Windows Update points de terminaison SHA-1 abandonnés pour les anciens appareils Windows

S’applique à
Windows 7 Service Pack 1 Windows Server 2008 R2 Service Pack 1 Windows Server 2008 Service Pack 2

Introduction

Conformément à la stratégie de déclassement de l’algorithme de hachage sécurisé Microsoft (SHA)-1, Windows Update arrêtera ses points de terminaison SHA-1 à la fin du mois de juillet 2020. Cela signifie que les anciens appareils Windows qui n’ont pas été mis à jour vers SHA-2 ne recevront plus de mises à jour via Windows Update. Vos anciens appareils Windows peuvent continuer à utiliser Windows Update en installant manuellement des mises à jour spécifiques activant SHA-2.

Toutes les autres plates-formes Windows continueront à recevoir les mises à jour via Windows Update, comme elles l’ont toujours fait parce qu’elles se connectent aux points de terminaison de service SHA-2.

Pourquoi ce changement se produit-il ?

Un point de terminaison de service Windows Update obsolète qui n’était utilisé que pour les anciennes plateformes est en cours d’abandon. Ce changement est dû à des faiblesses de l’algorithme de hachage SHA-1 et pour s’aligner sur les normes de l’industrie.

Même si le point de terminaison SHA-1 est interrompu, les appareils Windows plus récents continueront à recevoir des mises à jour via Windows Update car ces appareils utilisent l’algorithme SHA-2 plus sécurisé. Consultez le tableau de la section « Quels appareils Windows sont concernés » pour déterminer si vos appareils sont concernés.

Pour plus d’informations sur cette modification, consultez l’exigence de prise en charge de la signature de code SHA-2 2019 pour Windows et WSUS.

Quels sont les appareils Windows concernés ?

La plupart des utilisateurs ne seront pas affectés par cette modification. À partir de Windows 8 Desktop et de Windows Server 2012, les connexions aux points de terminaison de service de Windows Update utilisent un algorithme plus moderne (SHA-256). Les versions antérieures de Windows se connectent aux points de terminaison de service Windows Update à l’aide de l’algorithme SHA-1, moins sécurisé.

Pour la plupart des versions concernées de Windows, une mise à jour SHA-2 ajoutera la prise en charge nécessaire pour continuer à recevoir des mises à jour via Windows Update. Le tableau suivant montre l’impact sur les différentes versions de Windows. Certaines plateformes ne sont plus prises en charge et ne seront donc pas mises à jour.

Windows (version de bureau) État de la prise en charge
Windows 2000 L’appareil n’est plus pris en charge
Les mises à jour Windows ne seront plus prises en charge.
Windows XP Édition 64 bits
Windows XP SP3
Windows Vista
Windows Vista SP1
Windows Vista SP2
Windows 7 La prise en charge de Windows Update sera affectée.
Peut être atténué en installant manuellement des KB.
Windows 7 SP1
Windows 8 et versions ultérieures Non affecté
Aucune mise à jour n’est nécessaire
Windows Server État de la prise en charge
Windows 2000 Server L’appareil n’est plus pris en charge
Les mises à jour Windows ne seront plus prises en charge.
Windows Server 2003
Windows Server 2003 SP2
Windows Server 2008 La prise en charge de Windows Update sera affectée.
Peut être atténué en installant manuellement des KB.
Windows Server 2008 SP2
Windows Server 2008 R2
Windows Server 2008 R2 SP1
Windows 2012 et versions ultérieures Non affecté
Aucune mise à jour n’est nécessaire

Qu’arrivera-t-il aux appareils impactés ?

Selon le tableau précédent, seuls les anciens appareils Windows qui n’ont pas été mis à jour vers SHA-2 sont concernés par cette modification. Les appareils concernés ne pourront plus recevoir de mises à jour via Windows Update tant que vous ne les aurez pas mis à jour manuellement vers SHA-2. Pour mettre à jour manuellement vos appareils Windows, consultez la section « Comment mettre à jour les appareils Windows vers SHA-2 ».

Un appareil Windows qui n’est pas mis à jour vers SHA-2 essaiera d’analyser les mises à jour et renverra l’une des erreurs suivantes :

  • Code d’erreur 80072ee2 : L’appareil ne peut pas se connecter à Windows Update.

    Code d’erreur 80072ee2

  • Code d’erreur 8024402c : L’appareil ne parvient pas à localiser Windows Update.

    Code d’erreur 8024402c

  • Code d’erreur 80244019 : L’appareil ne peut pas se connecter à Windows Update.

    Code d’erreur 80244019

Certaines analyses de mise à jour se produisent sans interaction directe de l’utilisateur avec l’interface utilisateur, telle que les mises à jour automatiques, les pilotes de périphérique, les signatures antivirus Defender, les mises à jour Microsoft Office, etc. Pour ces analyses « en arrière-plan », ces échecs ne seront pas évidents. Dans ce cas, vous pouvez case activée le fichier journal Windows Update (c :\windows\windowsupdate.log) pour les codes d’erreur : 0x8024402c, 8024402c, 0x80072ee2, 80072ee2, 0x80244019 ou 80244019.

Comment mettre à jour des appareils Windows vers SHA-2

Pour continuer à utiliser Windows Update pour vos anciens appareils Windows, vous devez télécharger et installer les deux mises à jour suivantes :

Mise à jour 1 : prise en charge de la signature du code SHA-2
Lorsque vous appliquez cette mise à jour, la prise en charge est ajoutée pour valider les signatures à l’aide des algorithmes de hachage SHA-2 plus sécurisés. Appliquez uniquement la mise à jour appropriée pour votre appareil Windows.
 

  • KB4474419 : mise à jour de la prise en charge de la signature du code SHA-2
    S’applique à : Windows 7 SP1, Windows Server 2008 R2 SP1 et Windows Server 2008 SP2

  • KB4484071 : Prise en charge de SHA2 pour Windows Server Update Services
    S’applique à : Windows Server Update Services 3.0 SP1 et Windows Server Update Services 3.2

Remarque La plupart des utilisateurs ne doivent installer que les KB4474419 de mise à jour. Les administrateurs d’entreprise peuvent également installer KB4484071 de mise à jour.

Mise à jour 2 : mises à jour de la pile de maintenance liée à SHA-2
Lorsque vous appliquez cette mise à jour, la prise en charge est ajoutée à la pile de maintenance Windows Update pour valider les signatures SHA-2 et dirige les appareils Windows concernés pour communiquer avec les points de terminaison de service modernes basés sur SHA-2 dans Windows Update. Appliquez uniquement la mise à jour appropriée pour votre appareil Windows.

  • KB4490628 : mise à jour de la pile de maintenance
    S’applique à : Windows 7 SP1 et Windows Server 2008 R2 SP1

  • KB4493730 : Mises à jour de la pile de services WU
    S’applique à : Windows Server 2008 SP2