Comment autoriser ou empêcher les utilisateurs standard de modifier le code PIN ou le mot de passe BitLocker sous Windows

Le chiffrement des données est l’un des nombreux moyens dont disposent les administrateurs informatiques pour protéger les données de l’entreprise. Dans la plupart des cas, cela revient à activer BitLocker et à le configurer pour empêcher les utilisateurs standard de modifier un code PIN ou un mot de passe BitLocker sans autorisation. Vous pouvez effectuer cette configuration à l’aide de l’éditeur d’objets de stratégie de groupe, de PowerShell ou du registre Windows.

Le principal avantage de BitLocker par rapport aux logiciels de sécurité tiers est son intégration au système. Sa mise en place et sa gestion sont simples, même pour les particuliers. Par exemple, lorsque l’authentification pré-démarrage de BitLocker est activée, l’accès à l’ordinateur et à ses fichiers est protégé par un code PIN. Mais que se passe-t-il si ce code PIN est compromis ?

💡Si vous préférez une explication en images, regardez notre vidéo sur la façon d’empêcher les utilisateurs de modifier le code PIN ou le mot de passe BitLocker sous Windows

Comprendre la gestion du code PIN et du mot de passe BitLocker

Le code PIN BitLocker sert à l’authentification pré-démarrage. Sans le bon code PIN, le système ne démarre pas. Le mot de passe, quant à lui, empêche tout accès non autorisé au Drive ou au volume, même après le démarrage du système. En règle générale, un code PIN est un code numérique de quatre à vingt caractères, tandis que les mots de passe sont alphanumériques et bien plus longs.

Les administrateurs peuvent souhaiter restreindre les modifications du mot de passe BitLocker sous Windows afin d’imposer des identifiants uniformisés ou plus complexes dans toute l’entreprise. Laisser les utilisateurs modifier le chiffrement à leur guise peut créer diverses failles de sécurité. De même, confier aux seuls utilisateurs des terminaux la responsabilité de mettre à jour régulièrement un code PIN ou un mot de passe ne garantit pas la conformité.

Méthodes pour empêcher les utilisateurs standard de modifier le code PIN ou le mot de passe BitLocker

Compte tenu de l’importance d’un code PIN ou d’un mot de passe, les administrateurs peuvent empêcher les utilisateurs d’effectuer des modifications inconsidérées susceptibles d’affaiblir le niveau de sécurité. Organiser les mots de passe ajoute une couche de protection supplémentaire et rend la gestion des terminaux plus cohérente et plus facile à mettre en place. Cela dit, voici trois méthodes pour empêcher la modification du code PIN BitLocker :

Méthode 1 : utiliser l’éditeur d’objets de stratégie de groupe (GPO)

L’éditeur d’objets de stratégie de groupe est un outil puissant pour gérer le comportement de votre PC dans des situations précises. Voici comment utiliser la stratégie de groupe (GPO) pour désactiver la modification du code PIN BitLocker pour les utilisateurs non administrateurs :

Étape 1 : ouvrez l’éditeur d’objets de stratégie de groupe (en tant qu’administrateur) :

Avant de commencer, notez que le composant GPO n’est disponible que dans les éditions Windows 10 Pro, Enterprise et Education. Vous pouvez ignorer cette méthode si vous n’avez pas accès à GPO.

Pour ouvrir l’éditeur d’objets de stratégie de groupe local, appuyez sur Windows + R pour exécuter la boîte de dialogue en tant qu’administrateur. Saisissez ensuite gpedit.msc et appuyez sur Entrée. L’éditeur s’ouvre alors dans une nouvelle fenêtre.

Étape 2 : accédez aux paramètres de chiffrement de lecteur BitLocker :

Depuis Configuration ordinateur, allez dans Modèles d’administration, puis Composants Windows. Cherchez ensuite Chiffrement de lecteur BitLocker et cliquez sur Lecteurs du système d’exploitation. Dans le volet de gauche, double-cliquez sur Interdire aux utilisateurs standard de modifier le code PIN ou le mot de passe pour ouvrir ses paramètres.

Choisissez ensuite d’activer ou de désactiver cette politique. Cliquez sur Appliquer, puis sur OK pour enregistrer les modifications.

Méthode 2 : utiliser l’invite de commandes ou PowerShell

Apprendre à utiliser PowerShell est utile pour configurer certains paramètres de BitLocker. Voici la ligne de commande permettant d’empêcher les utilisateurs de modifier le code PIN ou le mot de passe BitLocker :

Étape 1 : ouvrez PowerShell en tant qu’administrateur

Utilisez la recherche Windows et saisissez PowerShell. Faites un clic droit sur Windows PowerShell et exécutez-le en tant qu’administrateur.

Étape 2 : interdisez aux utilisateurs standard de modifier le code PIN ou le mot de passe

Exécutez la commande suivante pour empêcher la modification du code PIN BitLocker par les utilisateurs non administrateurs :
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "DisallowStandardUserPINChanges" -Value 1

Appuyez sur Entrée pour exécuter la commande, qui crée ou met à jour une clé de registre afin d’imposer la restriction.

Méthode 3 : utiliser l’Éditeur du registre (utilisateurs avancés)

Enfin, voyons les étapes à suivre pour modifier le code PIN ou le mot de passe BitLocker avec l’Éditeur du registre :

Étape 1 : ouvrez l’Éditeur du registre

Pour commencer, appuyez sur Windows + R pour ouvrir la boîte de dialogue. Saisissez regedit et appuyez sur Entrée.

Dans l’Éditeur du registre, cherchez le chemin suivant : HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE. S’il n’y a pas de clé FVE, vous devez l’ajouter manuellement. Faites un clic droit sur la clé Microsoft et créez une sous-clé nommée FVE.

Étape 2 : ajoutez DisallowStandardUserPINReset

Avec la clé FVE sélectionnée, faites un clic droit dans une zone vide du volet de droite, créez une valeur DWORD (32 bits) nommée DisallowStandardUserPINReset et attribuez-lui la valeur 1.

Fermez l’Éditeur du registre.

Avant toute modification, il est conseillé de sauvegarder le registre. Voici un guide expliquant comment sauvegarder et restaurer le registre Windows.

Vérifier et tester les restrictions

Vous pouvez tester manuellement l’application des restrictions en basculant vers un compte d’utilisateur standard.

• Connectez-vous à un compte d’utilisateur standard (non administrateur) sur le même ordinateur. Pour en créer un, allez dans Paramètres > Comptes > Famille et autres utilisateurs > Ajouter un autre utilisateur sur ce PC.
• Ouvrez le Panneau de configuration et allez dans Chiffrement de lecteur BitLocker.
• Si les restrictions fonctionnent, l’option de modification du code PIN doit être grisée. Un message d’erreur doit également s’afficher lorsque l’utilisateur tente de modifier le code PIN.

Vous pouvez également consulter les journaux d’événements pour confirmer les modifications.

• Appuyez sur Windows + R, saisissez eventvwr et appuyez sur Entrée.
• Vérifiez les événements BitLocker en allant dans Journaux (Applications and Services Logs) > Microsoft > Windows > BitLocker-API > Management.
• Recherchez les journaux d’événements liés aux modifications de configuration de BitLocker ou aux tentatives d’accès.

De plus, essayez de modifier le code PIN ou le mot de passe en tant qu’administrateur pour vérifier que les nouvelles restrictions s’appliquent comme prévu.

Résoudre les problèmes courants de code PIN ou de mot de passe BitLocker

Si les restrictions ne fonctionnent pas, procédez comme suit :

• Vérifiez à nouveau les valeurs du registre pour vous assurer qu’elles sont correctes. DisallowStandardUserPINChanges doit avoir la valeur 1.
• Si ce n’est pas déjà fait, redémarrez l’ordinateur pour voir si les modifications ont bien été appliquées.
• Ouvrez à nouveau la boîte de dialogue Exécuter et saisissez gpupdate /force pour vous assurer que les modifications de la politique ont bien été déployées.

Par précaution, vous pouvez aussi vérifier que BitLocker est activé et correctement configuré. Assurez-vous également que le compte standard ne s’est pas vu accorder de privilèges d’administrateur lors du test des modifications de politique.

Autres aspects de sécurité à considérer avec BitLocker

L’éditeur d’objets de stratégie de groupe local n’est pas idéal si vous avez des dizaines ou des centaines d’actifs à configurer. Vous pouvez plutôt utiliser la stratégie de groupe Windows dans Active Directory pour gérer les appareils et les politiques en masse.

Mieux encore, vous pouvez utiliser le logiciel de gestion des terminaux de NinjaOne pour obtenir une visibilité et un contrôle complets de vos actifs. Une solution centralisée vous permettra de gérer et de surveiller vos appareils tout en renforçant la sécurité et la conformité au sein de l’entreprise.

Les entreprises ont besoin de politiques de surveillance efficaces, avec des alertes et des rapports sur l’état général des appareils et des déploiements. C’est pourquoi les grandes structures unifient souvent leurs stratégies de gestion informatique à l’aide de logiciels tiers ou de fournisseurs de services.

Renforcez la sécurité des données grâce à la surveillance et au reporting automatisés

BitLocker est une option viable pour les particuliers et les petites entreprises qui ont besoin d’une couche de sécurité supplémentaire pour leurs actifs. En revanche, les entreprises prêtes à passer à l’échelle peuvent avoir plus de mal à gérer et à surveiller de façon régulière BitLocker et les autres logiciels natifs de gestion et de protection des données. Dans cette optique, envisagez une solution de gestion centralisée plus puissante pour automatiser les tâches répétitives, surveiller les clés de chiffrement et faire appliquer les politiques essentielles en matière de réseau et de données.