Examen plus approfondi de la base de données à haut niveau de confiance

Classifications de confiance

La base de données à haute confiance regroupe les appareils dans des classifications de confiance qui reflètent l’évaluation actuelle par Microsoft de la préparation des mises à jour de certificat de démarrage sécurisé et sont utilisées pour guider les décisions de déploiement.

• Confiance élevée : Les appareils de ce groupe ont démontré, par des données observées, qu’ils peuvent mettre à jour le microprogramme à l’aide des nouveaux certificats de démarrage sécurisé.

• Temporairement suspendu : Les appareils de ce groupe sont affectés par un problème connu. Pour réduire les risques, les mises à jour des certificats de démarrage sécurisé sont temporairement suspendues pendant que Microsoft et ses partenaires travaillent à une résolution prise en charge. Cela peut nécessiter une mise à jour du microprogramme. Pour plus d’informations, recherchez un événement 1802.

• Non pris en charge - Limitation connue : Les appareils de ce groupe ne prennent pas en charge le chemin de mise à jour du certificat de démarrage sécurisé automatisé en raison des limitations matérielles ou du microprogramme. Aucune résolution automatique prise en charge n’est actuellement disponible pour cette configuration.

• Sous observation - Données supplémentaires nécessaires : Les appareils de ce groupe ne sont pas actuellement bloqués, mais il n’y a pas encore suffisamment de données pour les classer comme étant à haut niveau de confiance. Les mises à jour du certificat de démarrage sécurisé peuvent être différées jusqu’à ce que des données suffisantes soient disponibles.

• Aucune donnée observée - Action requise : Microsoft n’a pas observé cet appareil dans les données de mise à jour du démarrage sécurisé. Par conséquent, les mises à jour automatiques des certificats ne peuvent pas être évaluées pour cet appareil, et une action de l’administrateur est probablement nécessaire. Cette classification n’est pas incluse dans la base de données à haut niveau de confiance et est émise par Windows lorsque l’appareil est introuvable dans la base de données.

Retour au début 

Accès aux données sur GitHub

Microsoft publie une version lisible par l’utilisateur de la base de données haute confiance sur GitHub pour fournir une transparence dans les données utilisées pour évaluer la préparation de la mise à jour du certificat de démarrage sécurisé. Cette version inclut les attributs d’appareil utilisés pour former des compartiments de confiance et est destinée à l’inspection et à l’analyse par les humains. Il n’est pas utilisé directement par la maintenance Windows.

Les données sont disponibles dans le référentiel GitHub Microsoft Secure Boot Objects et peuvent être utiles aux audiences suivantes :

• Administrateurs informatiques et équipes de sécurité : Évaluez la préparation au déploiement du démarrage sécurisé et identifiez les classes d’appareils qui peuvent être éligibles pour les mises à jour de certificat fournies par le biais de mises à jour cumulatives.

• Fabricants d’appareils : Passez en revue la façon dont les configurations d’appareil et de microprogramme sont représentées dans l’écosystème Windows.

• Autres fournisseurs de systèmes d’exploitation, y compris les distributions Linux : Découvrez comment les configurations des appareils et des microprogrammes sont classifiées et, le cas échéant, s’alignent sur l’approche de déploiement progressif de Microsoft.

Les données sont mises à jour deux fois par mois, alignées sur les mises à jour de sécurité mensuelles le deuxième mardi du mois et les mises à jour facultatives de préversion non liées à la sécurité le quatrième mardi du mois. ​​​​​

Retour au début

Données à haut niveau de confiance incluses dans les mises à jour de maintenance

Une version signée de la base de données à haut niveau de confiance est incluse avec les mises à jour cumulatives Windows et est utilisée directement par la maintenance Windows pour évaluer la préparation des mises à jour de certificat de démarrage sécurisé. Ces données sont protégées par l’intégrité et évaluées localement, ce qui permet de prendre des décisions de maintenance même lorsqu’un appareil n’est pas visible par les données de télémétrie Microsoft.

Sur l’appareil, les données sont stockées sous BucketConfidenceData.cab sous :

Cette version intégrée à la maintenance contient une représentation compacte et structurée des compartiments de confiance. Il inclut uniquement les attributs requis pour déterminer l’appartenance au compartiment et la classification de confiance associée. Les métadonnées de version et d’horodatage garantissent que les données applicables les plus récentes sont utilisées. Cette version est optimisée pour la fiabilité, la taille et la sécurité et n’est pas destinée à l’inspection ou à la modification directe.

Retour au début

Réception de mises à jour de base de données à haut niveau de confiance plus fréquemment

Les appareils exécutant Windows 11, version 24H2 ou 25H2 peuvent recevoir des mises à jour de base de données à haute confiance plus fréquemment que la cadence des mises à jour de sécurité mensuelles. En plus des mises à jour de sécurité mensuelles, ces versions reçoivent également des mises à jour de préversion non liées à la sécurité facultatives, qui peuvent inclure des données de confiance plus récentes. L’installation de ces mises à jour permet aux clients de rester au plus près des données de confiance les plus récentes tout en restant dans le cadre d’une maintenance Windows standard.

Retour au début

Réutilisation des données à haut niveau de confiance entre les versions de Windows

Dans certains environnements, les administrateurs peuvent choisir de déployer la base de données à haute confiance sur les versions windows prises en charge antérieures à Windows 11, version 24H2 ou 25H2.

Dans ce scénario, la base de données provient de Windows 11, version 24H2 ou 25H2, qui reçoivent des données de confiance plus récentes via des mises à jour facultatives de préversion non liées à la sécurité. Le déploiement de cette base de données permet d’évaluer des évaluations de confiance plus récentes sur les anciennes versions de Windows prises en charge plus tôt que les mises à jour de sécurité mensuelles uniquement. Cela ne change pas la façon dont la confiance est calculée ou la façon dont les mises à jour de certificat de démarrage sécurisé sont appliquées.

Retour au début

Déploiement de la base de données à haute confiance sur d’autres versions de Windows

Pour déployer BucketConfidenceData.cab, utilisez un processus aligné sur les outils et pratiques de déploiement de votre organization.

1. Obtenez BucketConfidenceData.cab à partir d’un système Windows 11, version 24H2 ou 25H2 exécutant les dernières mises à jour non liées à la sécurité. Le fichier se trouve à l’emplacement suivant :

   %SystemRoot %\System32\SecureBootUpdates\

2. Sur les appareils cibles, en tant qu’administrateur, créez le répertoire suivant s’il n’existe pas déjà :
   ​​​​​​​

   %ProgramData %\Microsoft\Windows\SecureBootUpdates

3. Déployez BucketConfidenceData.cab dans ce répertoire.

La prochaine fois que la tâche planifiée s’exécute, généralement dans les 12 heures, Windows utilise ce fichier s’il est plus récent que la version incluse dans les mises à jour de maintenance.

Retour au début

Comment Windows sélectionne les données de confiance

Un appareil peut contenir plusieurs copies de la base de données à haute confiance. Pour garantir un comportement cohérent, Windows applique un modèle de priorité défini lors de l’évaluation des données de confiance.

Lorsqu’un fichier de données de confiance signé est inclus avec une mise à jour cumulative, cette copie de maintenance est utilisée par défaut. Si plusieurs copies sont présentes, Windows sélectionne la version applicable la plus récente en fonction des métadonnées de version et d’horodatage.

Retour au début