[Windows 11 Pro]Intégrité de la mémoire ne fonctionne pas !

Bonjour ZEKRI Abdelhafid.

==> Oui, j'ai ces clés dans les BIOS de mes PC Asus mais je n'ose pas y toucher.

Je comprends puisque ton Asus fonctionne normalement.

Mais n'as tu jamais fait quoi que ce soit pour configurer ton UEFI (Bios) afin de rendre opérationnelle ta sécurité Windows ?

Si tu ne bidouille pas, tu ne vas pas apprendre.

Merci pour le lien, il y a plus d'informations que dans l'UEFI (Bios) de mon Asus.

==> Tu as de la chance que le PC a été acheté avec Windows 11 Préinstallé en usine selon tes dires (mais cela me laisse perplexe car il y a 3 ans, Windows 11 n'était pas encore sorti).

Bonne remarque !

Je suppose que mon revendeur a dû basculer l'Asus vers Windows 11 Pro de son propre chef.

J'avais remarqué ses références téléphoniques et autres informations de mon revendeur dans mon ordinateur.

Il est donc intervenu pour les mettre.

Je ne sais pas trop si c'est très légal d'ouvrir un ordinateur, de bidouiller dedans puis de le vendre.

J'ai fait deux découvertes, en bidouillant dans l'UEFI (Bios).

I) Dans Windows 11 Pro, et dans "Intégrité de la mémoire", j'ai bien cliqué sur "activé"

Puis je sélectionne la séquence suivante du paramétrage de l'UEFI (Bios) :

a) F9 (Default).

C'est le paramétrage d'usine.

Afin qu'il soit bien pris en compte, je redémarre l'Asus, puis j'entre à nouveau dans l'UEFI (Bios), sans passer par Windows.

b) F7 / Advanced / SVM Mode --> Enabled

c) F7 / Boot / Boot Option #1 --> Disabled

Je désactive le disque interne de mon Asus puisque j'utilise le disque externe pour faire mes tests. "Boot Option #2" quand à lui reste activé.

d) F7 / Security /Secure Boot / Secure Boot Control --> Enabled

e) F7 / Security / Key Managment / Platform Key(PK)

Je fais un update puis et aussi un export. Je reviendrais un peu plus bas sur ce paramétrage.

Au redémarrage, Windows se Fige encore.

J'ai trouvé la solution à ce problème.

J'ai un problème avec la mémoire Flash !!!

e) F7 / Advanced / UMA Frame Buffer Size

est à "512M" par défaut. J'ai sélectionné à "auto".

Je ne comprends pas pourquoi, de temps en temps, il me propose 128M.

Mais cela ne fonctionne pas toujours au premier coups.

Je suis obligé de le repasser à "512M", un redémarrage puis de le remettre à "Auto".

Et au redémarrage de mon Asus, Windows ne se fige plus et j'ai "Intégrité de la mémoire" qui est opérationnel.

Au bas de la page "Sécurité des Appareils", j'ai maintenant : "Votre appareil est conforme à la configuration requise pour la sécurité renforcée du matériel".

Par contre, je ne suis pas arrivé à atteindre le dernier niveau, celui où la phrase suivante apparait : "Toutes les fonctionnalités de PC cœur sécurisé de votre appareil sont activées".

Je dois activer la protection du mode SMM (System Management Mode) sauf que je ne sais pas ce que c'est.

Je suis preneur de tes bons conseils. :)

II) Je reviens sur Debian et sur les clefs (ou signatures).

J'ai toujours au démarrage de Debian : "Secure Boot Violation. Invalid Signature Detected. Check Secure Boot Policy in Setup".

Autrement dit, je n'ai pas les bonnes clefs.

Dans l'UEFI (Bios), j'ai pourtant exporté mes clefs et je les retrouve dans le répertoire "/boot/efi" de Debian à la date du jour.

Quand dans "Secure Boot" de l'UEFI (Bios), il dit qu'il a exporté 5 variables, je retrouve bien cinq fichiers.

Les noms de ces fichiers sont : db, dbt, dbt, kek et pk. PK est le fichier (ou certificat) de "Platform Key(PK).

L'export a bien fonctionné mais je ne comprends pas pourquoi mon Asus rejette la signature.

Lors de l'achat de mon Asus, c'est Windows 11 Pro qui était installé dessus.

L'organisation du disque est "GPT / UEFI". L'UEFI (Bios) de mon Asus permet de gérer cette organisation.

Inversement, je ne peux pas utiliser l'ancienne organisation "MBR / Bios" dans mon Asus.

Ce qui me fait dire que je peux utiliser tous les autres systèmes d'exploitations utilisant cette organisation.

Si je désactive "Secure Boot", j'ai bien accès à Debian.

Et si le blocage venait des clefs ?

Je me demande si les clefs sont destinées seulement qu'à Windows.

Dans ce cas, que dois-je faire pour trouver les bonnes clefs et les introduire dans l'UEFI (Bios) de mon Asus ?

En bas de page du "Secure Boot", j'ai ceci :

Enroll Factory Defaults or load certificates from a file :

1.Public Key Certificate:

a.EFI_SIGNATURE_LIST

b.EFI_CERT_X509(DER)

c.EFI_CERT_RSA2048(Bin)

d.EFI_CERT_SHAXXX

2.Authenticated UEFI Variable

3.EFI PE/COFF Image(SHA256)

Key Source:

Factory,External,Mixed

Je ne comprends pas trop ce que signifie "Charger des certificats à partir "un fichier".

Je n'ai trouvé aucun import d'un fichier contenant ces clefs dans l'UEFI (Bios) de mon Asus.

J'ai fait une recherche dans Windows et je n'ai rien trouve.

Et pourtant, je les ai aussi exportées.

Si elles sont que dans l'UEFI (Bios) et seulement pour Windows, je comprends pourquoi Debian est rejeté au démarrage.

Cordialement.

Artemus24.

@+

Bonjour

Oui, j'ai ces clés dans les BIOS de mes PC Asus mais je n'ose pas y toucher.

Recherche dans Google, tu trouveras des explications comme celle-ci :

https://docs-oracle-com.translate.goog/en/servers/x86/x8-8/service-manual/configure-uefi-secure-boot.html?_x_tr_sl=en&_x_tr_tl=fr&_x_tr_hl=fr&_x_tr_pto=wapp

Je crois que pour ce problème on a besoin d'un vrai expert qui nous l'explique mais pas de simples Helpers comme moi qui nous indiquent des liens.

En plus, compte de tenu des risques éventuels de toucher à ces clés, je crois que tu ferais mieux de voir ce problème aussi avec Asus, normalement ils doivent te guider avec une procédure pour réinitialiser les valeurs par défaut de ces clés par exemple…. Et cela sous leur responsabilité….

Pour ce qui est de l'activation de l'intégrité d la mémoire, il n'est pas aussi facile de dire qu'elle n'est pas importante avec tout ce que tu as dû lire sur le Net, voilà aussi ce qui répond à cette question :

https://fr.techtribune.net/comment/comment-et-pourquoi-activer-la-fonction-dintegrite-de-la-memoire-de-core-isolation-pour-ameliorer-la-securite-sur-windows-11-2/544918/

Sinon, je te rappelle la date du 20 Mai (date d'expiration de ta garantie) et te conseille encore une fois de retourner ce PC au SAV.

Tu as de la chance que le PC a été acheté avec Windows 11 Préinstallé en usine selon tes dires (mais cela me laisse perplexe car il y a 3 ans, Windows 11 n'était pas encore sorti).

Bonjour ZEKRI Abdelhafid.

Désolé, mais après vérification, c'est "SVM Mode" qui était désactivé et non pas "Secure boot".

==> Mais peut être que ce sont ces clés dans le BIOS qui sont responsables de tout, y compris du problème de l'intégrité de la mémoire.

Je le crois aussi. Je pense que les clefs n'étaient pas installé dans Windows. Le "Secure Boot" ne pouvait pas démarrer dans Windows à cause de cela alors qu'il était actif dans l'UEFI (bios).

A titre indicatif, je te donne les noms de mes cinq clefs :

--> Platform Key (PK)

--> Key Exchange Keys

--> Authorized Signature

--> Forbidden Signature

--> Authorized Timestamps

As tu les mêmes clefs ou signatures dans tes Asus ?

Avec cette nouvelle sécurité dans Windows, je pense qu'il faut voir son ordinateur comme un coffre fort où pour l'ouvrir, il faut faire un démarrage conventionnel sinon l'UEFI (BIOS) va détecter une violation de la sécurité. Je ne vais pas acheter un ordinateur à chaque fois que je teste un système d'exploitation différent. Il me semble logique de les installer sur des disques externes. En activant la sécurité au démarrage, je ne vais pas pouvoir entrer dans l'OS, sauf si j'ai les bonnes clefs d'installées. Comme tu l'as constaté, je ne maitrise pas du tout l'UEFI (Bios) de mon Asus. Je crois que l'on peut installer de nouvelles clefs et les intégrer dans la mémoire flash de son Asus. Oui, mais je ne sais pas le faire.

A part cela, mon Asus fonctionne bien. Ma prochaine acquisition sera à nouveau un HP. Mon ancien HP était de bonne qualité. 12,5 ans de loyaux services puis la carte vidéo est tombé en rade. Il faut dire que je l'utilise tous les jours.

As tu des informations sur ce que sont ces clefs ? Peut-être des certificats SSL ? Ou se trouvent elles dans Windows ?

Je trouve que ces nouvelles sécurités sont très contraignantes et elles ne m'apportent rien de positif. Windows Defender détecte des virus, là où j'ai développé des programmes. Je ne fais que de la bidouille, rien de plus. Je pense que je vais m'acheter un second ordinateur qui sera sécurisé et où je ferai mes accès à la banque et autres données sensibles, comme les achats sur internet.

Que se passe-t-il si quelqu'un ne se souvient plus comment accéder à son ordinateur ? Impossible d'accéder directement sur le disque, il est chiffré. Ou comment accéder à l'UEFI (Bios) s'il y a un mot de passe ? J'utilise Acronis pour faire des sauvegardes. Quand est-il si mon ordinateur détecte une violation de la sécurité ? Impossible de sauvegarder quoi que ce soit. Et si mon disque est chiffré, comment récupérer son contenu ? Je pense que ce genre de sécurité n'est pas fait pour le tout public. C'est trop contraignant.

==> c'est en effaçant ces clés que des utilisateurs ont résolu ce problème.

Je ne les ai pas supprimées, mais j'ai fait un reset. Sans clefs, le "Secure Boot" ne s'active pas dans l'UEFI (Bios). Si je les réinstalle, le "Secure Boot" est activé.

==> Oui, cela peut éventuellement aider à mieux comprendre….

A partir d'une image ISO, j'ai Windows 10 Pro et j'ai testé l'intégrité de la mémoire. J'ai le même problème, Windows 10 Pro se fige au redémarrage. Je n'ai pas poursuivi la migration vers Windows 11 Pro. C'est long à faire et cela n'aurait rien apporté de plus à la compréhension du problème. Chaque ordinateur est un cas particulier et ce qui fonctionne chez l'un peut ne pas fonctionner chez un autre.

==> car j'ai dès le début précisé que la faute pourrait revenir à un système fonctionnant sur un disque dur externe.

Je veux bien, mais j'ai fait aussi des tests sur mon Windows 10 Pro qui se trouve dans le disque SSD/M2 interne à mon Asus. Le problème est pareil, Windows 10 Pro se fige au redémarrage. Je n'avais rien de connecté à mon Asus quand j'ai fait ces tests.

Je pense que si l'intégrité de la mémoire avait été opérationnelle, j'aurai eu un problème avec mon disque externe comme je l'ai avec Debian.

==> Asus pourrait te répondre que dans le cadre de la garantie, comme il t'a vendu un PC avec licence Windows 10, qu'il est responsable de l'activation de l'intégrité de la mémoire sous Windows 10 seulement…. Car il est responsable du matériel et du système.

C'est Windows 11 Pro qui était installé à l'origine dans mon Asus, pas Windows 10 Pro. Quand mon HP a rendu l'âme, je suis passé d'une organisation MBR (Bios) vers GPT (UEFI) pour le disque. Puis avec Acronis, j'ai fait une sauvegarde de Windows 11 Pro et j'ai installé à la place, donc dans l'Asus, mon Windows 10 Pro. Je ne me suis pas du tout intéressé à la sécurité Windows. J'ai même délaissé Windows 11 Pro.

Dernièrement, j'ai voulu mettre à jour Windows 11 Pro. Au redémarrage, il s'est figé et je ne comprenais pas pourquoi. C'est cherchant sur le net que j'ai compris que le problème venait de la Sécurité Windows. Si elle est désactivée, tout se passe bien. J'avais un problème !

J'ai réinstallé Windows 11 Pro dans une version propre, sans avoir installé quoi que ce soit d'autre. J'ai compris que l'origine du problème venait de la Sécurité Windows. J'ai cherché sur le net et j'ai trouvé "Secure Boot" et "SVM Mode" pour l'UEFI (Bios) de mon Asus. Je les ai activés, mais l'intégrité de la mémoire figeait Windows au démarrage. D'où mon sujet.

Merci de t'être intéressé à mon problème.

Cordialement

Artemus Gordon.

> Si mon "Secure Boot" n'avait pas été activé dans l'UEFI (Bios), je n'aurai pas eu accès dans "Securité Windows" à l'intégrité de la mémoire.

Mais en sélectionnant une des clefs de l'UEFI (Bios), cela a permis d'activer le "Secure Boot" dans "msinfo32.exe".

Oui, mais tant que le Secure Boot n'était pas signalé comme activé (sous Windows, c’est-à-dire dans msinfo32), cela voulait dire qu'il n'était pas activé.

Mais malgré cela, l'intégrité de la mémoire devait s'activer car j'avais précisé dans un de mes précédents messages que chez moi l'intégrité de la mémoire reste activée quand je désactive le Secure boot.

> Pour les autres disques externes, j'ai :…

Je ne connais pas Linux.

Mais peut être que ce sont ces clés dans le BIOS qui sont responsables de tout, y compris du problème de l'intégrité de la mémoire.

J'avais vu plusieurs fois sur le Net des utilisateurs qui rencontraient des problème avec le Secure Boot, quand ils activent ce dernier alors qu'il sont bien sous un mode UEFI/GPT, le système ne démarre pas ou présente de graves dysfonctionnement et parfois c'est en effaçant ces clés que ds utilisateurs ont résolu ce problème.

Mais pour te dire comment effacer ces clés et s'il n'y aura pas des incidences graves, je ne le sais pas

> Je vais installer Windows 10 Pro puis migrer ensuite vers Windows 11 Pro.

Oui, cela peut éventuellement aider à mieux comprendre….

Cependant, depuis le début je considère que nous somme en train de traiter ce problème sur Windows 11 installé sur un disque dur interne car j''ai dès le début précisé que la faute pourrait revenir à un système fonctionnant sur un disque dur externe.

> Je pense que le problème ne concerne pas Windows mais bien Asus.

Asus pourrait te répondre que dans le cadre de la garantie, comme il t'a vendu un PC avec licence Windows 10, qu'il est responsable de l'activation de l'intégrité de la mémoire sous Windows 10 seulement…. Car il est responsable du matériel et du système.

Bonjour ZEKRI Abdelhafid.

Si mon "Secure Boot" n'avait pas été activé dans l'UEFI (Bios), je n'aurai pas eu accès dans "Securité Windows" à l'intégrité de la mémoire.

Mais en sélectionnant une des clefs de l'UEFI (Bios), cela a permis d'activer le "Secure Boot" dans "msinfo32.exe".

Sauf que je recontre un nouveau problème. :(

Dans mon premier message, j'ai indiqué que j'utilise des disques externes où j'ai mis différents OS.

Pour le disque interne, il s'agit de Windows 10 Pro.

Pour les autres disques externes, j'ai :

--> Windows 11 Pro dont je teste l'intégrité de la mémoire.

--> La première version Windows 11 Pro, celle que j'avais quand j'ai acheté mon ordinateur.

Jusque là, je ne rencontre aucun problème avec les trois Windows.

J'ai Debian 11 (Bulleseye). Au démarrage, Asus me signale, in english please :

Secure Boot Violation. Invalid signature detected. Check secure boot policy in setup.

Si je désactive le Secure Boot, j'entre bien dans Debian.

Question : comment dois-je faire pour que mon Debian ait les bonnes signatures (ou clefs) ?

J'ai testé à nouveau les cinq clefs dans mon UEFI (Bios), mais rien n'y fait, je ne peux pas supprimer ce message.

Dois-je comprendre que dans Debian, l'intégrité de la mémoire est fonctionnelle et me donne cet avertissement par ce ue je n'ai pas les bonnes clefs ?

Tandis que sous Windows, comme l'intégrité de la mémoire n'est pas opérationnelle, je n'ai pas ce message d'avertissement.

Windows vérifie si je possède bien ces clefs et comme elles sont absentes, l'intégrité de la mémoire ne peut pas être activée.

Je vais installer Windows 10 Pro puis migrer ensuite vers Windows 11 Pro.

Je pense que le problème ne concerne pas Windows mais bien Asus.

Cordialement.

Artemus24.

@+