Windows 11 - La protection de l’autorité de sécurité locale (LSA) est désactivée. Votre appareil peut être vulnérable

[Parisien_entraide]

2023-05-13_190930.png

Il y a une solution proposée dans ce lien


C'est une bonne solution de contournement temporaire, en attendant un correctif officiel de Microsoft.


https://www.elevenforum.com/t/windows-s ... 294/page-5

La manip de la GPO émane en fait de Microsoft (indirectement car il n'est pas fait état du bug)
https://learn.microsoft.com/en-us/windo ... e-security


Il ne s'agit pas de désactiver le TPM, mais de masquer la section sécurité de appareils
Ainsi TPM reste actvé

Point négatif : On ne peut plus afficher la section sécurité des appareils (c'est donc secondaire)



EN PRATIQUE

2 pistes

- Soit par l'éditeur de registre (Regedit)
- Soit par la Stratégie de groupe (GPO)


PAR LE REGISTRE

Il suffit de copier-coller ces lignes dans le Notepad ou un éditeur de textes (NotePad++ par ex) et de renommer le fichier.text en fichier.reg

Code : Tout sélectionner

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Device security]
"UILockdown"=dword:00000001

C'est la soluton idéale pour ceux qui ne disposent que d'une version HOME de Windows
Néanmoins celle ci ne semble pas fonctioner pour tout le monde

Il faut donc passer par la stratégie de groupe





PAR LA STRATEGIE DE GROUPE


Cela ne pose pas de soucis pour les versions PRO ou ENTREPRISE mais l'outils n'existe pas en version HOME
Il existe cependant via un script, la possibilité de contourner cela

Commet activer gpedit.msc dans Windows
https://www.malekal.com/comment-activer ... indows-11/




MAIS il y a mieux que l'outil Microsoft

POLICYPLUS

https://github.com/Fleex255/PolicyPlus (Je vous laisse découvrir les fonctions dans le lien)

Téléchargement direct de la dernière version
https://s3-us-west-2.amazonaws.com/poli ... Latest.exe



Pour la démonstration je vais donc me servir de cet outil

A la base on retrouve presque le menu de du programme de Stratégie de groupe
Il faut aller dans le menu de recherche

PolicyPlus recherche _FID Ecran 0TPM.png

Et là plus besoin de s'amuser à se taper les arborescenses car il suffit de tapoter ce que l'on recherche

PolicyPlus recherche _FID Ecran 1TPM.png

Lors de la recherche on verra une barre de progression et au final on verra TOUT ce qui est en rapport avec ce que l'on recherche (j'aurai pu affiner la recherche mais c'est pour l'exemple)

Et là on choisit ce qui apparait à l'écran et on double clique sur la ligne afin d'ouvir la fenêtre des paramètres

PolicyPlus recherche1 TPM.png

Ensuite on applique ce qui est indiqué

PolicyPlus recherche _FID Ecran 2TPM.png

Constat des utilisateurs

- Plus de crashes
- Defender (Security Center) fonctionne de manière fiable au moins lorsque vous l'ouvrez
- Plus d'icônes / d'états manquants et d'éléments non fonctionnels.
- Plus aucun plantage lorsque qu'on ouvre Defender ou que l'on essaie une analyse manuelle des fichiers/répertoires.


Je rappelle qu'il s'agit d'une solution PROVISOIRE en attendant le patch officiel

[Parisien_entraide]

Le cirque continue...

Après avoir cloturé avec un "résolu", Microsoft rouvre la page dédiée au problème LSA

Microsoft vient de retirer la KB5007651 1.0.2303.27001 (voir page précédente) et indique maintenant

"Si vous avez installé la version 1.0.2303.27001 et que vous obtenez une erreur avec un écran bleu ou que votre appareil redémarre lorsque vous essayez d'ouvrir certains jeux ou applications, vous devez désactiver la protection de la pile appliquée par le matériel en mode noyau.

Pour ce faire, sélectionnez le bouton "Démarrer", tapez et sélectionnez "Sécurité Windows", sélectionnez "Sécurité de l'appareil" puis "Isolation du noyau" et désactivez la protection de la pile du noyau appliquée par le matériel

Toutes les autres mises à jour Windows publiées le 14 mars 2023 pour les plates-formes concernées ( KB5023706 et KB5023698 ) ne provoquent pas ce problème.

Source https://learn.microsoft.com/en-us/windo ... nt-restart


A cela on y ajoute que Microsoft reconnait que l'installation des mises à jour de mai 2023 Patch Tuesday (KB5025305)

- paralyse la vitesse de connexion VPN, paralysant par la suite d'autres fonctionnalités, telles que RDP.
-Pour certains cela affecte les connexions wi fi
- Il y a également des problèmes de ralentissement du SSD affectant les vitesses d'écriture, selon certains rapports d'utilisateurs ,
- tandis que d'autres rencontrent des problèmes de stuttering et de performances dans les jeux.

En général il y a des codes erreurs liés : 0x800f081f et 80070002, ainsi que "8007054F"



Source https://www.bleepingcomputer.com/news/m ... y-updates/

Je ne vais pas ouvrir un spécial sujet "bugs de Windows 11" car il n'y a pas une semaine ou des problèmes sont remontés et surtout restent sans solution
Cela confirme tout ce que je pense de cette version qui n'est qu'une BETA pour Windows 12 à venir

Le truc c'est que cela ne touche pas tout le monde
J'ai un PC de tests sous Win11, (PC pleinement compatible) fortement bidouillé et tweaké, MAIS sans jeux dessus et je n'ai pas les problèmes autres que le LSA (que j'ai choisi d'ignorer) et qui n'impacte pas le bon fonctionnement
La seule chose rencontrée est le ralentissement d'environ 20 ou 30% avec le SSD

D'après les retours il semblerait que ce sont certains fichiers de jeux (.sys et .dll) et de programmes anti triche qui mettent le bazar (ce qui expliquerait que Microsoft propose la désactivation de l'isolation du noyau)

[Parisien_entraide]

Mini FAQ, car dans le forum il y a souvent des questions


Que fait cette protection ?

En empêchant le vidage de la mémoire du processus et l’injection de code non fiable dans le processus LSA, la protection LSA est une fonction de sécurité essentielle pour se prémunir contre le vol de données sensibles, telles que les mots de passe de connexion.

Elle garantit que seules les parties autorisées peuvent accéder aux données vitales nécessaires à l’authentification de l’utilisateur et à la sécurité du système.

Ou sous une autre forme

Dans les versions précédentes de Windows 10, les identifiants sont stockés en mémoire.
Lorsque Windows Defender Credential Guard est activé, le processus LSA du système d’exploitation communique avec un nouveau composant appelé processus LSA isolé qui stocke et protège ces secrets.
Les données stockées par le processus LSA isolé sont protégées à l’aide de la sécurité basée sur la virtualisation (VBS) et ne sont pas accessibles au reste du système d’exploitation.
LSA utilise des appels de procédure à distance pour communiquer avec le processus LSA isolé.
Ainsi cela protège de l’accès et compromissions de vos identifiants par un tiers.

Qu’est-ce que la sécurité basée sur la virtualisation (VBS) dans Windows 11, 10 (Ne pas négliger tous les liens dans ce sujet)
https://www.malekal.com/quest-ce-que-la ... ows-11-10/




Est ce que ce bug affecte ma sécurité ?

Un représentant du support technique de Microsoft a déclaré à l’un des utilisateurs concernés :

“Il y a un problème technique avec cette fonctionnalité. Si vous avez activé cette fonction et que vous êtes invité à redémarrer, veuillez noter que la fonction est activée, quel que soit le message, car il s’agit d’un problème technique dont nous sommes conscients et que nous nous efforçons de résoudre dès que possible.




Mais alors comment supprimer ces alertes ?

Vous pouvez ajouter deux nouvelles entrées de registre DWORD et leur attribuer la valeur “2” afin de vous assurer que la fonction de protection LSA est automatiquement activée après le prochain redémarrage et que les avertissements incorrects ne sont plus affichés jusqu’à ce que Microsoft publie un correctif pour ce bogue de l’autorité de sécurité locale de Windows 11.

Néanmoins pour vérifier si LSA a effectivement démarré en mode protégé sur votre ordinateur au démarrage de Windows, vous pouvez rechercher l'événement WinInit suivant dans les journaux système sous Journaux Windows : "12 : LSASS.exe a été démarré en tant que processus protégé avec le niveau : 4"


Néanmoins tout cela EST COSMETIQUE, puisqu'à la base la fonction est activée
Du reste Microsoft conseille de ne rien toucher et de cliquer sur "Ignorer"

Les clés en place n'affectent en rien la stabilité de Windows




La résolution du bug, cela en est ou ?

Microsoft avait déclaré au début du mois de marque que la version la plus récente de Windows 11 distribuée aux initiés dans le canal Canary disposerait également d’un paramètre par défaut pour la protection de l’autorité de sécurité locale (LSA).

Mais cela ne se produira pas tant que les systèmes ne passeront pas un audit de compatibilité (Microsoft n’a pas encore précisé quels types de problèmes elle recherche).

Microsoft a annoncé en février 2022 qu’une règle de sécurité appelée “Attack Surface Reduction” pour Microsoft Defender serait activée par défaut.

Cette règle empêcherait également les tentatives de vol d’informations d’identification Windows à partir de la fonction LSASS (Local Security Authority Subsystem Service).

[Parisien_entraide]

2023-07-08_084336.png

Problème résolu ?

Même si il s'agissait d'un faux positif, Microsoft annonce désormais que le problème a été définitivement résolu par ses équipes et que la correction est disponible dans une mise à jour de la plateforme antimalware Windows Security KB5007651, la version 1.0.2306.10002.

Elle peut être installée manuellement en vérifiant les mises à jour disponibles, ou s’effectuer automatiquement lors de la prochaine mise à jour automatique.

[ihana]

merci qui merci kiki

[Parisien_entraide]

J'avoue que je n'ai même pas vérifié si c'était vraiment le cas, vu que ce n'était qu'un bug visuel qu'il suffisait de faire disparaitre
Mas bon.. l'histoire a duré quand meme pas mal de temps
Ca promet pour le futur Win12


Edit :

Avec la KB certains ont constaté que le bouton à bascule "Local security Authority protection" n'était plus là MAIS que ce paramètre LSA était toujours présent dans Windows Security sur la version 25357 (Canary).

Actuellement la bascule LSA n'est présente que sur les versions Insider,

A priori il y a une fonction expérimentale (mais tout le monde ne l'a pas) qui cache le commutateur LSA et qui s'appelle :

Code : Tout sélectionner

EnablePPLForConsumers

Avec les commutateurs suivants

Priorité : Service (4)
Etat : Désactivé (1)
Type : Expérience (1)

Actuellement ce paramètre est à "1"

Et.. On ne sait rien de plus

[Parisien_entraide]

Chez certains utilisateurs, la maj n'est pas proposée, ou alors elle demande à ce que le PC soit redémarré, mais elle peut, une fois le PC redémarré, à demander à télécharger à nouveau la KB etc
Bref cela tourne en rond

Ce type de problèmes peut survenir lorsque la base de données Windows Update ou les composants sont corrompus, un ou plusieurs services liés à Windows Update ne sont pas en cours d'exécution, etc.

Une solution rapide à ce problème (copier coller via "tout selctionner", tout mettre dans le bloc-notes et, sauvegarder et renommer en .bat, puis exécuter avec un clic droit en tant qu'adminstrateur)

Code : Tout sélectionner

@echo off

:: Created by: Shawn Brink
:: Created on: January 6, 2022
:: Tutorial: https://www.elevenforum.com/t/reset-windows-update-in-windows-11.3808/


:: Prompt to Run as administrator
Set "Variable=0" & if exist "%temp%\getadmin.vbs" del "%temp%\getadmin.vbs"
fsutil dirty query %systemdrive%  >nul 2>&1 && goto :(Privileges_got)
If "%1"=="%Variable%" (echo. &echo. Please right-click on the file and select &echo. "Run as administrator". &echo. Press any key to exit. &pause>nul 2>&1& exit)
cmd /u /c echo Set UAC = CreateObject^("Shell.Application"^) : UAC.ShellExecute "%~0", "%Variable%", "", "runas", 1 > "%temp%\getadmin.vbs"&cscript //nologo "%temp%\getadmin.vbs" & exit
:(Privileges_got)

:: Checking and Stopping the Windows Update services
set b=0

:bits
set /a b=%b%+1
if %b% equ 3 (
   goto end1
) 
net stop bits
echo Checking the bits service status.
sc query bits | findstr /I /C:"STOPPED" 
if not %errorlevel%==0 ( 
    goto bits 
) 
goto loop2

:end1
cls
echo.
echo Cannot reset Windows Update since "Background Intelligent Transfer Service" (bits) service failed to stop. Please restart the computer, and try again.
echo.
pause
goto Start


:loop2
set w=0

:wuauserv
set /a w=%w%+1
if %w% equ 3 (
   goto end2
) 
net stop wuauserv
echo Checking the wuauserv service status.
sc query wuauserv | findstr /I /C:"STOPPED" 
if not %errorlevel%==0 ( 
    goto wuauserv 
) 
goto loop3

:end2
cls
echo.
echo Cannot reset Windows Update since "Windows Update" (wuauserv) service failed to stop. Please restart the computer, and try again.
echo.
pause
goto Start



:loop3
set c=0

:cryptsvc
set /a c=%c%+1
if %c% equ 3 (
   goto end4
) 
net stop cryptsvc
echo Checking the cryptsvc service status.
sc query cryptsvc | findstr /I /C:"STOPPED" 
if not %errorlevel%==0 ( 
    goto cryptsvc 
) 
goto Reset

:end4
cls
echo.
echo Cannot reset Windows Update since "Cryptographic Services" (cryptsvc) service failed to stop. Please restart the computer, and try again.
echo.
pause
goto Start


:Reset
Ipconfig /flushdns
del /s /q /f "%ALLUSERSPROFILE%\Application Data\Microsoft\Network\Downloader\qmgr*.dat" 
del /s /q /f "%ALLUSERSPROFILE%\Microsoft\Network\Downloader\qmgr*.dat"
del /s /q /f "%SYSTEMROOT%\Logs\WindowsUpdate\*"


if exist "%SYSTEMROOT%\winsxs\pending.xml.bak" del /s /q /f "%SYSTEMROOT%\winsxs\pending.xml.bak" 
if exist "%SYSTEMROOT%\winsxs\pending.xml" ( 
    takeown /f "%SYSTEMROOT%\winsxs\pending.xml" 
    attrib -r -s -h /s /d "%SYSTEMROOT%\winsxs\pending.xml" 
    ren "%SYSTEMROOT%\winsxs\pending.xml" pending.xml.bak 
) 
  
if exist "%SYSTEMROOT%\SoftwareDistribution\DataStore.bak" rmdir /s /q "%SYSTEMROOT%\SoftwareDistribution\DataStore.bak"
if exist "%SYSTEMROOT%\SoftwareDistribution\DataStore" ( 
    attrib -r -s -h /s /d "%SYSTEMROOT%\SoftwareDistribution\DataStore" 
    ren "%SYSTEMROOT%\SoftwareDistribution\DataStore" DataStore.bak 
) 

if exist "%SYSTEMROOT%\SoftwareDistribution\Download.bak" rmdir /s /q "%SYSTEMROOT%\SoftwareDistribution\Download.bak"
if exist "%SYSTEMROOT%\SoftwareDistribution\Download" ( 
    attrib -r -s -h /s /d "%SYSTEMROOT%\SoftwareDistribution\Download" 
    ren "%SYSTEMROOT%\SoftwareDistribution\Download" Download.bak 
) 
 
if exist "%SYSTEMROOT%\system32\Catroot2.bak" rmdir /s /q "%SYSTEMROOT%\system32\Catroot2.bak" 
if exist "%SYSTEMROOT%\system32\Catroot2" ( 
    attrib -r -s -h /s /d "%SYSTEMROOT%\system32\Catroot2" 
    ren "%SYSTEMROOT%\system32\Catroot2" Catroot2.bak 
) 
  

:: Reset Windows Update policies
reg delete "HKCU\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /f
reg delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate" /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate" /f
gpupdate /force


:: Reset the BITS service and the Windows Update service to the default security descriptor
sc.exe sdset bits D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)
sc.exe sdset wuauserv D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)


:: Reregister the BITS files and the Windows Update files
cd /d %windir%\system32
regsvr32.exe /s atl.dll
regsvr32.exe /s urlmon.dll
regsvr32.exe /s mshtml.dll
regsvr32.exe /s shdocvw.dll
regsvr32.exe /s browseui.dll
regsvr32.exe /s jscript.dll
regsvr32.exe /s vbscript.dll
regsvr32.exe /s scrrun.dll
regsvr32.exe /s msxml.dll
regsvr32.exe /s msxml3.dll
regsvr32.exe /s msxml6.dll
regsvr32.exe /s actxprxy.dll
regsvr32.exe /s softpub.dll
regsvr32.exe /s wintrust.dll
regsvr32.exe /s dssenh.dll
regsvr32.exe /s rsaenh.dll
regsvr32.exe /s gpkcsp.dll
regsvr32.exe /s sccbase.dll
regsvr32.exe /s slbcsp.dll
regsvr32.exe /s cryptdlg.dll
regsvr32.exe /s oleaut32.dll
regsvr32.exe /s ole32.dll
regsvr32.exe /s shell32.dll
regsvr32.exe /s initpki.dll
regsvr32.exe /s wuapi.dll
regsvr32.exe /s wuaueng.dll
regsvr32.exe /s wuaueng1.dll
regsvr32.exe /s wucltui.dll
regsvr32.exe /s wups.dll
regsvr32.exe /s wups2.dll
regsvr32.exe /s wuweb.dll
regsvr32.exe /s qmgr.dll
regsvr32.exe /s qmgrprxy.dll
regsvr32.exe /s wucltux.dll
regsvr32.exe /s muweb.dll
regsvr32.exe /s wuwebv.dll
netsh winsock reset
netsh winsock reset proxy

:: Set the startup type as automatic
sc config wuauserv start= auto
sc config bits start= auto 
sc config DcomLaunch start= auto 

:Start
net start bits
net start wuauserv
net start cryptsvc

:: Restart computer
cls
echo It is required to restart the computer to finish resetting Windows Update.
echo.
echo Please save and close anything open now, before the computer is restarted.
echo.
pause
echo.
echo.
echo.
echo *** Restart computer now. ***
echo.
pause
shutdown /r /f /t 0

Si un service ne parvient pas à s'arrêter après 3 tentatives, le fichier .bat se termine automatiquement par un message "Échec de la réinitialisation de Windows Update" et invite à appuyer sur une touche pour continuer.
Lorsqu'une touche est enfoncée, le fichier .bat redémarre alors tout service qu'il avait arrêté avant de fermer l'invite de commande.

Dans tous les cas de figure Il est important de redémarrer l'ordinateur immédiatement après avoir exécuté le fichier .bat à appliquer sans rien ouvrir d'autre.même si le .bat se met en échec

[ihana]

J'ai réactivé la LSA en réinstallant WIN 11 tout bêtement, il n'y avait pas de blocage particulier

[Parisien_entraide]

Bonjour

Heu.. l'article date de juillet 2023 (et reste pour mémoire)
Depuis il y a eu des correctifs donc...

[ihana]

Désolée mais juste avant que je charge à nouveau windows version 23 en janvier 2024 le problème était présent

[Parisien_entraide]

Curieux...
Perso j'ai du faire 4 ou 5 installations de Win11 en fin d'année 2023. Pas de soucis
Mais bon il y a pas mal de facteurs qui interviennent pour que le bug apparaisse, comme des problèmes de compatibilité avec certaines applications ou à des erreurs lors des mises à jour du système, eetc

A noter qu'au mois d'octobre 2023 Microsoft a actualisé la page
https://learn.microsoft.com/fr-fr/windo ... protection

[bradleytr]

Merci pour l'information

fethiye tours