Secure Boot : préparer les secours avant de révoquer les anciens chargeurs
Les mises à jour Windows, les nouveaux certificats et les révocations ne sont pas le même geste. Les administrateurs doivent vérifier firmware et supports de secours avant de durcir le démarrage.
Pour aller plus loin
Image générée · SecuFocus
En bref
L’essentiel
Un Windows mis à jour ne prouve pas, à lui seul, que toutes les révocations Secure Boot prévues par Microsoft ont été appliquées. Si vous gérez un parc, préparez les supports de récupération et les clés BitLocker avant cette intervention : des révocations peuvent empêcher un ancien support de démarrer et ne se retirent pas par un simple formatage. Sur un PC personnel mis à jour automatiquement, la transition des certificats relève d’un autre parcours, géré par Windows Update.
Certificats et révocations répondent à deux questions différentes
La KB5132953, publiée le 22 octobre, décrit l’expiration des certificats Microsoft de 2011 le 19 octobre 2026. Microsoft précise que cette expiration n’arrête pas les ordinateurs existants. En revanche, les anciens chargeurs signés avec l’autorité de 2011 sont figés ; les futurs correctifs du chargeur utilisent Windows UEFI CA 2023. Un appareil qui ne reçoit jamais cette nouvelle autorité peut donc continuer à démarrer sans recevoir ces futurs correctifs de démarrage.
La KB5025885 traite séparément le contournement Secure Boot associé à CVE-2023-24932 et au bootkit BlackLotus. Elle indique que les mises à jour incluent les atténuations, mais que celles-ci ne sont pas activées par défaut. Le scénario qu’elle décrit demande déjà un accès physique ou des privilèges administrateur. Il ne faut pas transformer cette lecture en annonce d’une nouvelle attaque contre tous les PC.
Un PC personnel et un parc administré ne suivent pas la même consigne
Pour la transition des certificats décrite dans KB5132953, Microsoft dit qu’un utilisateur personnel dont le PC reçoit automatiquement Windows Update n’a pas à appliquer les actions de cet article destiné aux professionnels. Cela ne signifie pas que toutes les révocations de KB5025885 sont déjà en place.
Les responsables de postes, serveurs, machines virtuelles et supports d’installation doivent examiner leur propre parcours. Des règles App Control ou des outils de validation qui figent une autorité ou une empreinte de certificat peuvent rejeter des fichiers pourtant reconnus par Windows. Microsoft recommande d’évaluer les changements de politique en mode audit avant de les imposer.
Vérifier le secours avant de changer la confiance du firmware
La KB5025885 demande de tester un appareil représentatif de chaque catégorie avant un déploiement large. Elle signale des limites de firmware et de virtualisation : ne transposez pas une réussite sur un portable à toutes les machines physiques et virtuelles du parc.
Conservez une copie accessible de la clé de récupération BitLocker et préparez les supports USB, d’installation et de restauration qui devront encore démarrer après les révocations. L’avis avertit qu’une fois celles-ci appliquées, elles ne sont pas annulées par le formatage du disque si Secure Boot reste utilisé. Suivez la procédure complète et ses événements de contrôle, pas une commande de registre isolée.
La KB5132953 décrit aussi une transition future des supports Microsoft vers un démarrage signé par l’autorité de 2023. Le script de retour au chargeur figé de 2011 y reste annoncé comme un outil à fournir : cette annonce ne prouve pas qu’il soit déjà disponible pour votre support.
Durcir le prochain démarrage ne nettoie pas une machine compromise
Microsoft présente les atténuations de KB5025885 comme préventives, pas comme un traitement d’une infection existante. Si une compromission est suspectée, faites préserver et examiner les éléments utiles avant de considérer une mise à jour comme une clôture d’incident.
SecuFocus a lu ces deux procédures, sans modifier de firmware, appliquer de révocation ni tester un support. Cette page ne fournit pas une recette universelle et ne recommande pas de désactiver Secure Boot pour éviter la préparation.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- Microsoft KB5025885 : révocations Secure Boot, risques et préparation ↗support.microsoft.com ·
- Microsoft KB5132953 : expiration PCA 2011 et futurs chargeurs de démarrage ↗support.microsoft.com ·
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.