Glossaire
Protection DMA du noyau (Kernel DMA Protection)
Fonctionnalité Windows qui s'appuie sur l'IOMMU pour empêcher les périphériques Thunderbolt et PCIe externes d'accéder directement à la mémoire tant qu'ils ne sont pas approuvés.
L'accès direct à la mémoire (DMA) permet à des périphériques comme les appareils Thunderbolt, USB4 ou CFexpress de lire et d'écrire dans la mémoire système sans passer par le processeur. Un périphérique malveillant branché sur un portable laissé sans surveillance ou verrouillé peut s'en servir pour lire des secrets, notamment les clés BitLocker, ou pour injecter du code. Kernel DMA Protection, introduite dans Windows 10 1803, utilise l'IOMMU du système (Intel VT-d ou AMD-Vi) pour bloquer le DMA des périphériques externes dont les pilotes ne prennent pas en charge le remappage DMA, jusqu'à ce qu'un utilisateur se connecte et déverrouille l'écran. Elle doit être prise en charge par le firmware et activée à la fabrication ; elle ne peut donc pas être activée ultérieurement par stratégie.
Vérifiez son état dans msinfo32, à la ligne « Protection DMA du noyau ». Lorsqu'elle est active, le paramètre « Stratégie d'énumération pour les périphériques externes incompatibles avec la protection DMA du noyau » détermine le traitement des périphériques non pris en charge. Sur le matériel plus ancien qui en est dépourvu, réduisez le risque DMA avec un code PIN BitLocker au prédémarrage et en désactivant Thunderbolt ou l'énumération des nouveaux périphériques DMA lorsque la session est verrouillée.
Voir VBS, intégrité de la mémoire (HVCI) et Kernel DMA Protection et Durcir BitLocker : XTS-AES 256, TPM+PIN, dépôt des clés.