Evolution a travers les versions¶

Ce que vous allez apprendre¶

• L'histoire complete du registre, de Windows 3.1 a Windows 11
• Les changements majeurs a chaque generation : format, structure, fonctionnalites
• L'evolution du format binaire des ruches (versions majeures/mineures)
• Les differences entre editions desktop et serveur
• Comment Windows preserve le registre lors des mises a niveau
• Les cles disparues et les fonctionnalites obsoletes
• L'avenir du registre face aux nouvelles approches de configuration

Chronologie : 30 ans d'evolution¶

timeline
    title Evolution du registre Windows
    1992 : Windows 3.1
         : REG.DAT unique
         : OLE uniquement
    1995 : Windows 95
         : SYSTEM.DAT + USER.DAT
         : Multi-fichier
    1996 : Windows NT 4.0
         : SAM, SECURITY, SOFTWARE, SYSTEM
         : Architecture moderne
    2000 : Windows 2000
         : Active Directory
         : Group Policy
    2001 : Windows XP
         : System Restore
         : RegBack
    2006 : Windows Vista
         : Virtualisation UAC
         : TxR transactionnel
    2009 : Windows 7
         : Maintenance arriere-plan
         : Format optimise
    2012 : Windows 8
         : Hybrid Boot
         : Demarrage rapide
    2015 : Windows 10
         : Evolution continue
         : Settings vs Registry
    2021 : Windows 11
         : Nouvelles cles UI
         : Integration cloud

Windows 3.1 (1992) : la naissance¶

Le tout premier registre etait d'une simplicite extreme.

HKEY_CLASSES_ROOT
├── .doc = Word.Document
├── .xls = Excel.Sheet
└── Word.Document
    └── shell
        └── open
            └── command = C:\WINWORD\WINWORD.EXE %1

Il n'y avait qu'une seule ruche : HKEY_CLASSES_ROOT. Pas de configuration systeme, pas de profils utilisateurs, pas de securite.

L'editeur etait REGEDIT.EXE, deja present mais avec une interface tres basique.

Windows 95/98/ME (1995-2000) : le registre multi-fichier¶

Avec Windows 95, le registre est devenu un composant central du systeme.

Deux fichiers, deux roles¶

Les branches sont apparues¶

HKEY_CLASSES_ROOT     ← Associations de fichiers (herite de 3.1)
HKEY_CURRENT_USER     ← NOUVEAU : preferences de l'utilisateur courant
HKEY_LOCAL_MACHINE    ← NOUVEAU : configuration de la machine
HKEY_USERS            ← NOUVEAU : tous les profils charges
HKEY_CURRENT_CONFIG   ← NOUVEAU : profil materiel actif
HKEY_DYN_DATA         ← NOUVEAU : donnees dynamiques (performances, Plug and Play)

Systeme de sauvegarde automatique¶

Windows 95 creait automatiquement des copies de secours :

Windows ME a ajoute un registre de restauration via scanreg :

:: Windows 98/ME : restaurer le registre depuis une sauvegarde
scanreg /restore

L'utilitaire liste les sauvegardes disponibles et propose un retour a une copie precedente.

Limites techniques¶

Windows NT 3.1 a 4.0 (1993-1996) : l'architecture moderne¶

C'est ici que nait le registre que nous connaissons aujourd'hui.

Windows NT a ete concu en partant de zero par Dave Cutler et son equipe. Le registre NT est fondamentalement different de celui de Windows 95 :

Les cinq ruches fondamentales¶

Emplacement : %SystemRoot%\System32\config\

Chaque utilisateur possede egalement un fichier NTUSER.DAT dans son profil.

Innovations majeures¶

Format binaire : version 1.3¶

Le format initial des ruches NT utilisait la signature regf avec :

• Version majeure : 1
• Version mineure : 3
• Taille de page : 4 096 octets (un bin)
• Cellules signees (negatif = alloue, positif = libre)

Ce format de base est reste compatible avec toutes les versions ulterieures.

Windows 2000 (2000) : Active Directory et strategie de groupe¶

Windows 2000 n'a pas change la structure du registre, mais a transforme sa gestion en environnement entreprise.

Active Directory et strategie de groupe (GPO)¶

Group Policy Preferences¶

Les preferences de strategie de groupe permettent de creer, modifier ou supprimer des valeurs du registre sans les "tatouer" (elles persistent meme si la GPO est retiree).

Autres ajouts¶

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer  ← Windows Installer (MSI)
HKLM\SOFTWARE\Microsoft\Cryptography                      ← Infrastructure PKI
HKLM\SYSTEM\CurrentControlSet\Services\DNS                 ← Service DNS integre

Windows XP (2001) : restauration systeme et protection¶

System Restore et le registre¶

Windows XP a introduit la Restauration du systeme (System Restore) qui sauvegarde automatiquement les ruches du registre dans les points de restauration.

%SystemRoot%\System32\Restore

Les instantanes du registre sont stockes avec chaque point de restauration, permettant de revenir a un etat anterieur.

RegBack : sauvegarde automatique¶

%SystemRoot%\System32\config\RegBack\

Windows XP a introduit une tache planifiee qui copie regulierement les ruches dans ce dossier :

dir %SystemRoot%\System32\config\RegBack

 Directory of C:\Windows\System32\config\RegBack

03/10/2024  03:00 AM      12,582,912 DEFAULT
03/10/2024  03:00 AM      12,582,912 SAM
03/10/2024  03:00 AM      12,582,912 SECURITY
03/10/2024  03:00 AM      67,108,864 SOFTWARE
03/10/2024  03:00 AM      16,777,216 SYSTEM

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Configuration Manager
EnablePeriodicBackup = 1 (REG_DWORD)

Windows File Protection (WFP/SFC)¶

Le registre suit les fichiers systeme proteges :

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SFCDisable

Last Known Good Configuration¶

Amelioration du mecanisme de "derniere bonne configuration connue" :

HKLM\SYSTEM\Select
    Current   : 1
    Default   : 1
    LastKnownGood : 2
    Failed    : 0

Windows garde plusieurs jeux de configuration (ControlSet001, ControlSet002) et peut revenir au dernier fonctionnel.

Windows Vista (2006) : trois revolutions¶

Windows Vista a apporte les trois plus grands changements au registre depuis Windows NT.

1. Virtualisation UAC du registre¶

Pour assurer la compatibilite avec les anciennes applications qui ecrivent dans HKLM\SOFTWARE sans privileges administrateur :

graph TD
    A["Application legacy<br/>sans privileges admin"] -->|Tente d'ecrire dans<br/>HKLM\SOFTWARE\MonApp| B{"Ecriture autorisee ?"}
    B -->|Non : acces refuse| C["Virtualisation activee"]
    C --> D["Redirige vers<br/>HKCU\Software\Classes\VirtualStore\MACHINE\SOFTWARE\MonApp"]
    B -->|Oui : processus eleve| E["Ecriture directe dans<br/>HKLM\SOFTWARE\MonApp"]

2. Registre transactionnel (KTM/TxR)¶

Windows Vista a introduit le Kernel Transaction Manager (KTM) et les Transacted Registry (TxR) pour permettre des modifications atomiques du registre :

C:\Windows\System32\config\TxR\  ← Fichiers de transactions

Les journaux de transactions sont passes a un systeme dual (.LOG1 + .LOG2) pour plus de robustesse.

3. Associations de fichiers par utilisateur¶

Avant Vista, les associations de fichiers etaient globales. Depuis Vista, un utilisateur peut surcharger les associations machine :

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.pdf\UserChoice
    ProgId = Acrobat.Document.DC

Cette cle UserChoice a priorite sur HKCR\.pdf.

Windows 7 (2009) : optimisations¶

Windows 7 n'a pas apporte de revolution architecturale, mais des ameliorations incrementales :

Maintenance en arriere-plan¶

Le Configuration Manager effectue desormais des optimisations automatiques :

Ces operations sont invisibles et se produisent lors des periodes d'inactivite.

Nouvelles cles notables¶

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\HomeGroup  ← Groupe residentiel
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Taskband  ← Barre des taches repensee
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability  ← Moniteur de fiabilite

Version mineure du format¶

Windows 7 conserve la version mineure 6 (format 1.6), introduite avec Vista, et s'appuie sur le mecanisme de journalisation et de recuperation deja modernise sur cette generation.

Windows 8 / 8.1 (2012-2013) : demarrage hybride¶

Hybrid Boot (demarrage rapide)¶

Le changement majeur est le Fast Startup qui affecte directement le registre :

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Power
    HiberbootEnabled = 1

Au lieu d'un arret complet, Windows 8 effectue une hibernation partielle du noyau. Les ruches SYSTEM et SOFTWARE sont sauvegardees en memoire dans le fichier hiberfil.sys, ce qui accelere le demarrage.

Interface moderne et nouvelles cles¶

HKCU\Software\Microsoft\Windows\CurrentVersion\ImmersiveShell  ← Interface Metro/Modern UI
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\AppModel        ← Applications du Store
HKCU\Software\Microsoft\Windows\CurrentVersion\CloudStore      ← Synchronisation cloud

Optimisations du format¶

Windows 10 (2015-2021) : evolution continue¶

Windows 10 a introduit un modele de mises a jour semestrielles. Le registre a evolue progressivement avec chaque version.

1507 - 1607 : la base¶

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate  ← Windows Update revu
HKCU\Software\Microsoft\Windows\CurrentVersion\Themes\Personalize
    AppsUseLightTheme = 0  ← Theme sombre (nouveau)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\DataCollection
    AllowTelemetry = 1  ← Telemetrie (tres controverse)

1703 (Creators Update) : barre d'adresse dans Regedit¶

Enfin ! Regedit obtient une barre d'adresse permettant de coller directement un chemin :

HKCU\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit
    View = ...  ← Nouvelles options d'affichage

1803 (April 2018 Update) : RegBack desactive¶

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Configuration Manager
    EnablePeriodicBackup = 0  ← RegBack desactive par defaut

Le dossier RegBack existe toujours, mais les fichiers sont vides (0 octet).

1903+ : Settings vs Registry¶

Windows 10 a commence a deplacer certains parametres hors du registre :

graph LR
    A["Registre traditionnel<br/>HKLM/HKCU"] --> B["Parametre systeme"]
    C["Settings app<br/>settings.dat"] --> B
    D["MDM / CSP<br/>PolicyManager"] --> B

Certains parametres de l'application Parametres (Settings) sont stockes dans des fichiers settings.dat (format binaire proprietaire) plutot que dans le registre.

%LocalAppData%\Packages\windows.immersivecontrolpanel_cw5n1h2txyewy\Settings\settings.dat

20H2+ : WDAC et politiques de securite¶

HKLM\SYSTEM\CurrentControlSet\Control\CI   ← Code Integrity / WDAC
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    EnableVirtualizationBasedSecurity = 1
    RequirePlatformSecurityFeatures = 3

Recapitulatif des changements par version¶

Windows 11 (2021+) : interface repensee¶

Windows 11 a introduit de nombreuses nouvelles cles liees a son interface utilisateur revisitee.

Alignement de la barre des taches¶

; Center (default)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"TaskbarAl"=dword:00000001

; Left alignment
[HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"TaskbarAl"=dword:00000000

Snap Layouts¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    EnableSnapAssistFlyout = 1    ; Snap Layouts au survol du bouton Agrandir
    EnableSnapBar = 1             ; Barre de Snap en haut de l'ecran
    SnapAssist = 1                ; Assistance au positionnement

Widgets¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    TaskbarDa = 1    ; Afficher les widgets dans la barre des taches (1 = oui, 0 = non)

Teams integration (versions initiales)¶

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
    TaskbarMn = 1    ; Icone Chat/Teams dans la barre des taches

Menus contextuels¶

; Restore Windows 10 classic context menu
[HKCU\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2}\InprocServer32]
@=""

# Restore classic context menu
New-Item -Path "HKCU:\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2}\InprocServer32" -Value "" -Force
# Restart Explorer for the change to take effect
Stop-Process -Name explorer -Force

Le menu contextuel classique revient apres redemarrage d'Explorer.

Tableau des nouvelles cles Windows 11¶

Windows Server 2025¶

Windows Server 2025 partage la base technique Windows 11 24H2 : build 26100, canal LTSC, disponibilite generale Microsoft au 1er novembre 2024. C'est la premiere version Server alignee sur la generation Windows 11, alors que Server 2019 et Server 2022 etaient encore dans la lignee Windows 10.

SMB over QUIC¶

SMB over QUIC transporte SMB 3.1.1 dans un tunnel QUIC chiffre via UDP 443. Le cas d'usage principal est l'acces distant a des partages de fichiers sans exposer TCP 445 et sans VPN traditionnel.

HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters

Chemins GPO :

• Configuration ordinateur > Modeles d'administration > Reseau > Serveur Lanman > Activer SMB over QUIC
• Configuration ordinateur > Modeles d'administration > Reseau > Station de travail Lanman > Activer SMB over QUIC

Get-SmbServerConfiguration | Select-Object EnableSMBQUIC
Get-SmbClientConfiguration | Select-Object EnableSMBQUIC

Hotpatching¶

Hotpatching applique certains correctifs de securite sans redemarrage. Le pilotage n'est pas une simple bascule registre : il depend de l'edition, de l'abonnement et de l'enrolement dans le service de gestion Microsoft.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Orchestrator\HotPatch

Prerequis a valider : Azure Arc, abonnement Hotpatch, Server 2025 Datacenter Azure Edition ou scenario Server 2025 Standard gere via Azure Arc, et correctif qualifie par Microsoft pour hotpatch.

SMB NTLM blocking et rate limiter¶

Server 2025 renforce le durcissement SMB autour de NTLM. Le rate limiter ralentit les tentatives d'authentification NTLM pour reduire l'interet du brute force.

HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Chemin GPO client : Configuration ordinateur > Modeles d'administration > Reseau > Station de travail Lanman > Bloquer NTLM

OpenSSH natif¶

OpenSSH Server est inclus comme fonctionnalite Windows et devient un choix naturel pour les environnements hybrides. Le service a surveiller est sshd.

HKLM\SOFTWARE\OpenSSH

Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Set-Service -Name sshd -StartupType Automatic
Start-Service sshd

Voir aussi le chapitre sur PowerShell remoting pour le choix WinRM vs SSH.

dMSA (Delegated Managed Service Accounts)¶

Les dMSA etendent le modele gMSA avec une delegation plus fine. Il n'y a pas de cle registre directe a configurer pour creer un compte dMSA : le pilotage se fait via Active Directory et PowerShell.

New-ADServiceAccount -Name "svc-app-dmsa" -DelegatedManagedServiceAccount

Editions serveur : differences cles¶

Les editions Windows Server partagent le meme format de registre, mais leur configuration par defaut differe significativement.

Cles specifiques aux serveurs¶

HKLM\SYSTEM\CurrentControlSet\Control\ProductOptions
    ProductType = "ServerNT"          ; Server standard
    ProductType = "LanmanNT"          ; Domain controller

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    InstallationType = "Server"       ; vs "Client" pour les editions desktop
    EditionID = "ServerStandard"      ; ou "ServerDatacenter"

Differences de configuration par defaut¶

Server Core : registre minimal¶

Server Core n'a pas d'Explorateur Windows ni d'interface graphique. De nombreuses cles liees au shell (Explorer, Themes, Desktop) sont absentes ou vides.

# Check if running Server Core
$installType = (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion").InstallationType
if ($installType -eq "Server Core") {
    Write-Output "Server Core detected - minimal registry"
}

Server Core detected - minimal registry

Format des ruches : versions majeures et mineures¶

Le format binaire des ruches a evolue au fil des versions de Windows.

Verifier la version d'une ruche¶

import struct

# Read the hive header
with open("C:/Windows/System32/config/SYSTEM", "rb") as f:
    header = f.read(4096)

signature = header[0:4]
major_version = struct.unpack_from("<I", header, 0x14)[0]
minor_version = struct.unpack_from("<I", header, 0x18)[0]

print(f"Signature: {signature}")
print(f"Version: {major_version}.{minor_version}")

Signature: b'regf'
Version: 1.6

Migration : preservation du registre lors des mises a niveau¶

Comment Windows preserve le registre¶

Lors d'une mise a niveau majeure (ex : Windows 10 vers Windows 11), Windows suit un processus en plusieurs etapes :

graph TD
    A["1. Inventaire<br/>Scanner le registre existant"] --> B["2. Sauvegarde<br/>Copier les ruches dans Windows.old"]
    B --> C["3. Migration<br/>Appliquer les transformations"]
    C --> D["4. Fusion<br/>Integrer les nouvelles cles"]
    D --> E["5. Nettoyage<br/>Supprimer les cles obsoletes"]
    E --> F["6. Verification<br/>Valider la coherence"]

Dossier Windows.old¶

Apres une mise a niveau, les anciennes ruches sont conservees dans :

C:\Windows.old\Windows\System32\config\

Transformations appliquees¶

Les regles de migration sont definies dans des fichiers manifest (.man) dans le dossier d'installation de Windows.

Fonctionnalites obsoletes et traces residuelles¶

De nombreuses fonctionnalites disparues laissent des vestiges dans le registre :

L'avenir du registre¶

Le registre est-il en voie de disparition ?¶

Plusieurs signaux suggerent une diversification des mecanismes de configuration :

Ce qui pourrait changer¶

graph TD
    A["Aujourd'hui<br/>Registre = source de verite"] --> B["Demain ?<br/>Registre = cache local"]
    B --> C["Cloud = source de verite<br/>Azure AD / Intune"]
    B --> D["Registre virtualise<br/>Par application"]
    B --> E["Format modernise ?<br/>JSON/SQLite"]

Windows evolue vers un modele ou le registre pourrait devenir un cache local d'une configuration geree dans le cloud. Mais pour les annees a venir, connaitre le registre reste une competence indispensable pour tout professionnel Windows.