La panne mondiale CrowdStrike a eu de multiples conséquences. Microsoft a tenu plusieurs grandes réunions avec tous les acteurs impliqués. Rapidement, le problème de la résilience a été au cœur des discussions, sur la manière dont l’architecture de Windows pouvait évoluer pour se pencher – enfin – sur des points de friction connus depuis longtemps, dont la toute-puissance des antivirus et autres logiciels de sécurité.

Dès novembre 2024, il n’était plus question que de sécurité et de résilience, de reprise sur incidents et de questions liées. Microsoft communiquait déjà abondamment sur sa Secure Future Initiative, qui plaçait la sécurité en priorité absolue. Au point que pour Satya Nadella, CEO de Microsoft, il valait mieux retarder une fonction ou ne pas la publier plutôt que d’affecter la sécurité.

La Windows Resiliency Initiative (ou WRI) est en quelque sorte un surensemble. Elle a pour objectif d’aider les entreprises à mieux prévenir, gérer et se remettre des incidents de sécurité ainsi que des problèmes de fiabilité.

Les antivirus ? Oust

À travers sa Microsoft Virus Initiative 3.0 (que d’initiatives décidément), la firme veut insuffler un changement très concret : repousser les antivirus et les solutions de sécurité en espace utilisateur. Des exigences strictes vont être imposées, qui vont empêcher les éditeurs concernés de placer des composants en espace noyau.

Qu’est-ce que ce changement signifie ? Si vous avez suivi les détails de l’affaire CrowdStrike, vous savez que l’erreur initiale est partie d’un petit rien : un simple fichier de définition, contenant les informations sur de nouveaux logiciels malveillants. Mais cette erreur a été interprétée par le module qui, lui, résidait dans l’espace noyau de Windows. Depuis cette zone, qui lui procurait des droits bien supérieurs, le composant a alors entrainé des plantages en série. Ce n’est pas pour rien non plus qu’une bonne partie des écrans bleus est engendrée par les pilotes ayant un pied dans cet espace noyau.

L’espace utilisateur, au contraire, a moins de droits et est étroitement surveillé. Les éditeurs antivirus comme Bitdefender, ESET ou encore CrowdStrike lui-même ne vont-ils pas se fâcher ? Si l’on en croit le billet de blog de Microsoft, ce serait même l’inverse : tous les éditeurs se réjouissent des évolutions annoncées. Tous disent avoir participé à la validation technique de la MVI 3.0.

On ne sait cependant pas quelles modifications précises Microsoft a apporté au code de Windows, mais il est évident qu’un tel changement nécessite une vaste opération d’ingénierie. On ne sait pas encore non plus quand ce changement sera répercuté sur le système d’exploitation.

Le BSOD est mort, vive le BSOD

Puisque l’on parle d’écrans bleus, sachez que cette « institution » va disparaitre. Il va être remplacé par une version plus sobre, à fond noir, avec une simple phrase : « Votre appareil a rencontré un problème et va redémarrer ».

En dessous, on trouve un pourcentage, représentant comme aujourd’hui le vidage de la mémoire dans un fichier dump, à des fins d’analyse si besoin. En bas, on trouvera la référence de l’erreur ayant entrainé le plantage, ainsi que le composant responsable. Dans l’exemple donné par Microsoft, il s’agit a priori d’un pilote.

Ce nouvel écran (que l’on pourra toujours appeler BSOD, avec le B de Black) sera déployé à la fin de l’été.

D’autres changements intéressants

La QMR (Quick Machine Recovery) est un autre gros morceau. Microsoft indique qu’en cas de redémarrages inattendus consécutifs, « les appareils peuvent rester bloqués dans l'environnement de récupération Windows (Windows RE), ce qui a un impact sur la productivité et oblige souvent les équipes informatiques à passer beaucoup de temps à dépanner et à restaurer les appareils concernés ».

Solution ? Déployer à grande échelle une réponse spécifique via Windows RE. Cela revient à l’automatiser pour restaurer par exemple la capacité de redémarrage. Dans le cas de la panne CrowdStrike, le mécanisme aurait certainement fait gagner du temps. Sur la page consacrée à QMR, on peut lire que la recherche de solution peut être automatisée (et connectée aux serveurs de Microsoft) ou récupérée depuis le cloud, qui peut être celui de l’entreprise. On peut donc garder la main sur ce type de déploiement.

Pour le reste, la WRI rassemble des travaux existants et en ajoutent d’autres. La fonction Hotpatching, qui permet l’application de correctifs de sécurité sans redémarrage, va être plus largement proposée et s’appliquer à tous les PC équipés de Windows 11 Enterprise. Le Connected Cache doit optimiser l’utilisation de bande passante lors du déploiement des mises à jour au sein d’une entreprise. Microsoft évoque également son service Windows 365 Reserve, que nous évoquions il y a peu.

On note que ces annonces s’adressent avant tout au monde professionnel, surtout aux entreprises ayant de grands parcs. La panne CrowdStrike a fait frémir il y a un an, provoquant un électrochoc dans une partie de l’industrie.