Microsoft : le dernier certificat Secure Boot de 2011 a expiré le 19 octobre
Microsoft a rappelé que le certificat Microsoft Windows Production PCA 2011, utilisé pour signer le chargeur de démarrage de Windows, est arrivé à expiration le 19 octobre 2026. Il s’agit de la dernière échéance majeure du plan de transition de l’entreprise vers les nouveaux certificats Secure Boot. Deux autres certificats de 2011 avaient déjà expiré en juin.
Les ordinateurs continueront à démarrer et à fonctionner normalement, et les mises à jour habituelles de Windows seront toujours installées. Toutefois, les appareils dépourvus des certificats de 2023 ne pourront plus recevoir de nouvelles protections pour les premières étapes du démarrage. Cela concerne les mises à jour du gestionnaire de démarrage, des bases de données Secure Boot et des listes de révocation, ainsi que les correctifs des nouvelles vulnérabilités de la chaîne de démarrage. Le bootkit BlackLotus illustre le type de menace contre lequel ces listes protègent : découvert en 2023, il contournait Secure Boot même sur des systèmes Windows 11 entièrement à jour.
Secure Boot est une fonction du micrologiciel UEFI qui vérifie, avant le lancement de l’ordinateur, les signatures numériques des composants de démarrage, des pilotes jusqu’au système d’exploitation. Jusqu’ici, les appareils faisaient confiance aux certificats Microsoft de 2011 ; l’entreprise les remplace désormais par ceux de 2023. Le certificat KEK CA 2011 (expiré le 24 juin) est remplacé par KEK 2K CA 2023. Le certificat UEFI CA 2011 (expiré le 27 juin) est remplacé par UEFI CA 2023 et Option ROM UEFI CA 2023. Le certificat Windows Production PCA 2011 (expiré le 19 octobre) est remplacé par Windows UEFI CA 2023.
Les nouveaux certificats sont distribués via Windows Update et, dans de nombreux cas, aucune action n’est requise de la part de l’utilisateur. Il faut disposer d’une version de Windows prise en charge, de mises à jour non suspendues et de Secure Boot activé. L’état de la fonction s’affiche dans le programme Informations système (msinfo32). Depuis avril, Windows 11 affiche aussi l’état des certificats dans Sécurité Windows, sur la page Sécurité de l’appareil, à la rubrique Démarrage sécurisé. Les messages possibles sont les suivants : toutes les mises à jour requises sont appliquées, configuration de confiance au démarrage obsolète (le système la mettra à jour seul), concerné par un problème connu (mise à jour suspendue jusqu’à la correction), limitations matérielles ou du micrologiciel (l’aide du fabricant est nécessaire), réception des mises à jour impossible (un certificat expiré reste utilisé). Les ordinateurs sous Windows 10 ne reçoivent les certificats que dans le cadre du programme de mises à jour de sécurité étendues ESU.
En cas d’avertissement jaune ou rouge, il est conseillé de consulter la page d’assistance du fabricant de l’appareil : Dell, HP, Lenovo, Asus et Acer proposent des rubriques consacrées aux mises à jour du BIOS. Avant l’installation, il convient de sauvegarder la clé de récupération BitLocker, car certaines mises à jour du BIOS de HP publiées en avril ont provoqué des boucles de récupération. Il n’est pas recommandé de désactiver Secure Boot pour contourner le problème. Si la fonction est réactivée plus tard alors que le micrologiciel ne fait confiance qu’au certificat de 2011, l’ordinateur peut ne plus démarrer. La réinitialisation du BIOS aux paramètres d’usine présente un risque comparable si ceux-ci ne contiennent pas les certificats de 2023. Par ailleurs, Dell ne publiera pas de mises à jour du BIOS pour les plateformes dont la période de support s’est achevée avant le 1er janvier 2026. En mars, des problèmes de transition étaient aussi apparus sur certaines cartes ASUS, MSI et ASRock.
Le déploiement de la mise à jour se fait par étapes. Le paquet KB5124008 du 8 septembre a ajouté des données permettant d’identifier les appareils sur lesquels la mise à jour a de fortes chances de réussir, ce qui a élargi la couverture. Les ordinateurs sont regroupés selon leur matériel et leur micrologiciel, et un groupe ne reçoit les certificats automatiquement qu’après une installation réussie sur des appareils similaires. Microsoft met à jour cette base deux fois par mois. Même un ordinateur resté plusieurs mois sans accès à Internet recevra les certificats une fois la connexion rétablie.
Le certificat PCA 2011 servait aussi à signer des fichiers Windows sans lien avec le démarrage, c’est pourquoi l’entreprise passe à Windows Production PCA 2026. Les versions Release Preview 26100.9539 et 26200.9539, publiées le 10 septembre, sont déjà signées avec ce certificat. Il est recommandé aux développeurs de ne pas lier les vérifications de leurs applications à des certificats Secure Boot précis. L’installation d’une seule mise à jour ne signifie pas que la transition est terminée : le micrologiciel peut nécessiter plusieurs redémarrages. Un appareil n’est considéré comme entièrement à jour qu’une fois les certificats de 2023 et le nouveau gestionnaire de démarrage installés. Il faut donc se fier à la coche verte affichée dans la section du démarrage sécurisé.