Microsoft vient d’admettre un souci sérieux lié aux nouveaux certificats Secure Boot déployés sous Windows 11. Le problème touche principalement les PC avec des firmwares UEFI anciens ou mal compatibles. Le déploiement a été suspendu sur certaines machines pour éviter des blocages ou des pertes de données.
Les mises à jour des certificats Secure Boot sont indispensables pour garantir la sécurité au démarrage. Mais ici la complexité réside dans la gestion de ces certificats au niveau du firmware, souvent sous-estimée. On se retrouve face à une situation qui force à une vigilance accrue, surtout sur des PC où la fiabilité est cruciale.
Microsoft bloque temporairement l’installation des nouveaux certificats Secure Boot
Le souci dévoilé concerne l’application des certificats de Secure Boot 2023 sur certains PC Windows 11. Microsoft a décidé de suspendre le déploiement sur les machines à risque.
L’appli Sécurité Windows peut désormais signaler si un PC appartient à ce fameux groupe affecté. Quand c’est le cas, la mise à jour est volontairement bloquée. Il s’agit d’éviter des démarrages ratés ou des écrans de récupération intempestifs. Microsoft travaille en collaboration avec les constructeurs pour préparer les correctifs nécessaires.
Le rôle clé du firmware UEFI dans cette incompatibilité
Les certificats Secure Boot ne sont pas juste des fichiers Windows. Ils sont stockés et gérés dans le firmware UEFI. Ce dernier contrôle la chaîne de confiance au démarrage, validant le chargeur et autres composants.
Or, certaines versions d’UEFI peinent à gérer la mise à jour des certificats 2023. Le firmware peut refuser ou mal inscrire ces nouvelles clés. La solution passe souvent par une mise à jour du BIOS/UEFI, mais ce n’est pas toujours dispo, surtout sur des machines anciennes.
BitLocker et les problèmes liés à la migration des certificats
Chez HP, par exemple, plusieurs PC ont rencontré des conflits avec BitLocker durant cette transition. BitLocker surveille l’intégrité des clés Secure Boot pour s’assurer qu’aucune modification douteuse ne survient.
Quand une mise à jour des certificats se produit, BitLocker peut interpréter cela comme une modification de la chaîne de démarrage et demander la clé de récupération. C’est une mesure de sécurité mais aussi une source de paniques inutiles si on ne s’y attend pas.
Quelles conséquences pour les utilisateurs et administrateurs ?
Concrètement, les PC sous Windows 11 avec des firmwares non compatibles ne verront pas ces certificats mis à jour. Leur démarrage reste possible et les protections existantes fonctionnent toujours. Mais leur sécurité au démarrage finira par être moins fiable à terme.
En effet, les futures mises à jour de Windows Boot Manager ou les listes de révocations pourront nécessiter ces nouveaux certificats. Ne pas les avoir expose alors à des risques accrus de bootkits ou de composants compromis. C’est un choix forcé entre disponibilité et sécurité renforcée.
Vérifier sa situation et les bonnes pratiques à adopter
Il est désormais possible de contrôler son statut dans Sécurité Windows > Sécurité de l’appareil > Démarrage sécurisé. Si une incompatibilité est détectée, il faut éviter de forcer la mise à jour ou de désactiver Secure Boot !
Mieux vaut garder son BIOS à jour et attendre les correctifs constructeurs. Les tentatives manuelles risquent de provoquer des blocages ou pertes d’accès. La patience est pénible, mais la sécurité ne s’improvise pas sur un PC critique.
Source: www.clubic.com
Commentaires
Laisser un commentaire