Quand les certificats de démarrage sécurisé expirent sur les appareils Windows

Que se passe-t-il si les certificats expirent

Si votre appareil atteint la date d’expiration sans les nouveaux certificats, il démarre et fonctionne normalement. Standard mises à jour Windows continueront à s’installer. Toutefois, l’appareil ne pourra plus recevoir de nouvelles protections de sécurité pour le processus de démarrage précoce. Cela inclut les mises à jour du Gestionnaire de démarrage Windows, des bases de données de démarrage sécurisé et des listes de révocation, ainsi que des correctifs pour les vulnérabilités nouvellement découvertes dans la chaîne de démarrage.

À mesure que de nouvelles menaces apparaissent, un appareil dans cet état expiré devient progressivement moins protégé. Les scénarios qui s’appuient sur l’approbation de démarrage sécurisé (par exemple, le renforcement de BitLocker, l’intégrité du code au niveau du démarrage ou les chargeurs de démarrage tiers et les roMs d’option) peuvent également être affectés s’ils nécessitent une approbation de démarrage sécurisé mise à jour.

Ce qui continue de fonctionner

• L’appareil continue de démarrer normalement.

• Les mises à jour Windows continuent d’être installées, à l’exception des composants de sécurité liés au démarrage qui nécessitent les certificats mis à jour.

• L’utilisation quotidienne des applications, la mise en réseau, la navigation et la plupart des fonctionnalités du système d’exploitation restent inchangées.

Ce qui ne fonctionne plus

• Les nouvelles protections de démarrage sécurisé et de gestionnaire de démarrage ne peuvent pas être appliquées.

• Les correctifs de vulnérabilité pour l’environnement de démarrage précoce, tels que les atténuations de contournement BitLocker ou les révocations de démarrage sécurisé, ne seront pas disponibles.

• Certains composants tiers qui s’appuient sur l’approbation de démarrage sécurisé Microsoft peuvent ne pas être mis à jour s’ils nécessitent des entrées de certificat plus récentes.

Comment rester protégé

La plupart des appareils Windows personnels recevront automatiquement les nouveaux certificats de démarrage sécurisé via des mises à jour gérées par Microsoft. Pour les appareils gérés par un organization, les administrateurs informatiques doivent suivre les instructions de mise à jour des certificats de démarrage sécurisé de Microsoft. Certains appareils peuvent nécessiter une mise à jour du microprogramme OEM pour appliquer correctement les nouveaux certificats. Pour tout appareil, personnel ou géré par organization, contactez votre OEM pour obtenir des informations sur les mises à jour de microprogramme requises, en gardant à l’esprit que ces mises à jour peuvent être disponibles uniquement pour les appareils qui sont encore dans leur période de support. La mise à jour de votre appareil garantit qu’il continue de recevoir les protections complètes que le démarrage sécurisé est conçu pour fournir.

Remarque : Le démarrage sécurisé ne doit pas être désactivé pour contourner l’expiration du certificat. La désactivation du démarrage sécurisé réduit considérablement la protection des appareils, supprime les protections contre les programmes malveillants au niveau du démarrage et peut créer de nouveaux risques de sécurité et de conformité. Le chemin recommandé consiste à vous assurer que votre appareil reçoit les certificats de démarrage sécurisé 2023 mis à jour et toutes les mises à jour requises du microprogramme OEM.