Glossaire
Démarrage sécurisé (Secure Boot)
Fonctionnalité UEFI qui ne laisse le firmware charger que des composants de démarrage signés par des clés de confiance, protégeant la chaîne de démarrage de Windows contre les bootkits.
Secure Boot fait partie de la spécification UEFI. Le firmware contient des bases de signatures : db liste les certificats et les hachages autorisés à s'exécuter, dbx ceux qui sont révoqués, et la Key Exchange Key (KEK) ainsi que la Platform Key (PK) déterminent qui peut mettre à jour ces bases. Au démarrage, le firmware vérifie chaque composant de démarrage, comme le Gestionnaire de démarrage Windows, par rapport à db et dbx, et refuse d'exécuter tout ce qui n'est pas signé ou qui a été révoqué. Windows prolonge ensuite la chaîne de confiance avec ses propres contrôles d'intégrité du code, et Measured Boot consigne chaque étape dans le TPM afin que l'attestation d'intégrité puisse la vérifier plus tard.
Secure Boot bloque les bootkits qui s'exécuteraient sinon avant le système d'exploitation et ses outils de sécurité. C'est un prérequis de Credential Guard et une base de HVCI, et BitLocker s'en sert pour valider l'intégrité de la chaîne de démarrage. Sa protection dépend de l'actualité de dbx : le bootkit BlackLotus (CVE-2023-24932) a abusé d'un gestionnaire de démarrage vulnérable mais toujours approuvé, et sa correction a nécessité des mises à jour de révocation. Vérifiez son état avec Confirm-SecureBootUEFI et préparez l'expiration des certificats de 2011 et leur remplacement par les certificats de 2023.