Non. Un PC Windows à jour, l’expiration du certificat Microsoft Windows Production PCA 2011 et l’état de Secure Boot répondent à des questions différentes. Aucun de ces éléments, pris seul, ne prouve que l’ancien certificat a été révoqué dans DBX. Microsoft distingue le renouvellement des certificats autorisés dans DB de la révocation des anciens gestionnaires de démarrage dans DBX.
Secure Boot est une fonction du micrologiciel UEFI qui vérifie les signatures des logiciels lancés avant Windows. DB contient les signatures autorisées ; DBX répertorie celles qui sont révoquées. Un contrôle de Secure Boot renseigne donc sur un réglage de démarrage, tandis que la révocation de PCA 2011 concerne les gestionnaires de démarrage encore reconnus comme fiables. Microsoft explique les rôles de DB et DBX dans la transition des certificats.
Pourquoi BlackLotus concerne les gestionnaires de démarrage
Microsoft indique que BlackLotus exploite CVE-2022-21894, aussi appelée Baton Drop, pour revenir à des versions vulnérables des gestionnaires de démarrage Windows qui ne figurent pas dans DBX. Les protections introduites en mai 2023, fondées sur la version des gestionnaires et des entrées DBX, ont connu plusieurs contournements. Microsoft a décrit la révocation de Microsoft Windows Production PCA 2011 comme une mesure plus complète. Son guide technique détaille le mécanisme et la révocation.
Les certificats de 2011 et leurs remplaçants
Microsoft indique que l’absence des nouveaux certificats de 2023 n’empêche pas nécessairement un appareil de démarrer ni de recevoir les mises à jour Windows standard. Elle le prive toutefois de nouvelles protections au démarrage et des mises à jour de Secure Boot associées.
| Certificat de 2011 et périmètre | Date d’expiration | Remplaçant de 2023 | Base UEFI |
| Microsoft Corporation KEK CA 2011 | 24 juin 2026 | Microsoft Corporation KEK 2K CA 2023 | KEK |
| Microsoft UEFI CA 2011, chargeurs tiers et applications EFI | 27 juin 2026 | Microsoft UEFI CA 2023 | DB |
| Microsoft UEFI CA 2011, signatures des option ROMs | 27 juin 2026 | Microsoft Option ROM UEFI CA 2023 | DB |
| Microsoft Windows Production PCA 2011, chargeur de démarrage Windows | 19 octobre 2026 | Windows UEFI CA 2023 | DB |
L’expiration d’un certificat ne révoque pas à elle seule la confiance qui lui est accordée. Le remplacement de PCA 2011 par Windows UEFI CA 2023 dans DB et la révocation de PCA 2011 dans DBX sont deux opérations distinctes.
L’ordre à respecter avant la révocation de PCA 2011
Microsoft recommande de mettre à jour DB et de déployer les gestionnaires de démarrage signés par Windows UEFI CA 2023 avant d’appliquer la révocation dans DBX. La préparation comprend aussi la mise à jour du micrologiciel du fabricant, des essais sur des appareils représentatifs et la sauvegarde des clés de récupération BitLocker.
Cette séquence compte pour les supports de démarrage : sur un appareil où Secure Boot est activé, la révocation empêche le lancement des gestionnaires Windows signés par PCA 2011. Des supports de récupération anciens, des clés USB et des composants de démarrage réseau qui utilisent ces gestionnaires peuvent alors ne plus démarrer.
Avant la révocation, préparez le nouveau chemin de démarrage et sauvegardez les clés de récupération BitLocker : d’anciens supports signés par PCA 2011 peuvent devenir inutilisables au démarrage.
Ce qu’un contrôle de Secure Boot permet de savoir
L’état « activé » de Secure Boot décrit une configuration du micrologiciel ; il ne confirme pas, à lui seul, que PCA 2011 a été révoqué dans DBX. De même, la présence d’une révocation renseigne sur la confiance accordée aux anciens gestionnaires, pas sur l’absence d’un bootkit déjà installé. Ces contrôles ne constituent pas un diagnostic d’infection.
