[Windows 11 Pro]Intégrité de la mémoire ne fonctionne pas !

Bonjour ZEKRI Abdelhafid.

Désolé, mais après vérification, c'est "SVM Mode" qui était désactivé et non pas "Secure boot".

==> Mais peut être que ce sont ces clés dans le BIOS qui sont responsables de tout, y compris du problème de l'intégrité de la mémoire.

Je le crois aussi. Je pense que les clefs n'étaient pas installé dans Windows. Le "Secure Boot" ne pouvait pas démarrer dans Windows à cause de cela alors qu'il était actif dans l'UEFI (bios).

A titre indicatif, je te donne les noms de mes cinq clefs :

--> Platform Key (PK)

--> Key Exchange Keys

--> Authorized Signature

--> Forbidden Signature

--> Authorized Timestamps

As tu les mêmes clefs ou signatures dans tes Asus ?

Avec cette nouvelle sécurité dans Windows, je pense qu'il faut voir son ordinateur comme un coffre fort où pour l'ouvrir, il faut faire un démarrage conventionnel sinon l'UEFI (BIOS) va détecter une violation de la sécurité. Je ne vais pas acheter un ordinateur à chaque fois que je teste un système d'exploitation différent. Il me semble logique de les installer sur des disques externes. En activant la sécurité au démarrage, je ne vais pas pouvoir entrer dans l'OS, sauf si j'ai les bonnes clefs d'installées. Comme tu l'as constaté, je ne maitrise pas du tout l'UEFI (Bios) de mon Asus. Je crois que l'on peut installer de nouvelles clefs et les intégrer dans la mémoire flash de son Asus. Oui, mais je ne sais pas le faire.

A part cela, mon Asus fonctionne bien. Ma prochaine acquisition sera à nouveau un HP. Mon ancien HP était de bonne qualité. 12,5 ans de loyaux services puis la carte vidéo est tombé en rade. Il faut dire que je l'utilise tous les jours.

As tu des informations sur ce que sont ces clefs ? Peut-être des certificats SSL ? Ou se trouvent elles dans Windows ?

Je trouve que ces nouvelles sécurités sont très contraignantes et elles ne m'apportent rien de positif. Windows Defender détecte des virus, là où j'ai développé des programmes. Je ne fais que de la bidouille, rien de plus. Je pense que je vais m'acheter un second ordinateur qui sera sécurisé et où je ferai mes accès à la banque et autres données sensibles, comme les achats sur internet.

Que se passe-t-il si quelqu'un ne se souvient plus comment accéder à son ordinateur ? Impossible d'accéder directement sur le disque, il est chiffré. Ou comment accéder à l'UEFI (Bios) s'il y a un mot de passe ? J'utilise Acronis pour faire des sauvegardes. Quand est-il si mon ordinateur détecte une violation de la sécurité ? Impossible de sauvegarder quoi que ce soit. Et si mon disque est chiffré, comment récupérer son contenu ? Je pense que ce genre de sécurité n'est pas fait pour le tout public. C'est trop contraignant.

==> c'est en effaçant ces clés que des utilisateurs ont résolu ce problème.

Je ne les ai pas supprimées, mais j'ai fait un reset. Sans clefs, le "Secure Boot" ne s'active pas dans l'UEFI (Bios). Si je les réinstalle, le "Secure Boot" est activé.

==> Oui, cela peut éventuellement aider à mieux comprendre….

A partir d'une image ISO, j'ai Windows 10 Pro et j'ai testé l'intégrité de la mémoire. J'ai le même problème, Windows 10 Pro se fige au redémarrage. Je n'ai pas poursuivi la migration vers Windows 11 Pro. C'est long à faire et cela n'aurait rien apporté de plus à la compréhension du problème. Chaque ordinateur est un cas particulier et ce qui fonctionne chez l'un peut ne pas fonctionner chez un autre.

==> car j'ai dès le début précisé que la faute pourrait revenir à un système fonctionnant sur un disque dur externe.

Je veux bien, mais j'ai fait aussi des tests sur mon Windows 10 Pro qui se trouve dans le disque SSD/M2 interne à mon Asus. Le problème est pareil, Windows 10 Pro se fige au redémarrage. Je n'avais rien de connecté à mon Asus quand j'ai fait ces tests.

Je pense que si l'intégrité de la mémoire avait été opérationnelle, j'aurai eu un problème avec mon disque externe comme je l'ai avec Debian.

==> Asus pourrait te répondre que dans le cadre de la garantie, comme il t'a vendu un PC avec licence Windows 10, qu'il est responsable de l'activation de l'intégrité de la mémoire sous Windows 10 seulement…. Car il est responsable du matériel et du système.

C'est Windows 11 Pro qui était installé à l'origine dans mon Asus, pas Windows 10 Pro. Quand mon HP a rendu l'âme, je suis passé d'une organisation MBR (Bios) vers GPT (UEFI) pour le disque. Puis avec Acronis, j'ai fait une sauvegarde de Windows 11 Pro et j'ai installé à la place, donc dans l'Asus, mon Windows 10 Pro. Je ne me suis pas du tout intéressé à la sécurité Windows. J'ai même délaissé Windows 11 Pro.

Dernièrement, j'ai voulu mettre à jour Windows 11 Pro. Au redémarrage, il s'est figé et je ne comprenais pas pourquoi. C'est cherchant sur le net que j'ai compris que le problème venait de la Sécurité Windows. Si elle est désactivée, tout se passe bien. J'avais un problème !

J'ai réinstallé Windows 11 Pro dans une version propre, sans avoir installé quoi que ce soit d'autre. J'ai compris que l'origine du problème venait de la Sécurité Windows. J'ai cherché sur le net et j'ai trouvé "Secure Boot" et "SVM Mode" pour l'UEFI (Bios) de mon Asus. Je les ai activés, mais l'intégrité de la mémoire figeait Windows au démarrage. D'où mon sujet.

Merci de t'être intéressé à mon problème.

Cordialement

Artemus Gordon.

Bonjour

Oui, j'ai ces clés dans les BIOS de mes PC Asus mais je n'ose pas y toucher.

Recherche dans Google, tu trouveras des explications comme celle-ci :

https://docs-oracle-com.translate.goog/en/servers/x86/x8-8/service-manual/configure-uefi-secure-boot.html?_x_tr_sl=en&_x_tr_tl=fr&_x_tr_hl=fr&_x_tr_pto=wapp

Je crois que pour ce problème on a besoin d'un vrai expert qui nous l'explique mais pas de simples Helpers comme moi qui nous indiquent des liens.

En plus, compte de tenu des risques éventuels de toucher à ces clés, je crois que tu ferais mieux de voir ce problème aussi avec Asus, normalement ils doivent te guider avec une procédure pour réinitialiser les valeurs par défaut de ces clés par exemple…. Et cela sous leur responsabilité….

Pour ce qui est de l'activation de l'intégrité d la mémoire, il n'est pas aussi facile de dire qu'elle n'est pas importante avec tout ce que tu as dû lire sur le Net, voilà aussi ce qui répond à cette question :

https://fr.techtribune.net/comment/comment-et-pourquoi-activer-la-fonction-dintegrite-de-la-memoire-de-core-isolation-pour-ameliorer-la-securite-sur-windows-11-2/544918/

Sinon, je te rappelle la date du 20 Mai (date d'expiration de ta garantie) et te conseille encore une fois de retourner ce PC au SAV.

Tu as de la chance que le PC a été acheté avec Windows 11 Préinstallé en usine selon tes dires (mais cela me laisse perplexe car il y a 3 ans, Windows 11 n'était pas encore sorti).

Bonjour ZEKRI Abdelhafid.

==> Oui, j'ai ces clés dans les BIOS de mes PC Asus mais je n'ose pas y toucher.

Je comprends puisque ton Asus fonctionne normalement.

Mais n'as tu jamais fait quoi que ce soit pour configurer ton UEFI (Bios) afin de rendre opérationnelle ta sécurité Windows ?

Si tu ne bidouille pas, tu ne vas pas apprendre.

Merci pour le lien, il y a plus d'informations que dans l'UEFI (Bios) de mon Asus.

==> Tu as de la chance que le PC a été acheté avec Windows 11 Préinstallé en usine selon tes dires (mais cela me laisse perplexe car il y a 3 ans, Windows 11 n'était pas encore sorti).

Bonne remarque !

Je suppose que mon revendeur a dû basculer l'Asus vers Windows 11 Pro de son propre chef.

J'avais remarqué ses références téléphoniques et autres informations de mon revendeur dans mon ordinateur.

Il est donc intervenu pour les mettre.

Je ne sais pas trop si c'est très légal d'ouvrir un ordinateur, de bidouiller dedans puis de le vendre.

J'ai fait deux découvertes, en bidouillant dans l'UEFI (Bios).

I) Dans Windows 11 Pro, et dans "Intégrité de la mémoire", j'ai bien cliqué sur "activé"

Puis je sélectionne la séquence suivante du paramétrage de l'UEFI (Bios) :

a) F9 (Default).

C'est le paramétrage d'usine.

Afin qu'il soit bien pris en compte, je redémarre l'Asus, puis j'entre à nouveau dans l'UEFI (Bios), sans passer par Windows.

b) F7 / Advanced / SVM Mode --> Enabled

c) F7 / Boot / Boot Option #1 --> Disabled

Je désactive le disque interne de mon Asus puisque j'utilise le disque externe pour faire mes tests. "Boot Option #2" quand à lui reste activé.

d) F7 / Security /Secure Boot / Secure Boot Control --> Enabled

e) F7 / Security / Key Managment / Platform Key(PK)

Je fais un update puis et aussi un export. Je reviendrais un peu plus bas sur ce paramétrage.

Au redémarrage, Windows se Fige encore.

J'ai trouvé la solution à ce problème.

J'ai un problème avec la mémoire Flash !!!

e) F7 / Advanced / UMA Frame Buffer Size

est à "512M" par défaut. J'ai sélectionné à "auto".

Je ne comprends pas pourquoi, de temps en temps, il me propose 128M.

Mais cela ne fonctionne pas toujours au premier coups.

Je suis obligé de le repasser à "512M", un redémarrage puis de le remettre à "Auto".

Et au redémarrage de mon Asus, Windows ne se fige plus et j'ai "Intégrité de la mémoire" qui est opérationnel.

Au bas de la page "Sécurité des Appareils", j'ai maintenant : "Votre appareil est conforme à la configuration requise pour la sécurité renforcée du matériel".

Par contre, je ne suis pas arrivé à atteindre le dernier niveau, celui où la phrase suivante apparait : "Toutes les fonctionnalités de PC cœur sécurisé de votre appareil sont activées".

Je dois activer la protection du mode SMM (System Management Mode) sauf que je ne sais pas ce que c'est.

Je suis preneur de tes bons conseils. :)

II) Je reviens sur Debian et sur les clefs (ou signatures).

J'ai toujours au démarrage de Debian : "Secure Boot Violation. Invalid Signature Detected. Check Secure Boot Policy in Setup".

Autrement dit, je n'ai pas les bonnes clefs.

Dans l'UEFI (Bios), j'ai pourtant exporté mes clefs et je les retrouve dans le répertoire "/boot/efi" de Debian à la date du jour.

Quand dans "Secure Boot" de l'UEFI (Bios), il dit qu'il a exporté 5 variables, je retrouve bien cinq fichiers.

Les noms de ces fichiers sont : db, dbt, dbt, kek et pk. PK est le fichier (ou certificat) de "Platform Key(PK).

L'export a bien fonctionné mais je ne comprends pas pourquoi mon Asus rejette la signature.

Lors de l'achat de mon Asus, c'est Windows 11 Pro qui était installé dessus.

L'organisation du disque est "GPT / UEFI". L'UEFI (Bios) de mon Asus permet de gérer cette organisation.

Inversement, je ne peux pas utiliser l'ancienne organisation "MBR / Bios" dans mon Asus.

Ce qui me fait dire que je peux utiliser tous les autres systèmes d'exploitations utilisant cette organisation.

Si je désactive "Secure Boot", j'ai bien accès à Debian.

Et si le blocage venait des clefs ?

Je me demande si les clefs sont destinées seulement qu'à Windows.

Dans ce cas, que dois-je faire pour trouver les bonnes clefs et les introduire dans l'UEFI (Bios) de mon Asus ?

En bas de page du "Secure Boot", j'ai ceci :

Enroll Factory Defaults or load certificates from a file :

1.Public Key Certificate:

a.EFI_SIGNATURE_LIST

b.EFI_CERT_X509(DER)

c.EFI_CERT_RSA2048(Bin)

d.EFI_CERT_SHAXXX

2.Authenticated UEFI Variable

3.EFI PE/COFF Image(SHA256)

Key Source:

Factory,External,Mixed

Je ne comprends pas trop ce que signifie "Charger des certificats à partir "un fichier".

Je n'ai trouvé aucun import d'un fichier contenant ces clefs dans l'UEFI (Bios) de mon Asus.

J'ai fait une recherche dans Windows et je n'ai rien trouve.

Et pourtant, je les ai aussi exportées.

Si elles sont que dans l'UEFI (Bios) et seulement pour Windows, je comprends pourquoi Debian est rejeté au démarrage.

Cordialement.

Artemus24.

@+

Bonjour ZEKRI Abdelhafid.

La preuve en image :

J'ai maintenant "Microsoft Defender Credential Guard" de lancer.

Je remarque un truc bizarre dans "msinfo32.exe". "Protection DMA du noyau" est désactivé, tandis qu'apparait "Protection DMA" dans les 'Propriétés de sécurité disponibles pour la sécurité basée sur la virtualisation".

J'ai envoyé un courrier au service technique d'Asus et l'on m'indique que je dois attendre d'avoir la réponse. Cela fait maintenant une semaine que j'attends, pour rien.

Cordialement.

Artemus24.

@+

Bonsoir

> Mais n'as tu jamais fait quoi que ce soit pour configurer ton UEFI (Bios) afin de rendre opérationnelle ta sécurité Windows ?

Non, rien, à par l'activation de la virtualisation puisque les autres paramètres sont requis pour une installation normale de Windows 11 et qu'ils étaient par conséquent activés (TPM2.0 notamment, quant au Secure boot, comme je l'avais déjà précisé je l'ai désactivé par la suite et l'intégrité de la mémoire reste activée).

> Si tu ne bidouille pas, tu ne vas pas apprendre.

Ah, là si! Je suis un grand bidouilleur mais surtout sur Windows car je gère d'une façon parfaite les images système depuis Windows 98, donc, je ne prends aucun risque en perdant un système, sans compter que mes solutions propres pour récupérer un système sans très variées et très Pro.

Sinon, pour ce qui est du BIOS, là aussi je bidouille beaucoup quand il y a un problème qui peut avoir un rapport avec le BIOS mais pour cette question de clés Secure boot, comme la restauration des paramètres par défaut du BIOS avec la touche F9ne restaure pas ces clés, je n'ai jamais osé y toucher.

> Je suppose que mon revendeur a dû basculer l'Asus vers Windows 11 Pro de son propre chef.

J'avais remarqué ses références téléphoniques et autres informations de mon revendeur dans mon ordinateur.

Il est donc intervenu pour les mettre.

Je ne sais pas trop si c'est très légal d'ouvrir un ordinateur, de bidouiller dedans puis de le vendre.

Je ne comprends pas qui est ce revendeur…

Est-ce un revendeur agréé par Asus ?

Je n'ai pas compris qu'est-ce qu'il a dû mettre…

Ce qui est certain, c'est que ce PC qui arrive à échéance de la prise en charge e la garantie (3 ans) est sortie d'usine avec Windows 10 préinstallé en 2020.

Donc, ce revendeur a dû migrer vers Windows 11 mais dans ce cas, tu aurais acheté ce PC après la sortie de Windows 11, après Septembre 2021.

Par conséquent, tu n'as pas acheté un PC sous emballage et ce n'est pas toi qui as effectué la première mise en service de ce PC sous Windows 10.

En plus, avec ce bidouillage de la part du revendeur, on ne sait pas si ce PC est neuf ou s'il a fonctionné environ une année chez quelqu'un d'autre ou s'il était stocké (mais je ne le pense pas, autrement il aurait été vendu sous emballage) et surtout s'il avait ce problème d'échec d'activation de l'intégrité de la mémoire dès le départ ou pas car les messages d'avertissement concernant l'intégrité de la mémoire ont commencé à paraitre chez tous les utilisateurs seulement ces dernières semaines suite à une quelconque mie à jour de Windows update….

> Au redémarrage, Windows se Fige encore.

J'ai trouvé la solution à ce problème.

J'ai un problème avec la mémoire Flash !!!

e) F7 / Advanced / UMA Frame Buffer Size

est à "512M" par défaut. J'ai sélectionné à "auto".

Je ne comprends pas pourquoi, de temps en temps, il me propose 128M.

Mais cela ne fonctionne pas toujours au premier coups.

Je suis obligé de le repasser à "512M", un redémarrage puis de le remettre à "Auto".

Et au redémarrage de mon Asus, Windows ne se fige plus et j'ai "Intégrité de la mémoire" qui est opérationnel.

Au bas de la page "Sécurité des Appareils", j'ai maintenant : "Votre appareil est conforme à la configuration requise pour la sécurité renforcée du matériel".

Concernant les paramètres par défaut du BIOS, je n'avais même pas pensé à te rappeler ce réglage car cela va de soi que tu l'aurais automatiquement testé et qu'il n'avait pas résolu le problème.

Sinon, pour avoir trouvé la solution, je te dis bravo bravo.

Cependant, je n'ai pas ce paramètre sur mes 2PC de marque Asus, les deux de 11° génération.

Mais comme ça n'a pas marché du premier coup, cette solution n'est pas évidente quant à l'expliquer c'est une autre affaire…

> II) Je reviens sur Debian et sur les clefs (ou signatures).

J'ai toujours au démarrage de Debian : "Secure Boot Violation. Invalid Signature Detected. Check Secure Boot Policy in Setup".

Autrement dit, je n'ai pas les bonnes clefs….

Ce qui est sûr d'après moi, c'est que pour le problème de Linux, oui, le problème est bien là à mon avis car ce dernier doit pouvoir s'installer avec le Secure Boot activé, autrement il ne pourra jamais s'installer en dual boot avec Windows 11 qui exige l'activation du secure boot, ce qui n'est pas logique ni acceptable.

> Je ne comprends pas trop ce que signifie "Charger des certificats à partir "un fichier".

Je n'ai trouvé aucun import d'un fichier contenant ces clefs dans l'UEFI (Bios) de mon Asus.

Oui, je crois que pour le problème de Linux et peut être pour d'autres problèmes de Windows (y compris celui de l'activation de l'intégrité de la mémoire sans bidouillage), le problème est bien dans la gestion de ces clés qui pourraient même avoir été bidouillées par le revendeur mais comme je n'ai pas de connaissance sur ce point, je t'avais recommandé de contacter le support technique d'Asus pour ce problème précis et comme ils ne répondent pas, essaye de les harceler.

Ceci, car si tu as trouvé une solution pour l'intégrité de la mémoire avec ton astuce, si le paramètre "UMA Frame Buffer Size" est par défaut 512 M et non Auto, cette solution peut ne pas être une solution, ou bien une solution complète puisque le problème continue de se poser avec Linux et peut qu'il y encore d'autres incidences sur Windows avec cette astuce et avec ces clé qui ne sont pas certifiées.

J'aurais souhaité que d'autres intervenants ayant de vraies connaissances sur ces problèmes interviennent sur ce fil.