Un mécanisme de confiance au démarrage
Secure Boot est un mécanisme qui sécurise la séquence de démarrage en vérifiant le code exécuté entre la mise sous tension et le lancement du système d'exploitation. Il vise à empêcher des malwares de type bootkits et rootkits de se lancer avant l'initialisation de l'OS.
Cette technologie repose sur des certificats numériques qui vérifient l'authenticité des composants exécutés au démarrage. Ils autorisent l'exécution du code provenant d'éditeurs de confiance (comme le bootloader de Windows) tout en refusant les éléments dont la signature ne correspond à aucun certificat reconnu.
Le problème de l'expiration
Comme tout certificat numérique, ceux-ci ont une durée de validité — ici 15 ans. Or Microsoft a émis une grande partie d'entre eux en 2011. Sans renouvellement, les machines concernées continueront de fonctionner sans panne apparente, mais ne recevront plus les mises à jour de sécurité de leur séquence de démarrage.
Ces machines deviennent alors de plus en plus vulnérables aux rootkits et bootkits, puisqu'elles ne reçoivent plus les listes de révocation ni les correctifs permettant de corriger ces failles avant la fin de l'initialisation de l'OS.
Pour l'éviter, Microsoft a émis de nouveaux certificats « UEFI CA 2023 ». Le renouvellement passe pour la plupart des appareils par une mise à jour Windows Update, sans action de l'utilisateur ; les machines plus anciennes nécessitent une mise à jour du firmware, et les environnements gérés (parc d'entreprise piloté par un Active Directory) requièrent l'intervention des équipes informatiques.
À retenir
Un certificat oublié ne provoque pas de panne visible, mais ouvre silencieusement une brèche dans la sécurité du démarrage. Anticiper ce renouvellement fait partie de la gestion du cycle de vie des éléments de confiance.
Vérifier les certificats de son Secure Boot (PowerShell)
On vérifie d'abord avec Confirm-SecureBootUEFI que le firmware dispose de Secure Boot. On inspecte ensuite la base de données du Secure Boot pour confirmer l'existence du certificat Windows UEFI CA 2023 (résultat booléen), en comparant la base modifiable (db) et la base par défaut du firmware (dbdefault).
Enfin, on consulte la clé de registre HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing, que Windows utilise pour retracer le déploiement : UEFICA2023Status passe à Updated une fois la mise à jour appliquée, WindowsUEFICA2023Capable indique l'éligibilité et UEFICA2023Error reste vide en l'absence d'erreur.
WindowsUEFICA2023Capable — 0 : certificat absent · 1 : présent mais machine non redémarrée · 2 : présent et déployé.