Résumé
Cet article décrit la fonctionnalité Protection des fichiers Windows (WFP, Windows File Protection).
Plus d'informations
Cette fonctionnalité permet d'empêcher des programmes de remplacer des fichiers système Windows critiques. Ces fichiers ne doivent pas être remplacés car ils sont utilisés par le système d'exploitation et par d'autres programmes. La protection de ces fichiers permet d'éviter des problèmes au niveau des programmes et du système d'exploitation.
La Protection des fichiers Windows protège les fichiers système critiques installés en même temps que Windows (par exemple les fichiers à l'extension .dll, .exe, .ocx ou .sys, ainsi que certaines polices True Type). Elle utilise les signatures de fichiers et les fichiers catalogue générés par la signature de code afin de vérifier si la version des fichiers système protégés est correcte. Le remplacement des fichiers système protégés est pris en charge uniquement dans les cas suivants :
-
installation de Service Pack Windows à l'aide d'Update.exe ;
-
installation de correctifs à l'aide de Hotfix.exe ou Update.exe ;
-
mises à niveau du système d'exploitation à l'aide de Winnt32.exe ;
-
Windows Update.
Si un programme utilise une autre méthode pour remplacer des fichiers protégés, la Protection des fichiers Windows restaure les fichiers d'origine. Windows Installer respecte la Protection des fichiers Windows lors de l'installation de fichiers système critiques ; lorsqu'il doit installer ou remplacer un fichier protégé, il fait appel à cette fonctionnalité plutôt que de tenter d'installer ou de remplacer le fichier protégé lui-même.
Fonctionnement de la Protection des fichiers Windows
La Protection des fichiers Windows utilise deux mécanismes afin de protéger les fichiers système. Le premier mécanisme s'exécute en arrière-plan. Cette protection est déclenchée lorsque la Protection des fichiers Windows reçoit une notification de modification de répertoire pour un fichier se trouvant dans un répertoire protégé. Dès réception de cette notification, la Protection des fichiers Windows détermine le fichier modifié. S'il est protégé, elle recherche la signature de fichier dans un fichier catalogue afin de déterminer si la version du nouveau fichier est correcte. Si elle ne l'est pas, la Protection des fichiers Windows remplace le nouveau fichier par celui situé dans le dossier cache (s'il s'y trouve) ou dans la source d'installation. La Protection des fichiers Windows recherche le fichier correct aux emplacements suivants et dans l'ordre indiqué :
-
le dossier cache (par défaut, %systemroot%\system32\dllcache) ;
-
le chemin d'installation réseau, si le système a été installé par le biais d'un réseau ;
-
le CD-ROM Windows, si le système a été installé à partir d'un CD-ROM.
Si la Protection des fichiers Windows trouve le fichier dans le dossier cache ou si la source d'installation est détectée automatiquement, le fichier est remplacé silencieusement. Si la Protection des fichiers Windows ne parvient pas à trouver automatiquement le fichier à ces emplacements, l'un des messages suivants s'affiche, où nom_fichier correspond au nom du fichier remplacé et produit correspond au produit Windows utilisé :
-
Protection des fichiers Windows
Des fichiers qui sont nécessaires au fonctionnement correct de Windows ont été remplacés par des versions non reconnues. Pour maintenir la stabilité du système, Windows doit restaurer les versions originales de ces fichiers. Insérez votre CD-ROM produit maintenant. -
Protection des fichiers Windows
Des fichiers qui sont nécessaires au fonctionnement correct de Windows ont été remplacés par des versions non reconnues. Pour maintenir la stabilité du système, Windows doit restaurer les versions originales de ces fichiers. L'emplacement réseau à partir duquel les fichiers devraient être copiés, \\serveur\partage, n'est pas disponible. Contactez votre administrateur système ou insérez le CD-ROM produit maintenant.
Remarque La Protection des fichiers Windows ne peut afficher ces boîtes de dialogue si aucun administrateur n'a ouvert de session. Dans ce cas, la boîte de dialogue s'affiche après qu'un administrateur ait ouvert une session. La Protection de fichiers Windows peut attendre qu'un administrateur ouvre une session dans les cas de figure suivants :
-
L'entrée de Registre SFCShowProgress est manquante ou a la valeur 1, et le serveur est configuré de façon à procéder à une analyse chaque fois que l'ordinateur démarre. Dans ce cas, la Protection de fichiers Windows attend l'ouverture de session d'une console. Autrement dit, le serveur RPC ne démarre pas tant que l'analyse n'est pas effectuée. Pendant ce temps, l'ordinateur ne dispose d'aucune protection.
Remarque Vous pouvez toujours mapper des lecteurs réseau, utiliser des fichiers système et employer les services Terminal Server pour vous connecter au serveur. La Protection de fichiers Windows ne considérant pas ces opérations comme une ouverture de session de console, elle continue d'attendre indéfiniment. -
La Protection de fichiers Windows doit restaurer un fichier à partir d'un partage réseau. Cette situation peut se produire si le fichier n'est pas présent dans le dossier Dllcache ou s'il est endommagé. Dans ce cas, il se peut que la Protection de fichiers Windows ne dispose pas des informations d'identification correctes pour accéder au partage à partir du support d'installation réseau.
Le deuxième mécanisme de protection fourni par la Protection des fichiers Windows est l'outil Vérificateur des fichiers système (Sfc.exe). À l'issue de l'installation en mode graphique, l'outil Vérificateur des fichiers système analyse tous les fichiers protégés afin de s'assurer qu'ils ne sont pas modifiés par des programmes installés en mode sans assistance. Il vérifie également tous les fichiers catalogue utilisés pour assurer le suivi des versions de fichiers correctes. Si l'un des fichiers catalogue est manquant ou endommagé, la Protection des fichiers Windows renomme le fichier catalogue concerné et récupère une version mise en cache de ce fichier à partir du dossier cache. Si le dossier cache ne contient aucune copie du fichier catalogue, la Protection des fichiers Windows vous invite à fournir le média approprié afin de pouvoir récupérer une nouvelle copie du fichier catalogue.
L'outil Vérificateur des fichiers système permet à l'administrateur d'analyser tous les fichiers protégés pour vérifier leur version. Il vérifie et repeuple également le dossier cache (par défaut, il s'agit de %SystemRoot%\System32\Dllcache). Si le dossier cache est endommagé ou inutilisable, vous pouvez utiliser la commande sfc /scanonce ou sfc /scanboot à l'invite pour réparer son contenu.
La valeur SfcScan de la clé de Registre suivante peut avoir trois paramètres :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Les paramètres de la valeur SfcScan sont les suivants :
-
0x0 = ne pas analyser les fichiers protégés après un redémarrage. (Valeur par défaut)
-
0x1 = analyser tous les fichiers protégés après chaque redémarrage (défini si la commande sfc /scanboot est exécutée).
-
0x2 = analyser tous les fichiers protégés une fois après un redémarrage (défini si la commande sfc /scanonce est exécutée).
Par défaut, tous les fichiers système sont mis en cache dans le dossier cache et la taille par défaut du cache est 400 Mo. Pour des raisons liées à l'espace disque, il peut être préférable de ne pas conserver de versions de tous les fichiers système dans le dossier cache. Pour modifier la taille du cache, modifiez le paramètre de la valeur SFCQuota dans la clé de Registre suivante :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon La Protection des fichiers Windows stocke les versions de fichiers vérifiées dans le dossier Dllcache sur le disque dur. Le nombre de fichiers mis en cache est déterminé par le paramètre de la valeur SFCQuota (la taille par défaut est 0xFFFFFFFF, soit 400 Mo). L'administrateur peut attribuer à la valeur SFCQuota n'importe quel paramètre. Notez que si vous définissez la valeur SFCQuota à 0xFFFFFFFF, la fonctionnalité Protection des fichiers Windows met en cache tous les fichiers système protégés (environ 2 7000 fichiers).
Il existe deux cas dans lesquels le dossier cache peut ne pas contenir de copies de tous les fichiers protégés, quelle que soit la valeur de SFQuota :
-
L'espace disponible sur le disque dur est insuffisant.
Sur Windows XP, la Protection des fichiers Windows cesse de peupler le dossier Dllcache lorsque l'espace libre sur le disque dur est inférieur à (600 Mo + taille maximale du fichier d'échange).
Sur Windows 2000, la Protection des fichiers Windows cesse de peupler le dossier Dllcache lorsque l'espace libre sur le disque dur est inférieur à 600 Mo). -
Installation réseau.
Lorsque Windows 2000 ou Windows XP est installé par le biais d'un réseau, les fichiers du répertoire i386\lang ne sont pas copiés dans le dossier Dllcache.
De plus, tous les pilotes répertoriés dans le fichier Driver.cab sont protégés, mais ils ne sont pas copiés dans le dossier Dllcache. La Protection des fichiers Windows restaure directement ces fichiers à partir du fichier Driver.cab sans inviter l'utilisateur à fournir le média source. Toutefois, l'exécution de la commande sfc /scannow entraîne la copie des fichiers à partir du fichier Driver.cab dans le dossier Dllcache.
Si la Protection des fichiers Windows détecte une modification de fichier et que le fichier concerné ne se trouve pas dans le dossier cache, elle examine la version du fichier modifié utilisée actuellement par le système d'exploitation. Si la version du fichier utilisée actuellement est correcte, la Protection des fichiers Windows copie cette version du fichier dans le dossier cache. Dans le cas contraire, ou si le fichier ne se trouve pas dans le dossier cache, la Protection des fichiers Windows recherche la source d'installation. Si elle ne la trouve pas, elle invite l'utilisateur à insérer le média approprié afin de remplacer le fichier ou la version du fichier mise en cache.
La valeur SFCDllCacheDir (REG_EXPAND_SZ) de la clé de Registre suivante spécifie l'emplacement du dossier Dllcache.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon Les données de valeur par défaut de la valeur SFCDllCacheDir sont %SystemRoot%\System32. La valeur SFCDllCacheDir peut être un chemin d'accès local. Par défaut, la valeur SFCDllCacheDir n'est pas répertoriée dans la clé de Registre HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon. Pour modifier l'emplacement du cache, vous devez ajouter cette valeur.
Au démarrage de Windows, la Protection des fichiers Windows synchronise (copie) les paramètres de protection des fichiers de la clé de Registre suivante :
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Windows File Protectiondans la clé de Registre suivante :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\WinlogonPar conséquent, si la valeur SfcScan, SFCQuota ou SFCDllCacheDir est présente dans la sous-clé HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Windows File Protection, elle est prioritaire sur la même valeur de la sous-clé HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon.
Pour plus d'informations sur la fonctionnalité Protection des fichiers Windows, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.
222473 Paramètres de Registre pour la protection des fichiers Windows
Pour plus d'informations sur l'outil Vérificateur des fichiers système dans Windows XP et Windows Server 2003, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.
310747 Description du Vérificateur des fichiers système Windows XP et Windows Server 2003 (Sfc.exe)
Pour plus d'informations sur l'outil Vérificateur des fichiers système de Windows 2000, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.
222471 Description du Vérificateur des fichiers système Windows 2000 (Sfc.exe)
Pour plus d'informations sur la fonctionnalité Protection des fichiers Windows, reportez-vous au site Web de Microsoft à l'adresse suivante (en anglais) :
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/wfp/setup/windows_file_protection_start_page.asp Pour plus d'informations sur Windows Installer et la Protection des fichiers Windows, reportez-vous au site Web de Microsoft à l'adresse suivante (en anglais) :
