Le blocage du stockage USB dans Windows arrête complètement la copie occasionnelle. Contre quelqu'un de déterminé, il a des portes connues - et la plus importante est qu'un PC démarré à partir d'une clé USB en direct ne démarre jamais Windows, donc votre politique ne s'exécute jamais. Voici le tableau complet et comment les vraies portes se ferment.
L’honnêteté rend la sécurité plus forte, et non plus faible. Le bloc USB de ce guide fait exactement un travail à merveille : dans un Windows en cours d'exécution, les périphériques de stockage obéissent à vos règles. Mais une personne déterminée n’a pas du tout besoin de combattre Windows. Cette page répertorie les moyens de contourner le bloc, dans l'ordre qu'un véritable attaquant ou un initié désespéré les tenterait, et nomme le contrôle intégré qui ferme chacun d'entre eux. Si votre bureau n'a besoin que d'hygiène, le bloc seul suffit et cette page est rassurante. Si vous conservez des données réellement précieuses, cette page est votre liste de courses.
Le contournement le plus simple ne nécessite aucun outil. Toute personne pouvant se connecter en tant qu'administrateur local peut ouvrir l'éditeur de politiques, définir vos politiques de refus sur Non configuré, actualiser et brancher un lecteur. C'est pourquoi la règle associée de la page d'exception d'administration n'est pas facultative : les comptes quotidiens doivent être des utilisateurs standard. Avec les comptes standards, la première porte est fermée pour tout le monde, sauf pour le technicien nommé.
Redémarrez le PC, choisissez la clé USB dans le menu de démarrage et un système d'exploitation en direct complet s'exécute à partir du lecteur lui-même. Windows ne démarre jamais, donc aucune politique Windows ne s'applique. Depuis le système actif, le disque interne n'est qu'un sac de fichiers : sur un lecteur non chiffré, chaque document peut être lu et copié. Il ne s’agit pas d’une attaque exotique ; il s'agit de la même technique Live-USB que les techniciens utilisent pour la récupération de données, c'est pourquoi elle fonctionne de manière si fiable.
Deux commandes intégrées ferment cette porte ensemble. BitLocker sur le lecteur système scelle les données : un système actif ne voit que le bruit crypté sans la clé, quelle que soit la manière dont il démarre. Un mot de passe de configuration UEFI ou BIOS ainsi qu'un ordre de démarrage verrouillé (disque interne en premier, démarrage USB désactivé, démarrage sécurisé activé) arrêtent la tentative occasionnelle de connexion USB en direct à la porte. Aucun des deux contrôles n'est exotique : BitLocker est livré avec les éditions Pro et les paramètres de démarrage sont déjà dans la configuration de votre micrologiciel. Ensemble, ils font passer la porte deux de grande ouverte à véritablement fermée.
Une personne qui souhaite diffuser des données a d'autres moyens : les envoyer par courrier électronique, les télécharger sur un lecteur cloud personnel, les envoyer via une application de chat ou simplement photographier l'écran avec un téléphone. Aucun paramètre USB ne touche ces routes, et il est malhonnête de vendre le bloc comme moyen de prévention contre la perte de données en général. Ces routes appartiennent à d'autres contrôles : filtrage des sites Web et des téléchargements, outils de prévention contre la perte de données et politique claire du personnel. Ce guide couvre la route USB car c'est la route que la vidéo ferme.
Les véritables incidents de bureau sont rarement des cerveaux. Il s'agit d'une clé USB trouvée dans un tiroir, d'un employé bien intentionné qui ramène son travail à la maison sur une clé non cryptée et le perd, ou encore du disque infecté d'un client branché par habitude. Le blocage arrête cent pour cent de cette classe, crée une règle claire sur laquelle les gens peuvent être formés et satisfait à la plupart des listes de contrôle d'audit. Ajoutez des comptes standards et cela résiste à la curiosité. Ajoutez BitLocker et le verrouillage du démarrage et cela résiste à la détermination. Réclamez exactement cela – c’est beaucoup.
La vidéo vous donne la couche de base en quelques minutes. Cette page est la carte de ce qu'il faut ajouter lorsque la fondation ne suffit pas.
▶️ Watch Full VideoNon. Il arrête toujours toutes les copies occasionnelles et les logiciels malveillants transmis par le lecteur dans Windows, ce qui constitue l'essentiel du risque réel. La porte du coffre est importante pour le vol ciblé et BitLocker la ferme.
Le démarrage normal n'est pas affecté - Windows démarre à partir du disque interne comme d'habitude. Seul le démarrage à partir d’un support externe est empêché, ce qui est exactement le problème. Conservez le mot de passe du BIOS par écrit en toute sécurité ; le perdre est son propre problème.
Sur n’importe quel processeur moderne, l’impact est faible car le chiffrement est accéléré par le matériel. Sur de très vieilles machines, vous le ressentirez peut-être légèrement - un prix raisonnable pour sceller les données et qui vaut la peine de le tester d'abord sur un PC.