Microsoft écarte les antivirus du noyau de Windows — un tournant pour la stabilité système
En juillet 2024, une mise à jour défectueuse du logiciel CrowdStrike a déclenché des crashes BSOD sur 8,5 millions de machines Windows, affectant notamment des aéroports, des banques et des hôpitaux. Ce blocage massif a entraîné une refonte des politiques de stabilité et de sécurité de Windows.
Le Windows Resiliency Initiative (WRI)
Microsoft a ainsi lancé en 2024 son initiative Windows Resiliency Initiative (WRI), avec pour objectif :
- restreindre l’accès direct au noyau,
- renforcer les contrôles de sécurité pour les drivers et les apps sensibles.
Désormais, la société annonce un virage majeur : les antivirus et solutions EDR (Endpoint Detection and Response) ne pourront plus s’exécuter en mode noyau, mais devront fonctionner en mode utilisateur.
Comment cela va-t-il se passer ?
Pour amorcer cette transition, Microsoft a déjà lancé une préversion privée de sa nouvelle architecture de sécurité, actuellement testée par plusieurs éditeurs majeurs d’antivirus comme CrowdStrike, Bitdefender, ESET, Trend Micro ou encore SentinelOne. Ces partenaires participent à un programme baptisé Microsoft Virus Initiative 3.0, qui vise à co-développer une nouvelle série d’APIs dédiées à l’exécution des antivirus en mode utilisateur. Microsoft leur fournit une documentation technique, des outils de test et un accompagnement pour adapter leurs moteurs de détection à cette nouvelle structure, sans accès direct au noyau du système. L’objectif est de permettre à ces solutions de continuer à offrir un haut niveau de protection, tout en éliminant les risques liés à l’exécution de code tiers dans les couches les plus sensibles de Windows. Une fois les retours consolidés et les ajustements effectués, cette architecture sera intégrée progressivement aux futures versions de Windows, notamment via Windows 11 24H2.
Quelles conséquences ?
Avantages :
- Stabilité renforcée : réduire le risque de plantages en noyau, comme celui constaté avec CrowdStrike.
- Reprise rapide : grâce à la future fonctionnalité Quick Machine Recovery, un système non démarrable pourra se répararer automatiquement depuis Windows RE, bientôt incluse dans la version 24H2 de Windows 11.
- Diagnostic plus clair : l’équipe Windows a retravaillé le BSOD — nouveau « Black Screen », épuré, lisible, avec les codes et les drivers listés directement.
Inconvénients et défis :
- Performance : exécuter des antivirus en mode utilisateur pourrait affecter les performances ou la vitesse d’analyse.
- Contre‑attaques : certains anti‑cheat jeux, encore très ancrés dans le noyau, devront migrer et repenser leur architecture.
- Sécurité à repenser : les AV en mode utilisateur seront plus isolés, mais aussi plus vulnérables à des interférences par d’autres apps — un équilibre à atteindre.
Vers une refonte complète des systèmes anti-triche
En parallèle du retrait des antivirus du noyau, Microsoft ambitionne de revoir en profondeur les systèmes anti-triche intégrés aux jeux sous Windows. Actuellement, de nombreuses solutions anti-triche (comme Vanguard de Riot ou BattlEye) s’exécutent au niveau noyau, ce qui leur permet de surveiller l’intégrité du système pour détecter les manipulations les plus avancées. Mais cette approche pose un double problème : risque élevé pour la stabilité, et failles de sécurité potentielles si ces outils sont mal conçus. Microsoft souhaite donc fournir une nouvelle plateforme sécurisée en mode utilisateur qui offrirait aux développeurs d’anti-triche les mêmes capacités de détection, sans accès direct au noyau. Ce changement obligera les éditeurs à adapter leur technologie, mais pourrait à terme limiter les plantages liés aux drivers mal codés et réduire les abus d’accès système au nom de la sécurité.
Ce qui arrive bientôt
- Préversion de la plateforme Endpoint Security aux partenaires, attendue dans les tout prochains mois .
- Windows 11 version 24H2, prévue cet été, intégrera le « Black Screen of Death » et la fonctionnalité Quick Machine Recovery par défaut.
- Les logiciels anti‑cheat devront eux aussi s’adapter ou migrer vers des architectures en mode utilisateur à la future API sécurisée .
Verdict
Microsoft fait un choix stratégique : priorité à la stabilité et à la fiabilité. En plaçant les antivirus en espace utilisateur, les risques de crashs à grande échelle devraient être drastiquement atténués. Cependant, cela nécessite des révisions techniques importantes pour les éditeurs d’AV et d’anti-cheat, ainsi qu’un équilibre subtil entre performance et sécurité.
L’article Microsoft écarte les antivirus du noyau de Windows — un tournant pour la stabilité système est apparu en premier sur malekal.com.