Guide de déploiement d’entreprise pour CVE-2023-24932

Nous avons divisé le déploiement en plusieurs étapes qui peuvent être réalisées sur un chronologie qui fonctionne pour votre organization. Vous devez vous familiariser avec ces étapes. Une fois que vous avez bien compris les étapes, vous devez réfléchir à leur fonctionnement dans votre environnement et préparer des plans de déploiement qui fonctionnent pour votre entreprise sur votre chronologie.

L’ajout du nouveau certificat Windows UEFI CA 2023 et la non-confiance au certificat Microsoft Windows Production PCA 2011 nécessitent la coopération du microprogramme de l’appareil. Étant donné qu’il existe une grande combinaison de matériel et de microprogramme d’appareil, et que Microsoft n’est pas en mesure de tester toutes les combinaisons, nous vous encourageons à tester des appareils représentatifs dans votre environnement avant de procéder à un déploiement à grande échelle. Nous vous recommandons de tester au moins un appareil de chaque type utilisé dans votre organization. Certains problèmes d’appareil connus qui bloquent ces atténuations sont documentés dans KB5025885 : Comment gérer les révocations du gestionnaire de démarrage Windows pour les modifications de démarrage sécurisé associées à CVE-2023-24932. Si vous détectez un problème de microprogramme d’appareil non répertorié dans la section Problèmes connus , contactez votre fournisseur OEM pour résoudre le problème.

Étant donné que ce document fait référence à plusieurs certificats différents, ils sont présentés dans le tableau suivant pour faciliter la référence et la clarté :

Anciennes autorités de certification 2011	Nouvelles autorités de certification 2023 (expire en 2038)	Fonction
Microsoft Corporation KEK CA 2011 (expire en juillet 2026)	Microsoft Corporation KEK CA 2023	Signe les mises à jour de base de données et DBX
Microsoft Windows Production PCA 2011 (PCA2011) (expire en octobre 2026)	Windows UEFI CA 2023 (PCA2023)	Signe le chargeur de démarrage Windows
Microsoft Corporation UEFI CA 2011 (expire en juillet 2026)	Microsoft UEFI CA 2023 et Microsoft Option ROM UEFI CA 2023	Signe des chargeurs de démarrage tiers et des roMs d’option

Quatre atténuations doivent être appliquées pour se protéger contre les attaques décrites dans CVE-2023-24932 :

• Atténuation 1 : Installer la définition de certificat (PCA2023) mise à jour sur la base de données

• Atténuation 2 :Mettre à jour le gestionnaire de démarrage sur votre appareil

• Atténuation 3 :Activer la révocation (PCA2011)

• Atténuation 4 :Appliquer la mise à jour SVN au microprogramme

Ces quatre atténuations peuvent être appliquées manuellement à chacun des appareils de test en suivant les instructions décrites dans les instructions de déploiement d’atténuation de KB5025885 : Comment gérer les révocations du gestionnaire de démarrage Windows pour les modifications de démarrage sécurisé associées à CVE-2023-24932, ou en suivant les instructions de ce document. Les quatre atténuations s’appuient sur le microprogramme pour fonctionner correctement.

Comprendre les risques suivants vous aidera pendant votre processus de planification.

Problèmes de microprogramme : Chaque appareil dispose d’un microprogramme fourni par le fabricant de l’appareil. Pour les opérations de déploiement décrites dans ce document, le microprogramme doit être en mesure d’accepter et de traiter les mises à jour de la base de données de démarrage sécurisé (base de données de signature) et DE DBX (base de données de signature interdite). En outre, le microprogramme est chargé de valider la signature ou les applications de démarrage, y compris le gestionnaire de démarrage Windows. Le microprogramme de l’appareil est un logiciel et, comme tout logiciel, peut présenter des défauts, c’est pourquoi il est important de tester ces opérations avant de les déployer à grande échelle.

Microsoft teste en permanence de nombreuses combinaisons d’appareils/microprogrammes, en commençant par les appareils au sein des laboratoires et des bureaux Microsoft, et Microsoft travaille avec les oem pour tester leurs appareils. Presque tous les appareils testés ont réussi sans problème. Dans quelques cas, nous avons rencontré des problèmes avec le microprogramme qui ne gère pas correctement les mises à jour et nous travaillons avec les fabricants OEM pour résoudre les problèmes dont nous sommes conscients.

Installez le support :En appliquant l’atténuation 3 et l’atténuation 4 décrites plus loin dans ce document, les supports d’installation Windows existants ne seront plus démarrables tant que le média n’aura pas mis à jour le gestionnaire de démarrage. Les atténuations décrites dans ce document empêchent les anciens gestionnaires de démarrage vulnérables de s’exécuter en ne les faisant pas confiance dans le microprogramme. Cela empêche un attaquant de restaurer le gestionnaire de démarrage système vers une version précédente et d’exploiter les vulnérabilités présentes dans les versions antérieures. Le blocage de ces gestionnaires de démarrage vulnérables ne doit avoir aucun impact sur le système en cours d’exécution. Toutefois, cela empêchera tout média de démarrage de démarrer jusqu’à ce que les gestionnaires de démarrage sur le média soient mis à jour. Cela inclut les images ISO, les lecteurs USB de démarrage et le démarrage réseau (démarrage PxE et HTTP).

• Atténuation 1 : Installer les définitions de certificat mises à jour sur la base de données
  
  Ajoute le nouveau certificat Windows UEFI CA 2023 à la base de données de signature de démarrage sécurisé UEFI. En ajoutant ce certificat à la base de données, le microprogramme de l’appareil approuve les applications de démarrage Microsoft Windows signées par ce certificat.

• Atténuation 2 : Mettre à jour le gestionnaire de démarrage sur votre appareil
  
  Applique le nouveau gestionnaire de démarrage Windows signé avec le nouveau certificat Windows UEFI CA 2023.

Ces atténuations sont importantes pour la facilité de maintenance à long terme de Windows sur ces appareils. Étant donné que le certificat Microsoft Windows Production PCA 2011 dans le microprogramme expirera en octobre 2026, les appareils doivent avoir le nouveau certificat Windows UEFI CA 2023 dans le microprogramme avant l’expiration, sinon l’appareil ne pourra plus recevoir les mises à jour Windows, ce qui le place dans un état de sécurité vulnérable.

Pour plus d’informations sur la façon d’appliquer l’atténuation 1 et l’atténuation 2 en deux étapes distinctes (si vous souhaitez être plus prudent, au moins dans un premier temps), consultez KB5025885 : Comment gérer les révocations du gestionnaire de démarrage windows pour les modifications de démarrage sécurisé associées à CVE-2023-24932. Vous pouvez également appliquer les deux atténuations en exécutant l’opération de clé de Registre unique suivante en tant qu’administrateur :

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x140 /f

À mesure que les atténuations s’appliquent, les bits de la clé AvailableUpdates sont effacés. Après l’avoir défini sur 0x140 et redémarré, la valeur devient 0x100 , puis, après un autre redémarrage, elle devient 0x000.

L’atténuation du gestionnaire de démarrage n’est pas appliquée tant que le microprogramme n’indique pas que l’atténuation du certificat 2023 est correctement appliquée. Ces opérations ne peuvent pas être effectuées dans le désordre.

Lorsque les deux atténuations sont appliquées, une clé de Registre est définie pour indiquer que le système est « compatible 2023 », ce qui signifie que le média peut être mis à jour et que l’atténuation 3 et l’atténuation 4 peuvent être appliquées.

Dans la plupart des cas, l’exécution de l’atténuation 1 et de l’atténuation 2 nécessite au moins deux redémarrages avant que les atténuations ne soient entièrement appliquées. L’ajout de redémarrages supplémentaires dans votre environnement permet de garantir que les atténuations sont appliquées plus rapidement. Toutefois, il n’est peut-être pas pratique d’injecter artificiellement des redémarrages supplémentaires et peut être judicieux de s’appuyer sur les redémarrages mensuels qui se produisent dans le cadre de l’application des mises à jour de sécurité. Cela signifie moins de perturbations dans votre environnement, mais vous risquez de prendre plus de temps à sécuriser.

Après avoir déployé l’atténuation 1 et l’atténuation 2 sur vos appareils, vous devez surveiller vos appareils pour vous assurer que les atténuations sont appliquées et qu’elles sont désormais « compatibles 2023 ». La surveillance peut être effectuée en recherchant la clé de Registre suivante sur le système. Si la clé existe et est définie sur 1, le système a ajouté le certificat 2023 à la variable de base de données de démarrage sécurisé. Si la clé existe et est définie sur 2, le système a le certificat 2023 dans la base de données et commence par le gestionnaire de démarrage signé 2023.

Sous-clé de Registre	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
Nom de la valeur de clé	WindowsUEFICA2023Capable
Type de données	REG_DWORD
Données	0 – ou la clé n’existe pas – le certificat « Windows UEFI CA 2023 » n’est pas dans la base de données 1 - Le certificat « Windows UEFI CA 2023 » se trouve dans la base de données 2 - Le certificat « Windows UEFI CA 2023 » se trouve dans la base de données et le système démarre à partir du gestionnaire de démarrage signé 2023.

Une fois que l’atténuation 1 et l’atténuation 2 sont appliquées à vos appareils, vous pouvez mettre à jour tout média de démarrage que vous utilisez dans votre environnement. La mise à jour du média de démarrage implique d’appliquer le PCA2023 gestionnaire de démarrage signé au média. Cela inclut la mise à jour des images de démarrage réseau (telles que PxE et HTTP), des images ISO et des lecteurs USB. Sinon, les appareils avec les atténuations appliquées ne démarreront pas à partir du support de démarrage qui utilise l’ancien gestionnaire de démarrage Windows et l’autorité de certification 2011. ​​​​

Des outils et des conseils sur la mise à jour de chaque type de média de démarrage sont disponibles ici :

Type de média	Resource
ISO, lecteurs USB, etc.	KB5053484 : Mise à jour du support de démarrage Windows pour utiliser le gestionnaire de démarrage PCA2023 signé
Serveur de démarrage PXE	Documentation à fournir ultérieurement

Au cours de votre processus de mise à jour multimédia, vous devez être sûr de tester le média avec un appareil disposant des quatre atténuations en place. Les deux dernières atténuations bloquent les gestionnaires de démarrage plus anciens et vulnérables. La mise en place de médias avec les gestionnaires de démarrage actuels est une partie importante de ce processus.

Le support de démarrage n’inclut pas le lecteur système de l’appareil sur lequel Windows réside et démarre automatiquement. Un média de démarrage est couramment utilisé pour démarrer un appareil qui n’a pas de version de démarrage de Windows, et le média de démarrage est souvent utilisé pour installer Windows sur l’appareil.

Les paramètres de démarrage sécurisé UEFI déterminent les gestionnaires de démarrage à approuver à l’aide de la base de données de démarrage sécurisé (base de données de signature) et DBX (base de données de signature interdite). La base de données contient les hachages et les clés des logiciels approuvés, et dbX stocke des hachages et des clés révoqués, compromis et non approuvés pour empêcher l’exécution de logiciels non autorisés ou malveillants pendant le processus de démarrage.

Il est utile de réfléchir aux différents états dans quelles conditions un appareil peut se trouver et à quel média de démarrage peut être utilisé avec l’appareil dans chacun de ces états. Dans tous les cas, le microprogramme détermine s’il doit approuver le gestionnaire de démarrage qui lui est présenté et, une fois qu’il exécute le gestionnaire de démarrage, la base de données et DBX ne sont plus consultées par le microprogramme. Le média de démarrage peut utiliser un gestionnaire de démarrage signé par l’autorité de certification 2011 ou un gestionnaire de démarrage signé par l’autorité de certification 2023, mais pas les deux. La section suivante décrit les états où l’appareil peut se trouver et, dans certains cas, les médias qui peuvent être démarrés à partir de l’appareil.

Ces scénarios d’appareil peuvent vous aider à planifier le déploiement des atténuations sur vos appareils.

Nouveaux appareils

Certains nouveaux appareils ont commencé à être expédiés avec les autorités de certification 2011 et 2023 préinstallées dans le microprogramme de l’appareil. Tous les fabricants n’ont pas basculé pour avoir les deux et peuvent toujours expédier des appareils avec uniquement l’autorité de certification 2011 préinstallée.

• Les appareils avec les autorités de certification 2011 et 2023 peuvent démarrer un média qui inclut le gestionnaire de démarrage signé par l’autorité de certification 2011 ou le gestionnaire de démarrage signé par l’autorité de certification 2023.

• Les appareils avec uniquement l’autorité de certification 2011 installée peuvent uniquement démarrer le média avec le gestionnaire de démarrage signé par l’autorité de certification 2011. La plupart des médias plus anciens incluent le gestionnaire de démarrage signé par l’autorité de certification 2011.

Appareils avec atténuations 1 et 2

Ces appareils ont été préinstallés avec l’autorité de certification 2011 et, en appliquant l’atténuation 1, l’autorité de certification 2023 est maintenant installée. Étant donné que ces appareils approuvent les deux autorités de certification, ces appareils peuvent démarrer le média avec l’autorité de certification 2011 et le gestionnaire de démarrage signé 2023.

Appareils avec atténuations 3 et 4

Ces appareils disposent de l’autorité de certification 2011 incluse dans dbX et ne font plus confiance au support avec un gestionnaire de démarrage signé par l’autorité de certification 2011. Un appareil avec cette configuration démarre uniquement le média avec un gestionnaire de démarrage signé par l’autorité de certification 2023.

Réinitialisation du démarrage sécurisé

Si les paramètres de démarrage sécurisé ont été réinitialisés aux valeurs par défaut, toutes les atténuations qui ont été appliquées à la base de données (ajout de l’autorité de certification 2023) et à DBX (sans se méfier de l’autorité de certification 2011) peuvent ne plus être en place. Le comportement dépend des valeurs par défaut du microprogramme.

DBX

Si les atténuations 3 et/ou 4 ont été appliquées et que dbX est effacé, l’autorité de certification 2011 ne figurera pas dans la liste DBX et sera toujours approuvée. Si cela se produit, il sera nécessaire de réappliquer les atténuations 3 et/ou 4.

Base de données

Si la base de données contenait l’autorité de certification 2023 et qu’elle est supprimée en réinitialisant les paramètres de démarrage sécurisé aux valeurs par défaut, le système peut ne pas démarrer si l’appareil s’appuie sur le gestionnaire de démarrage signé par l’autorité de certification 2023. Si l’appareil ne démarre pas, utilisez l’outil securebootrecovery.efi décrit dans KB5025885 : Comment gérer les révocations du gestionnaire de démarrage Windows pour les modifications de démarrage sécurisé associées à CVE-2023-24932 pour récupérer le système.

• Atténuation 3 : Activer la révocation
  
  Se méfie du certificat Microsoft Windows Production PCA 2011 en l’ajoutant aux microprogrammes Secure Boot DBX. Ainsi, le microprogramme n’approuve pas tous les gestionnaires de démarrage signés par l’autorité de certification 2011 et tout média qui s’appuie sur le gestionnaire de démarrage signé par l’autorité de certification 2011.

• Atténuation 4 : Appliquer la mise à jour du numéro de version sécurisée au microprogramme
  
  Applique la mise à jour svn (Secure Version Number) aux microprogrammes Secure Boot DBX. Lorsqu’un gestionnaire de démarrage signé 2023 commence à s’exécuter, il effectue une auto-case activée en comparant le SVN stocké dans le microprogramme avec le SVN intégré au gestionnaire de démarrage. Si le svn du gestionnaire de démarrage est inférieur au svn du microprogramme, le gestionnaire de démarrage ne s’exécute pas. Cette fonctionnalité empêche un attaquant de restaurer le gestionnaire de démarrage vers une version antérieure et non mise à jour. Pour les futures mises à jour de sécurité du gestionnaire de démarrage, le SVN sera incrémenté et l’atténuation 4 devra être réappliquée.

Important L’atténuation 1 et l’atténuation 2 doivent être effectuées avant d’appliquer l’atténuation 3 et l’atténuation 4.

Pour plus d’informations sur l’application de l’atténuation 3 et de l’atténuation 4 en deux étapes distinctes (si vous souhaitez être plus prudent, au moins dans un premier temps), consultez KB5025885 : Comment gérer les révocations du gestionnaire de démarrage windows pour les modifications de démarrage sécurisé associées à CVE-2023-24932 Ou vous pouvez appliquer les deux atténuations en exécutant l’opération de clé de Registre unique suivante en tant qu’administrateur :

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x280 /f

L’application des deux atténuations ensemble ne nécessite qu’un seul redémarrage pour terminer l’opération.

• Atténuation 3 : Vous pouvez vérifier que la liste de révocation a été correctement appliquée en recherchant l’ID d’événement : 1037 dans le journal des événements, par KB5016061 : Événements de mise à jour de la variable DB et de la base de données de démarrage sécurisé.
  
  Vous pouvez également exécuter la commande PowerShell suivante en tant qu’administrateur et vous assurer qu’elle retourne la valeur True :

  [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'​​​​​​​

• Atténuation 4 : Une méthode permettant de confirmer que le paramètre SVN a été appliqué n’existe pas encore. Cette section sera mise à jour lorsqu’une solution sera disponible.