Le BIOS / UEFI

Le BIOS est un petit programme logé sur une puce de la carte mère de l'ordinateur qui permet son démarrage. Sur les ordinateurs récents il est remplacé par un programme un peu plus élaboré appelé EFI ou UEFI qui fait en gros la même chose.

Avant de détailler les fonctions du BIOS, nous allons expliquer la séquence de démarrage d'un ordinateur jusqu'au lancement de son système d'exploitation.

Remarque : Toute cette page est au Niveau confirmé. Si vous êtres simplement curieux, cette lecture vous fera entrer dans les rouages du fonctionnement de votre ordinateur. Si vous êtes un utilisateur averti, les renseignements sur cette page peuvent vous aider à dépanner votre ordinateur ou simplement à entrer dans le Setup pour faire quelques réglages.

Note : j'ai mis cette page dans la rubrique Le matériel alors que le BIOS est un programme, mais comme il fait la liaison avec le matériel de l'ordinateur, sa place ici ne semble pas incongrue.

Sommaire [masquer]

1. La séquence de démarrage

2. Le Setup

2.1. Accès au Setup

2.2. Précisions sur le BIOS

2.3. Un exemple de Setup

3. Quelques informations sur le MBR

3.1. Structure du MBR

3.1.1. Détail d'une entrée de la table des partitions

3.1.2. Partition étendue

4. Cas de l'UEFI

4.1. La séquence de démarrage

4.2. Le « secure boot »

4.2.1. Désactivation du secure boot

5. Cas où la GPT remplace le MBR

5.1. Le MBR protecteur

5.2. Structure de la GPT

5.2.1. Structure de l'en-tête de la GPT

5.2.2. Structure d'un descripteur de partition

5.2.3. Codage du type de partition (GUID)

La séquence de démarrage

Lorsqu'on appuie sur le bouton de mise sous tension de l'ordinateur, la séquence suivante se déroule de façon identique pour tous les PC, quelle que soit leur marque ou leur modèle et qu'il s'agisse d'un portable ou d'un ordinateur fixe :

la fermeture de l'interrupteur (bouton marche / arrêt) met la broche PS_ON# du connecteur d'alimentation de la carte mère à la masse, ce qui a pour effet de démarrer le bloc d'alimentation électrique de l'ordinateur ;
l'alimentation électrique de l'ordinateur génère toutes les tensions nécessaires à son fonctionnement. Lorsqu'elles sont stabilisées et qu'elles ont les bonnes valeurs, l'alimentation envoie un signal appelé « Power good » sur la carte mère (appelé aussi parfois « Power-OK » ou PWR_OK) ;

Note : pour le brochage du connecteur d'alimentation, voir l'alimentation (en savoir plus...).
l'envoi de ce signal permet au processeur de démarrer. Il exécute un programme écrit dans une mémoire morte (ROM) de la carte mère : le BIOS (Basic Input Output System) ou « Système d'entrée-sortie de base » en français.

L'exécution du BIOS se déroule de la façon suivante :

le BIOS se copie en mémoire vive (RAM), toujours à la même adresse (adresse 0040:0000 en mode réel) ;
le processeur exécute l'instruction située à l'adresse 0040:FFF0, qui est un saut vers d'adresse d'une partie du BIOS en mémoire, le POST ;
le POST ou Power-on Self Test soit « auto test au démarrage » est chargé de tester le matériel de l'ordinateur et d'attribuer les ressources nécessaires aux différents périphériques pour qu'il n'y ait pas de conflit entre eux. S'il détecte la présence d'un écran, il affiche des messages indiquant ce qu'il fait, éventuellement des messages d'erreur et souvent un message indiquant comment accéder au « Setup ». Le Setup permet de modifier la configuration de l'ordinateur (voir ci-dessous). Si des erreurs sont détectées, le POST émet des séquences de bips suivant un code défini par le constructeur (pour les curieux, la liste des bips est ici). Mais tous les ordinateurs actuels ne sont pas équipés du petit haut parleur qui existait sur les anciens PC et permettait de restituer ces bips.
ensuite le POST exécute la partie suivante du BIOS : le démarrage effectif de l'ordinateur : il cherche dans la configuration de l'ordinateur (le Setup) sur quel périphérique il doit trouver un système d'exploitation (lecteur de CD/DVD, disque dur, clé USB, réseau, anciennement lecteur de disquette).
si le périphérique est un lecteur de CD et qu'il contient un CD ou DVD avec un système d'exploitation, il le charge en mémoire et passe l'exécution au programme de « boot » (démarrage) du CD.
si le périphérique désigné est un disque dur (ou un SSD) ou une clé USB « bootable », il lit alors son premier secteur de 512 octets (appelé le MBR pour Master Boot Record ou « secteur d'amorce » en français. Il vérifie que ce secteur contient le mot magique 0xAA55 (en petit-boutiste : octets de poids faible devant) et charge ce secteur en mémoire vive à l'adresse 0000:7C00 (en mode réel) ;
il exécute les instructions du petit programme de démarrage contenu dans les 440 premiers octets du MBR. Ce programme, écrit en assembleur avec les instructions 16 bits du processeur (mode réel), fait différentes vérifications (dépendant de chaque carte mère) et exécute le code d'amorçage chargé de trouver le programme d'amorçage dans la partition active du disque et lui passe la main. Ce programme est le Bootloader (en français « chargeur d'amorçage ») qui est chargé de lancer le système d'exploitation.
grâce au Bootloader il est possible de choisir le système d'exploitation à lancer au démarrage. Sur les systèmes Linux, le chargeur d'amorçage le plus courant est GRUB2 (GRand Unified Bootloader version 2). Sur les systèmes Windows, jusqu'à Windows XP, c'est « NTLDR » et son fichier de configuration « boot.ini » et sur les versions suivantes c'est « bootmgr » (pour Windows Boot Manager) et son fichier de configuration « BCD ».

En savoir plus...

Limite du BIOS

Pour être compatible avec les anciens BIOS, l'espace alloué au BIOS en mémoire vive est toujours de 1 Mo, ce qui limite ses possibilités, entre autres d'initialiser plusieurs périphériques simultanément. Toujours, pour une compatibilité avec les anciens processeurs, ceux-ci doivent démarrer en mode réel (16 bits), ce qui réduit leurs performances au démarrage de l'ordinateur, alors que les processeurs actuels sont tous en 64 bits.

Chargement de Windows

Sur les systèmes Windows, jusqu'à Windows XP compris, le Bootloader cherche le fichier NTLDR à la racine de la partition contenant le système d'exploitation et lui passe la main. L'exécutable NTLDR lit son fichier de configuration « boot.ini » qui est un fichier texte et se trouve aussi à la racine de la partition.

Sur les systèmes Windows à partir de Windows 7, l'installateur de Windows crée une partition « bootable » de 100 Mio et une autre partition pour y mettre le système d'exploitation. La partition de 100 Mio est nommée « Réservé au système » et n'est pas visible sous Windows (sauf dans l’utilitaire de gestion des disques). Elle contient, entre autre le fichier exécutable « bootmgr » et un répertoire \Boot qui contient son fichier de configuration « BCD » qui est un fichier binaire.

Grâce à ces fichiers de configuration, il est possible d'avoir plusieurs systèmes d'exploitation Windows sur un même disque ou sur des disques d'un même ordinateur et choisir lequel utiliser au démarrage de l'ordinateur.

Le Setup

Si vous avez bien lu la partie précédente, vous avez vu que le Setup est une partie du BIOS qui permet de modifier et paramétrer la configuration de l'ordinateur. La partie visible du Setup est une interface semi graphique où l'on peut se déplacer dans des menus avec les touches flèches du clavier.

Accès au Setup

Pour y accéder il faut taper sur une touche particulière au bon moment de manière répétitive (et ce n'est pas toujours évident !).
Pour changer seulement (et provisoirement) de périphérique de démarrage (démarrer sur une clé USB par exemple), il n'est pas nécessaire d'accéder à l'ensemble du Setup, mais seulement la partie « boot » du Setup. Il faut alors taper sur une touche différente et toujours de manière répétitive.

Suivant les éditeurs de BIOS et les constructeurs de cartes mères, la liste (non exhaustive) des touches est regroupée dans le tableau suivant.

Marque ordinateur (modèle)	accès au Setup	accès au Boot
Acer	F2 ou F12 ou Suppr	F2 ou F9 ou Esc
Asus	F1 ou F2 ou Suppr	F8 ou Esc
Compaq (Presario)	F10	F9 ou Esc
Dell, Fujitsu	F2	F12
HP	F10 ou Esc ou F1	Esc ou F9
Lenovo	F1 ou F2	F12 ou F8 ou F10
Packard Bell	F1 ou Suppr	F8
Samsung	F2 ou F10	Esc ou F2
Toshiba	F1 ou F2 ou Esc	F12

Précisions sur le BIOS

Le BIOS se présente plus ou moins différemment suivant leur éditeur. Il y a actuellement 3 principaux éditeurs de BIOS : AMI, AWARD et Phoenix. Certaines versions sont même traduites en français, mais c'est assez rare.

Le BIOS est un programme écrit en assembleur dans une mémoire morte (donc en principe non modifiable). Comme il doit enregistrer les modifications apportées à l'ordinateur, par exemple l'ajout de mémoire ou d'un disque ou une autre séquence de démarrage, il est doté d'une mémoire particulière où il doit pouvoir écrire ses informations. Sur les anciens ordinateurs, cette configuration est écrite sur une petite mémoire vive (CMOS) maintenue par la pile de l'ordinateur. Lorsque cette pile est vide, cette information est perdue et pose des problèmes au démarrage, avec émission de messages d'erreur. Sur les ordinateurs plus récents, la configuration est écrite sur une mémoire modifiable électriquement (EEPROM), ce qui évite le problème de perte des données.

Les BIOS récents (dits « flashables ») sont également écrit sur ce type de mémoire. L'avantage de cette solution est qu'il peut être mis à jour pour reconnaître par exemple de nouveaux périphériques, mais cette opération reste très délicate car la moindre erreur lors de l'écriture du BIOS peut rendre la carte mère inutilisable. L'inconvénient majeur d'un BIOS en EEPROM est qu'il peut être attaqué par un virus (ce qui s'est déjà produit la première fois en 1999).

Un exemple de Setup

BIOS AMI avec choix de la langue

BIOS Award seulement en anglais

À gauche une vue d'un BIOS AMI avec une possibilité du choix de la langue.
À droite un BIOS Award qui n'offre pas cette possibilité, comme c'est souvent le cas.
Le déplacement dans le menu se fait en génaral à l'aide des touches flèches du clavier, les modifications par la touche Entrée ou les touches Page⇧ et Page⇩ et le retour au menu précédent par la touche Échap.

La présentation du BIOS dans le Setup diffère suivant l'éditeur mais on retrouve à peu près les mêmes fonctions :

fonctions principales : mise à jour de l'heure, choix de la langue (parfois), informations diverses (configuration matérielle, version du BIOS) ;
paramètres avancés : pour modifier, activer ou non, des éléments matériels de l'ordinateur (ports USB, réseau LAN, contrôleur de disques...) ;

Attention : Ces modifications peuvent entraîner un dysfonctionnement de l'ordinateur.
gestion de l'alimentation permettant le démarrage de l'ordinateur à distance (réseau) ou par action sur un périphérique (clavier, souris...) ;
configuration des périphériques intégrés à la carte mère (parfois) ;

Attention : ces modifications doivent être effectuées avec précaution pour ne pas entraîner un dysfonctionnement de l'ordinateur.
sécurité : possibilité de protéger l'ordinateur par des mots de passe (superviseur, utilisateur, accès disque dur ou SSD). Les mots de passe protègent l'accès au Setup, mais sur certains BIOS ils peuvent aussi protéger l'accès au système d'exploitation (c'est à dire au disque contenant le système). Il ne faut pas oublier ces mots de passe sous peine de ne plus pouvoir démarrer l'ordinateur ou entrer dans le Setup ;
séquence de démarrage : permet de choisir l'ordre des périphériques à consulter pour savoir sur lequel l'ordinateur doit démarrer. Le premier périphérique « bootable » trouvé sera celui sur lequel l'ordinateur va démarrer. Il est ainsi possible d'avoir par exemple plusieurs disques dont une partition contient un système d'exploitation et de choisir par cette configuration du Setup l'ordre des disques à consulter et donc le système à lancer. C'est un moyen utilisé fréquemment pour démarrer sur une clé USB contenant un autre système d'exploitation que celui du disque dur, par exemple pour démarrer un système Linux pour réparer un système Windows ;
fonctions de sauvegarde : les modifications éventuelles du Setup peuvent être enregistrées dans une mémoire CMOS de la carte mère de l'ordinateur. Il est aussi possible de sortir du Setup sans sauvegarder les modifications ou de charger les paramètres précédemment sauvegardés, voire de retrouver la configuration « usine » de l'ordinateur.

En savoir plus...

Mot de passe oublié ?

Il n'y a aucun moyen de retrouver un mot de passe oublié, mais Il y a au moins une solution pour accéder à l'ordinateur protégé par un mot de passe au niveau du Setup.

Pour cela, il faut accéder à la carte mère, donc ouvrir l'ordinateur.

Repérez les bornes du connecteur d'effacement de la mémoire CMOS ou EEPROM, souvent noté CLR_CMOS sur la carte mère et court-circuiter les deux bornes pendant 2 ou 3 secondes, soit avec un objet métallique, soit avec le cavalier prévu à cet effet. En principe la mémoire est effacée. Sur d'autres cartes mères ou si vous ne repérez pas ce connecteur, il faut alors enlever la pile de la carte mère, attendre quelques minutes, le temps que les condensateurs de la carte se déchargent et la remettre en respectant la polarité (en général le pôle + est sur le dessus).

Lors du redémarrage, allez de suite dans le Setup pour recharger la configuration usine et faire les modifications nécessaires si elle avait changé entre temps (par exemple par ajout de certains périphériques).

Remarque : Le mot de passe superviseur protège l'accès au Setup alors que le mot de passe utilisateur protège l'accès au système d'exploitation.

Quelques informations sur le MBR

Le master boot record (MBR) est le premier secteur (512 octets) d'un disque amorçable, c'est à dire sur lequel un système d'exploitation peut être lancé. Ceci est vrai pour tous les disques partitionnés suivant le standard défini par la société Intel au début des années 1980 et est indépendant du système de fichiers du disque (NTFS, FAT32, Ext4,...). La numérotation des secteurs commence à 0 (le premier secteur porte donc le numéro 0, le deuxième, le numéro 1, etc.).

Structure du MBR

Le MBR comprend différentes parties que nous allons examiner ici. Tous les nombres dans le MBR sont codés petit boutiste pour des raisons historiques : l'octet de poids faible est noté en premier et l'octet de poids fort en dernier (fonctionnement des microprocesseurs Intel).

Note : dans ce paragraphe, les nombres en gras dans le texte représentent les adresses en hexadécimal. Pour distinguer les notations, les nombres décimaux sont notés comme d'habitude et les nombres hexadécimaux sont terminés par la lettre « h » en italique.

La structure du MBR est conforme à ce tableau :

Adresse hexa	Adresse décimale	taille en octets	Description
0000	0	440	programme de boot (dépend du système de fichiers)
01B8	440	4	signature du disque
01BC	444	2	2 octets à zéro
01BE	446	64	table des partitions
01FE	510	2	nombre magique

les 2 derniers octets (01FE et 01FF) sont la signature du secteur, aussi appelé le nombre magique : 55AAh, soit le nombre AA55h en hexadécimal. Ceci signifie que le secteur est exécutable et que le programme situé en tête de ce secteur doit être exécuté. Toute autre valeur rend ce secteur non exécutable (sur un disque qui ne contient pas de système d'exploitation, le secteur peut être rempli de 0.
les 64 octets précédents (de 01BE à 01FD) contiennent la table des partitions primaires, divisés en 4 entrées de 16 octets chacune. C'est pour cela qu'un disque au format de partitionnement Intel ne peut comporter que 4 partitions primaires au maximum. Pour dépasser cette limite il faut créer une partition étendue à la place d'une des partitions primaires. Il ne peut y avoir qu'une seule partition étendue ;
les 2 octets précédents ont toujours la valeur 0 ;
les 4 octets précédents (de 01B8 à 01BB) représentent l'identifiant du disque ;
enfin les 440 premiers octets du MBR sont la partie exécutable : ce programme est chargé en mémoire et exécuté. Suivant le système de fichiers, les informations dans cette partie ont différentes significations. Par exemple, pour le système FAT (12, 16 ou 32), les 3 premiers octets sont une adresse de saut vers le programme de boot et les octets suivants décrivent le support.

Détail d'une entrée de la table des partitions

Une entrée de cette table est constituée d'une suite de 16 octets (toutes les valeurs sont exprimées en hexadécimal) :

le premier octet indique si la partition est « bootable » (valeur 80h) ou non (valeur 00h). Une partition bootable est une partition qui contient un système d'exploitation ;
les 3 octets suivants indiquent le début de la partition dans l'ancien système « tête - secteur - cylindre » noté CHS pour Cylinder/Head/Sector en anglais. Ce système a été abandonné par le BIOS dès que les capacités des disques ont dépassé les possibilités de cette notation et remplacé par le système LBA ;
l'octet suivant indique le système de fichiers utilisé sur le disque : par exemple 07h pour NTFS (Windows), 83h pour Ext4 (Linux) ou 05h pour indiquer une partition étendue. La valeur EEh indique que le disque utilise le système de partitionnement gpt. Pour les curieux, cette page du site de Wikipédia donne la liste des types de partitions existantes, ainsi que le site d'Andries Brouwer (en anglais) ;

En savoir plus...

Octet identifiant du type de partition

Ce tableau résume les types de partitions historiques ou les plus courantes. La colonne Id contient l'octet identifiant le type de partition en notation hexadécimale. Les couples « Id - Type » en gras indiquent les systèmes courants utilisés encore aujourd'hui.

Id	Type	Commentaire
00	Vide	indique une entrée non utilisée de la table de partitions.
01	FAT12	format des disquettes, partitions jusqu'à 16 Mo (historique).
04	FAT16	taille de partition inférieure à 32 Mo car l'adressage est en CHS (historique).
05	Étendue	indique une partition étendue pour disque de 8,4 Go au maximum (historique).
06	FAT16	peut adresser des partitions jusqu'à 4 Go (historique). VFAT est une FAT avec des noms de fichiers longs.
07	NTFS exFAT	partitionnement de Windows depuis Windows NT 3.1 qui gère des disques jusqu'à 2 To. L'ancien type HPFS porte le même identifiant. exFAT est surtout utilisé pour les cartes SD et certaines clés USB de grande capacité.
0B	Win95	partitionnement arrivé avec Win95 OSR2 FAT32 (historique). L'adressage utilisait le CHS.
0C	Win95	comme le précédent (FAT32) mais utilise d'adressage LBA.
17	NTFS	partition cachée NTFS. Les partitions 01, 04, 06, 07, 0B, 0C peuvent être cachées en changeant le « 0 » de leur identifiant en « 1 ».
82	Swap Linux	espace d'échange pour stocker des donées en complément de la mémoire vive sous Linux.
83	Linux	partitions Linux utiliées par les systèmes de fichiers ext2, ext3, ext4, ReiserFS, JFS.
EE	EFI/GPT	Indication que ce MBR hérité est suivi d'un en-tête EFI.
EF	EFI	indique une partition EFI qui peut être formatée en FAT12, FAT16 ou FAT32.

les 3 octets suivants indiquent la fin de la partition dans l'ancien système « tête - secteur - cylindre ». Ne sert plus ;
les 4 octets suivants indiquent le début de la partition dans le système LBA (Logical block addressing ou « adressage de bloc logique » en français) ;
enfin, les 4 derniers octets indiquent la taille en blocs de la partition, sachant qu'un bloc fait 512 octets. Ceci limite la taille d'une partition à environ 2 téraoctets qui correspond au plus grand nombre entier que l'on peut écrire avec 4 octets, ce nombre représentant le nombre de blocs de 512 octets.

Note : les clés USB utilisent très souvent le système de fichiers FAT32. Avec ce système, la taille maximale d'un fichier est de 4 Gio (2³²-1 octets). Si vous essayez d'écrire un fichier plus gros que cette taille, le système retournera une erreur d'écriture. Le nombre maximum de fichiers est d'environ 268 millions (2²⁸) car les adresses sont codées sur 28 bits (et non pas sur 32 bits comme pourrait le laisser croire le nom de ce système de fichiers).

Partition étendue

Il ne peut y avoir qu'une seule partition étendue déclarée dans le MBR, donc sur un disque. Le premier secteur de cette partition contient une table la décrivant : c'est la table des partitions logiques dont le nombre n'est pas limité. Le premier secteur de cette partition appelé l'EBR (pour Extended Boot Record, soit « enregistrement de démarrage étendu ») contient une table la décrivant : c'est la table des partitions logiques dont le nombre n'est pas limité. Cet EBR peut contenir un autre « Bootloader » (chargeur de démarrage) pour charger un autre système d'exploitation.

La structure de l'EBR est similaire à celle du MBR, sauf en ce qui concerne les entrées de la table de partitions : la première entrée est identique à celles du MBR, la 2^e entrée indique l'emplacement de la prochaine partition logique qui commence aussi par un EBR. Si elle est remplie de 0, cela indique qu'il n'y a pas d'autre partition à suivre. Il y a donc autant d'EBR que de partitions logiques et chaque EBR est situé sur le premier secteur de ces partitions. Les adresses de début de partition logique sont relatives au début de la partition (alors que dans le MBR ce sont des adresses absolues). Les 3^e et 4^e entrées de ces tables ne sont pas utilisées et contiennent des 0.

Cas de l'UEFI

Le BIOS avec son interface (setup) semi graphique et son système de gestion de disque (MBR) limité est remplacé sur certaines cartes mères par un autre programme, plus élaboré, l'UEFI.

L'UEFI (Unified Extensible Firmware Interface, soit « Interface micrologicielle extensible unifiée » en français fait suite à l'EFI développé initialement par Intel et dont les spécifications sont élaborées par un consortium de sociétés informatiques (Intel, AMD, Microsoft et des fabricants de PC). C'est un programme écrit en C et stocké sur une puce de la carte mère, comme le BIOS. Il profite des avancées technologiques pour rendre les opérations d'amorçage et de configuration (setup) plus sécurisées et plus conviviales.

L'UEFI dispose d'une véritable interface graphique et gère la souris en plus du clavier.

Il gère le partitionnement des disques nativement par un nouveau système, la GPT (voir ci-dessous) qui permet de dépasser la limite de 2 To et des 4 partitions du MBR.

La séquence de démarrage

Les premières étapes sont identiques à celles qui sont décrites pour le démarrage avec le BIOS, à savoir : l'appui sur le bouton marche / arrêt de l'ordinateur démarre le bloc de l'alimentation électrique qui envoie le signal « Power good » à la carte mère lorsque les tensions sont stabilisées et ont des valeurs correctes. Ce signal provoque le démarrage du processeur qui exécute la partie POST de l'UEFI.

Ensuite, la procédure change par rapport à celle du BIOS :

le POST vérifie le matériel de l'ordinateur et l'initialise : si besoin, il charge le micrologiciel du pilote de chaque matériel (cette étape était dévolue au système d'exploitation avec le BIOS). En cas d'erreur, il émet des bips de signalement et le processus est arrêté. Si tout est correct, il copie le micrologiciel de l'UEFI (appelé le firmware) en mémoire et lance le gestionnaire de démarrage ;
le gestionnaire de démarrage lit les informations entrées dans le Setup de l'UEFI : le nom du système d'exploitation, l'ordre des périphériques de démarrage (disque dur, SSD, clé USB...) et cherche la partition système EFI (appelée ESP pour « EFI System Partition »), sur le premier périphérique de démarrage ;
puis, sur la partition ESP, il cherche le chargeur d'amorçage (appelé également Bootloader) correspondant au nom du système d'exploitation à démarrer. Il lance ce programme qui est chargé de lancer le système d'exploitation.

À chaque étape de ce processus de démarrage (les parties du micrologiciel UEFI, le chargeur d’amorçage, le noyau du système d’exploitation, etc.), une vérification est effectuée avant son exécution par le secure boot. Ce « secure boot » compare la signature de chaque micrologiciel aux signatures enregistrées dans une base de données chiffrée contenue dans une mémoire du programme UEFI. SI la signature du micrologiciel n'est pas trouvée dans cette base, le logiciel est considéré comme invalide (infecté par un virus ou non autorisé) et le démarrage est interrompu.

En savoir plus...

La partition EFI

Cette partition contient les chargeurs d'amorçage des différents systèmes d'exploitation contenus sur le disque. Elle est formatée en FAT32 (en général - ce qui est conseillé, mais peut aussi être en FAT16) et doit avoir une taille de quelques dizaines de mégaoctets pour contenir plusieurs chargeurs d'amorçage.

Pour Windows : les fichiers concernant le chargeur du système d'exploitation Windows se trouvent dans le répertoire \EFI\Microsoft\Boot\. Le chargeur d'amorçage s'appelle bootmgfw.efi. Il démarre le système d'exploitation Windows avec les paramètres contenus dans le fichier BCD. Le fichier de configuration BCD (pour « Boot Configuration Data ») contient les informations de démarrage de Windows (partition d'installation de Windows, chemin du fichier winload.efi...). Si plusieurs versions de Windows sont installées sur le disque, une entrée pour chaque Windows est créée dans le magasin du BCD.

Pour Linux : les fichiers concernant le chargeur du système d'exploitation Linux se trouvent dans le répertoire /EFI/xxxxx. où xxxxx est le nom de la distribution Linux, par exemple /EFI/ubuntu pour une distribution Ubuntu. Le chargeur d'amorçage principal s'appelle shimx64.efi et est utilisé lorsque le secure boot est activé. En pratique, shimx64.efi s'enregistre dans l'UEFI puis lance le chargeur d'amorçage grubx64.efi. Shim64 est signé avec le certificat Microsoft mais contient aussi son propre certificat qui sera utilisé pour signer tous les autres composants de Linux. Si le secure boot est désactivé, le chargeur grubx64.efi est directement appelé et fonctionnera même sans être signé. Il démarre le système d'exploitation Linux.

Par défaut : si aucun chargeur d'amorçage n'est trouvé, le gestionnaire de démarrage cherche un fichier nommé BOOTX64.EFI dans le répertoire /EFI/BOOT et l'exécute.

Le « secure boot »

L'UEFI dispose d'un système controversé de sécurisation des systèmes d'exploitation : le « secure boot ». Ce système n'autorise que le démarrage des systèmes d'exploitation reconnus par une signature numérique enregistrée sur la carte mère, ce qui peut paraître sécurisant si un système d'exploitation est corrompu par exemple. Mais, de fait il a interdit d'utiliser des systèmes d'exploitation libres comme les systèmes Linux car les seules signatures enregistrées étaient celles des systèmes Microsoft. Les développeurs de systèmes concurrents, libres en général, devaient payer une licence pour enregistrer leur signature numérique, ce qui va à l'encontre de la notion de liberté dans le monde du logiciel libre. Devant la grogne engendrée à ce sujet, les fabricants de cartes mères ont ajouté la possibilité de désactiver le secure boot.

Lorsque je dois intervenir sur un ordinateur en panne et démarrer sur un système Linux par une clé USB ou un DVD, je commence par désactiver le secure boot dans le Setup et lorsque j'ai terminé l'intervention je ne le réactive pas.

Désactivation du secure boot

Entrez dans le Setup au démarrage de l'ordinateur, puis cherchez dans les menus de l'UEFI la ligne Secure Boot : (souvent située dans le menu Boot ou parfois dans le menu Security si cette section existe.
Vous devez alors désactiver cette option (souvent en cliquant sur le champ correspondant pour afficher quelque chose comme [disabled] (signifiant « désactivé »), puis sauvegarder la modification et redémarrer l'ordinateur.
Vous pouvez alors installer une autre version de Windows ou un système Linux de votre choix.

Sur certains ordinateurs, il faut entrer un mot de passe « superviseur » pour pouvoir désactiver le Secure Boot.

Si les explications ci-dessus ne vous permettent pas de désactiver le Secure Boot, vous trouverez peut-être votre modèle d'ordinateur dans cette page et la procédure à y appliquer.

Attention : si vous voulez garder le bon fonctionnement de votre système Windows, ne changez pas la valeur de l'option CSM (CSM signifie Compatibility Support Module, soit « Module support de compatibilité »). Ce module permet d'utiliser des disques durs formatés MBR au lieu de GPT. Si vous changez ce mode, le disque où se trouve Windows ne sera plus forcément vu et votre système ne pourra pas démarrer.

Sur certaines cartes mères, il est possible d'utiliser la version UEFI ou la version BIOS. Si vous voulez conserver votre version de Windows, il ne faut pas changer ce mode. Par contre si vous voulez reformater entièrement votre ordinateur et repartir avec un nouveau système d'exploitation, vous avez le choix de l'utilisation du BIOS ou de l'UEFI. Je vous conseille alors de choisir l'UEFI qui permet d'utiliser des gros disques durs formatés en GPT (voir le chapitre suivant).

Cas où la GPT remplace le MBR

Les limitations du MBR, comme le nombre de partitions primaires (4 maximum) et surtout la taille des disques limitée à 2 To ont poussé les fabricants à développer un autre système de gestion des partitions de disques. Ils ont profité de ce nouveau système pour améliorer la sécurité par un système de correction des erreurs intégré (CRC) à la table de partitions et une copie de cette table.

Ce nouveau système de partitionnement, appelé GPT pour GUID Partition Table (soit « Table de partitionnement GUID ») est utilisé conjointement avec l'UEFI bien qu'il puisse être utilisé aussi avec le BIOS. La GPT est contenue dans la spécification de l'UEFI. Elle peut gérer jusqu'à 128 partitions et des disques de 9,4 zétaoctets (Zo), soit 9,4 milliards de téraoctets, ce qui laisse une marge conséquente par rapport à la taille actuelle des disques.

Note : L'acronyme GUID signifie Globally Unique IDentifier, soit « identificateur global unique » en français. Le GUID est un nombre composé de 16 octets qui sert à identifier de façon unique un composant matériel ou logiciel, comme une partition de disque dur par exemple. Microsoft utilise le terme CLSID (Class Identifier) pour désigner la classe de certains objets et Linux utilise le terme UUID (Universally unique identifier).

Le MBR protecteur

Le premier secteur du disque contient une sorte de MBR appelé protective MBR (soit « MBR protecteur » en français). Il a la même structure que le MBR classique, mais ne contient que l'identifiant du disque (octets 01B8 à 01BB), la table des partitions (octets 01BE à 01FD) et le nombre magique (octets 01FE et 01FF). La table des partitions ne décrit qu'une seule partition dont le type est EEh qui commence juste après le MBR (donc au secteur numéro 1) et dont la taille occupe tout le disque, jusqu'à concurrence de 2 To qui est le plus grand nombre que l'on peut écrire avec les 4 octets réservés dans ce but dans la description d'une partition (FFFFFFFF secteurs de 512 octets = 2 To). Un système ou un logiciel qui ne connaît pas la GPT interprétera ce MBR comme : ce disque possède une seule partition de 2 To de type inconnu (EE) et en principe refusera de la modifier, d'où ce nom de « protecteur ».

Structure de la GPT

La GPT est composée de 2 blocs : l'en-tête et la table des partitions. La GPT se situe au début du disque, en principe à partir du deuxième secteur (portant le numéro 1). L'en-tête occupe 1 secteur (512 octets) et la table des partitions contient 128 descripteurs de 128 octets chacun pour gérer un maximum de 128 partitions (soit 32 secteurs). La GPT occupe donc au total 33 secteurs de 512 octets (soit 16896 octets) et se situe juste après le MBR protecteur.

De plus, la GPT est recopiée à la fin du disque : le dernier secteur contient la copie de l'en-tête et les secteurs précédents une copie de chaque descripteur (le premier descripteur commence au 33^e secteur avant la fin du disque et de dernier se termine à l'avant dernier secteur).

La GPT de début du disque est appelée GPT primaire et sa copie en fin de disque est appelée GPT secondaire.

Structure de l'en-tête de la GPT

L'en-tête de la GPT occupe un secteur, soit 512 octets. Les nombres entiers (adresses) sont codés petit-boutiste. Le numéro de version est codé en virgule fixe : 2 octets petit-boutiste pour la partie décimale et 2 octets petit-boutiste pour la partie entière.

La structure de l'en-tête est conforme à ce tableau. Les adresses sont données par rapport au début du secteur (adresses relatives) :

Adresse hexa	Adresse décimale	taille en octets	Description
0000	0	8	signature : EFI PART
0008	8	4	numéro de version (actuellement 1.0, soit 00 00 01 00)
000C	12	4	taille réelle de l'en-tête (actuellement 92 octets, soit 5C 00 00 00)
0010	16	4	CRC32^(*) de l'en-tête
0014	20	4	réservé (valeur 0)
0018	24	8	adresse de cet en-tête (1 pour l'en-tête primaire) ^(**)
0020	32	8	adresse de l'en-tête de l'autre GPT (le dernier secteur du disque pour l'en-tête primaire) ^(**)
0028	40	8	premier secteur utilisable pour les partitions
0030	48	8	dernier secteur utilisable pour les partitions (au secteur suivant commence la GPT secondaire)
0038	56	16	GUID du disque (sa signature)
0048	72	8	adresse de la table des partitions (2 pour la GPT primaire)
0050	80	4	nombre de descripteurs de partitions (en principe 128, soit 80h)
0054	84	4	taille d'un descripteur de partition (en principe 128, soit 80h)
0058	88	4	CRC32^(*) de la table des partitions
005C	92	420	remplissage par des 0 jusqu'à la fin du secteur

(*) : le CRC, abréviation de Cyclic Redundancy Check (soit « contrôle de redondance cyclique » en français) est un calcul sur une suite d'octets donnant un résultat (sur 32 bits pour le CRC32) et qui permet de détecter des erreurs éventuelles en comparant le résultat calculé avec une valeur fournie.

(**) : les valeurs de ces adresses sont inversées pour la GPT secondaire.

Structure d'un descripteur de partition

Un descripteur de partition a une taille de 128 octets. Les 128 descripteurs se suivent sans séparation et occupent 32 secteurs consécutifs.

Un descripteur est constitué des éléments suivants :

les 16 premiers octets indiquent le type de partition sous forme d'un GUID ;
les 16 octets suivants forment le GUID de la partition (identifiant unique de la partition) ;
les 8 octets suivants indiquent le début de la partition dans le système LBA (codé « petit-boutiste ») ;
les 8 octets suivants indiquent la fin de la partition dans le système LBA (codé « petit-boutiste ») ;
les 8 octets suivant contiennent les drapeaux d'attributs ;
enfin, les 72 derniers octets contiennent le nom de la partition, codé en UTF-16 « petit-boutiste ».

Codage du type de partition (GUID)

Le GUID qui indique le type de partition est un codage mixte de petit-boutiste et gros-boutiste.

Le GUID se présente sous forme de 16 octets, séparés en 5 groupes d'octets : un groupe de 4 octets, 3 groupes de 2 octets et un groupe de 6 octets.

Le groupe de 4 octets est codé petit-boutiste, ainsi que les 2 premiers groupes de 2 octets. Le 3^e groupe de 2 octets et le groupe de 6 octets sont codés en gros-boutiste.

À titre d'exemple, une partition de « données de base de Microsoft » est définie par le GUID :
EB D0 A0 A2 - B9 E5 - 44 33 - 87 C0 - 68 B6 B7 26 99 C7 qui est écrit
A2 A0 D0 EB - E5 B9 - 33 44 - 87 C0 - 68 B6 B7 26 99 C7 dans cet ordre dans le descripteur
(j'ai ajouté les tirets et les espaces entre les octets pour faciliter la lecture).

Vous pouvez voir une liste des types de partitions et de leur GUID sur le site fr.xcv.wiki.