes avant leur chargement et empêche le chargement des pilotes non approuvés.
• Measured Boot : L'UEFI enregistre le processus de démarrage, et Windows peut l'envoyer à un serveur approuvé pour évaluer l'état d'intégrité du PC.

Secure Boot et TPM

• Le Trusted Platform Module (TPM) est un standard cryptographique pour cryptoprocesseurs assurant la sécurisation d'un système via l'intégration de clés de chiffrement dans le matériel (version actuelle : TPM 2.0).
• C'est un composant matériel assurant des fonctionnalités cryptographiques indépendamment des composants réinscriptibles, ce qui rend impossible une attaque par malware.

Secure Boot Apple

• L'équivalent Apple du TPM est la puce T2, un SoC fournissant des fonctionnalités de sécurité et de contrôle aux ordinateurs Apple basés sur Intel.
• La puce T2 possède sa propre RAM et agit comme un ordinateur en soi, fonctionnant en parallèle de l'ordinateur principal et répondant à ses requêtes.

Secure Boot Windows

• Au démarrage, les PCs sans démarrage sécurisé exécutent directement le bootloader trouvé sur le disque dur, sans moyen de vérifier sa confiance.
• Les PCs équipés d'UEFI vérifient d'abord que le microprogramme est signé numériquement.
• Si Secure Boot est activé, le microprogramme examine la signature numérique du bootloader pour vérifier qu'elle n'a pas été modifiée.
• Le bootloader est chargé uniquement s'il a été signé par un certificat approuvé ou si l'utilisateur a approuvé manuellement sa signature numérique.
• Attention, l'UEFI n'est pas forcé d'avoir un secure boot.

Options d'exécutions

• Trois options sont disponibles pour exécuter des OS autres que Microsoft.
• Utiliser un OS avec un bootloader certifié, comme un chargeur de démarrage open source pour Linux.
• Configurer UEFI pour approuver un bootloader personnalisé ; tous les PCs certifiés pour Windows permettent d'ajouter une signature à la base de données UEFI pour approuver un chargeur non certifié.
• Désactiver le démarrage sécurisé, mais cela ne protège pas contre les bootkits.

Dual Boot

• Le bootloader peut pointer vers plusieurs systèmes d'exploitation (OS), chacun devant se trouver sur une partition distincte, permettant ainsi d'installer plusieurs OS sur un PC.

«Booter» depuis une clé USB

• L'UEFI scanne les disques disponibles au démarrage, permettant d'ajouter un disque contenant un OS et de booter dessus, sauf si SecureBoot bloque cette opération.
• Typiquement, une clé USB bootable contenant les fichiers nécessaires au démarrage d'un Linux peut être utilisée.
• Différents logiciels permettent de créer une clé USB bootable à partir d'une image ISO et d'installer l'OS sur la clé.
• Le chiffrement du disque est possible.
• Une fois un OS externe démarré, il utilise les ressources de l'ordinateur et accède aux disques, et si ces derniers ne sont pas chiffrés, vous avez accès à tout.

Architecture

• Historiquement, la majorité des ordinateurs personnels utilisaient des processeurs Intel de la famille x86 (parfois i386).

Architecture 32 bits

• Les processeurs possédaient une « architecture 32 bits ».
• Les mots manipulés par le processeur ont une largeur de 32 bits, permettant de représenter des nombres entiers entre 0 et 4 294 967 295.
• 4 Gio représente exactement 4 294 967 296 octets.
• Une architecture 32 bits peut directement manipuler des adresses mémoire sur une plage de 4 Gio ; les systèmes d'exploitation 32 bits sont donc incapables de gérer plus de 4 Gio de RAM.

Architecture 64 bits

• L'augmentation des capacités des cartes de mémoire vive a nécessité le développement de systèmes capables de les gérer, donnant naissance à l'architecture 64 bits (x64, x86_64, AMD64, Intel 64).
• Les processeurs 64 bits peuvent adresser 16 Eio (exbioctets ou 264 octets).
• Dès qu'il y a plus de 4 Gio de RAM sur une machine, la mémoire au-delà de ce seuil n'est directement accessible qu'en mode 64 bits.

Architecture ARM

• Les processeurs possédant une architecture ARM sont utilisés par Apple pour ses propres processeurs des séries « M » : M1, M2, M3 et M4.

Architecture et OS

• Pour pouvoir être exécuté sur un ordinateur, le système d'exploitation doit être adapté à son architecture ; il est possible de trouver des ordinateurs d'avant 2005, fonctionnant donc en 32 bits.

Clients vs serveurs

• Un protocole client–serveur désigne un mode de transmission d'informations entre plusieurs programmes ou processus.
• Le client envoie des requêtes, et le serveur attend les requêtes des clients et y répond.
• Le client désigne souvent le terminal ou la machine exécutant le logiciel client.
• Le serveur désigne l'ordinateur exécutant le logiciel serveur.
• Est appelée client aussi bien l'ordinateur depuis lequel les demandes sont envoyées que le logiciel qui contient les instructions relatives aux demandes et la personne qui opère les demandes.
• L'ordinateur client est généralement un ordinateur personnel ou un smartphone, équipé de logiciels relatifs aux différents types de demandes, comme un navigateur web.

Le serveur

• Un serveur informatique est un dispositif informatique (matériel et logiciel) qui offre des services à un ou plusieurs clients (parfois des milliers).
• Les services courants incluent l'accès aux informations du World Wide Web, le courrier électronique, le partage de périphériques, le commerce électronique, le stockage en base de données, la gestion de l'authentification et du contrôle d'accès, les jeux et la mise à disposition de logiciels applicatifs (MS Office 365, etc.).
• Les machines serveurs sont généralement dotées de capacités supérieures à celles des ordinateurs personnels en termes de puissance de calcul, d'entrées-sorties, et de connexions réseau, consommant plus d'énergie et chauffant plus.
• Les serveurs sont également beaucoup plus fiables, notamment grâce à une conception redondante (alimentation, disques, interfaces réseaux, etc.) ; la redondance est la duplication d'un ensemble pour assurer un fonctionnement sans interruption.

Mais où sont les données?

• D'un point de vue forensique, les données d'intérêt peuvent se trouver à différents endroits sur une machine.
• Il faut donc les identifier.
• C'est la base de tout processus forensique numérique : identifier les supports de traces.
• Il peut y avoir une très grande quantité de données, ce qui peut poser des défis logistiques.

Ce document décrit le rôle du bootloader dans le démarrage d'un ordinateur, en chargeant le système d'exploitation. Il explique aussi comment le système d'exploitation gère les ressources et les applications de l'ordinateur, incluant la gestion du disque dur et des partitions.