Comment mettre à jour les certificats Windows Secure Boot

À propos de Secure Boot

Secure Boot applique une chaîne de confiance en vérifiant les signatures à l’aide des certificats stockés dans le firmware (DB/KEK/PK). L’article d’origine indique que les certificats Microsoft UEFI CA de 2011 commencent à expirer en juin 2026 et que les systèmes sans certificats de remplacement pourraient perdre des protections au démarrage. Cette date provient de la source et ne constitue pas une vérification indépendante du déploiement actuel.

Déploiement décrit par Microsoft

La source décrit un déploiement progressif des certificats Windows UEFI CA 2023 par Windows Update et des contrôles de compatibilité, avec recours au firmware OEM si nécessaire. Elle indique que la plupart des appareils Windows 11 pris en charge devraient recevoir la mise à jour automatiquement ; certains appareils plus anciens pourraient nécessiter un firmware OEM ou un déploiement manuel.

Vérifier la nouvelle CA dans la DB active

Exécutez PowerShell en tant qu’administrateur :

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Si la commande renvoie True, la CA est présente dans la DB active.

Inventaire des appareils

L’article propose également un script PowerShell pour vérifier l’état Secure Boot et la présence de la CA sur plusieurs appareils. Get-SecureBootUEFI est l’applet de commande prise en charge pour lire les variables UEFI ; l’exécution distante nécessite WinRM et des droits administrateur. Testez d’abord sur un petit groupe.

Options de mise à jour

• Windows Update : maintenez le service à jour afin de recevoir les certificats destinés aux appareils admissibles.
• Firmware OEM : si Windows Update ne peut pas écrire la nouvelle DB/KEK dans le firmware, demandez une mise à jour UEFI au fabricant.
• Déploiement en entreprise : Group Policy, des scripts PowerShell ou Windows Configuration Service (WinCS) peuvent distribuer les mises à jour aux appareils joints au domaine. Testez en laboratoire avant le déploiement général.

GPO, WinCS et Intune

1. Vérifiez que les appareils utilisent des versions Windows prises en charge et disposent de la télémétrie/diagnostic requis ; coordonnez le firmware OEM pour les appareils qui bloquent les écritures DB.
2. Pour Active Directory sur site, créez une GPO sous Computer Configuration → Administrative Templates → Windows Components → Secure Boot.
3. Activez Enable Secure Boot certificate updates et procédez par étapes : test, pilote, généralisation.
4. Vous pouvez également utiliser Windows Configuration Service (WinCS) ou le profil Intune Settings Catalog publié par Microsoft pour intégrer les appareils au déploiement et recueillir la télémétrie.

Tests, surveillance et restauration

• Testez sur du matériel représentatif et des machines virtuelles ; vérifiez Has2023CA et consultez les journaux Secure Boot / TPM-WMI dans Event Viewer.
• Espace ESP : certaines mises à jour échouent si EFI System Partition manque d’espace libre ; consultez l’OEM si nécessaire.
• Restauration : documentez les procédures de récupération du firmware et du système. Les changements GPO sont réversibles, mais les écritures DB du firmware peuvent être irréversibles sur certaines plateformes.

Dépannage

Pendant le déploiement, consultez Event Viewer pour les événements Secure Boot et TPM-WMI. Si un appareil n’accepte pas la nouvelle CA, vérifiez ses paramètres Secure Boot et contactez l’OEM.