HKLM : HKEY_LOCAL_MACHINE
Infrastructure
HKLM : HKEY_LOCAL_MACHINE. « Clé racine de la machine locale », par analogie avec le règlement intérieur affiché dans le hall, qui s'impose à tous les occupants de l'immeuble.
Branche de la machine : HKLM est la branche du registre Windows qui porte la configuration commune à toute la machine : matériel, pilotes, services, logiciels installés, paramètres de sécurité. Elle se distingue de la branche propre à chaque utilisateur, chargée à l'ouverture de session.
Réservée aux administrateurs : L'écriture dans la plupart de ses clés exige des droits d'administration. Un réglage de sécurité posé ici vaut pour tout le monde ; un réglage vicié aussi, avec la même impartialité.
En ligne de commande : PowerShell expose la branche comme un lecteur, sous le préfixe « HKLM: », ce qui permet de la lire et de la modifier avec les mêmes commandes que des fichiers. Les stratégies de groupe y écrivent aussi leurs réglages machine.
Persistance : Les clés de démarrage automatique et la définition des services en font un lieu de persistance prisé des attaquants, donc une zone à surveiller.
Ce qui arrive si on s'en passe
Qui ne surveille pas HKLM laisse aux attaquants l'un de leurs refuges favoris : une entrée ajoutée aux clés de démarrage automatique, ou un service déclaré discrètement, relance leur code à chaque démarrage, pour tous les utilisateurs de la machine. Un droit d'écriture accordé trop largement sur ces clés offre le même service à un compte sans privilèges, qui obtient une exécution au niveau du système. Sans journalisation des modifications, un réglage de sécurité affaibli passe inaperçu et s'applique à tout le monde avec la même impartialité. Le registre obéit scrupuleusement à quiconque sait y écrire ; c'est une qualité chez un employé, beaucoup moins chez un règlement intérieur.
Explication de la marmotte
Un ordinateur sous Windows garde ses réglages dans une sorte de grand classeur interne, organisé en dossiers et sous-dossiers. Une partie de ce classeur concerne chaque personne qui utilise l'ordinateur : fond d'écran, préférences. Une autre concerne l'ordinateur lui-même, quels que soient ses utilisateurs : matériel, programmes installés, règles de sécurité. C'est de cette seconde partie qu'il est question ici. Comme elle s'applique à tout le monde, seuls les responsables de la machine ont le droit d'y écrire, un peu comme seul le syndic peut changer le règlement d'un immeuble.
Où ce terme est utilisé
- Registre Windows, GPO et services, fonctionnement et attaques (3 occurrences)