À quoi sert Secure Boot ?
Secure Boot est une fonction de sécurité du firmware UEFI. Au démarrage, elle vérifie les signatures numériques des composants EFI selon les clés et règles de confiance enregistrées dans le firmware. Un chargeur non signé, révoqué ou non approuvé peut être bloqué avant le chargement du système d’exploitation.
Cette protection limite certains risques de bootkits et de code malveillant chargé avant Windows. Elle ne remplace ni le chiffrement des disques, ni l’antivirus, ni les correctifs de sécurité.
Clés UEFI et chaîne de confiance
UEFI gère notamment une Platform Key (PK), les clés d’échange (KEK), la base des signatures autorisées (db) et les signatures révoquées (dbx). Les clés approuvées et les options de démarrage varient selon les constructeurs. Une modification incorrecte peut empêcher le chargement du système ou d’un chargeur tiers légitime.
TPM et Secure Boot sont complémentaires mais différents : le TPM peut protéger des secrets et enregistrer des mesures d’intégrité ; Secure Boot vérifie la signature des composants de démarrage. Un changement de firmware peut déclencher une demande de récupération BitLocker.
Prérequis avant modification
- Inventorier les modèles, versions du firmware UEFI, modes de démarrage et états Secure Boot.
- Vérifier le démarrage UEFI et la disposition GPT attendue pour l’installation Windows concernée.
- Vérifier que les clés de récupération BitLocker sont sauvegardées et réellement accessibles.
- Recenser les chargeurs tiers, le double démarrage, PXE et les outils de chiffrement.
- Tester chaque combinaison modèle/version de firmware sur un poste pilote.
Vérifications sous Windows
Lancez msinfo32 puis vérifiez Mode BIOS et État du démarrage sécurisé. Dans une session PowerShell administrateur, exécutez cette commande de lecture seule :
Confirm-SecureBootUEFILe résultat True signifie que Secure Boot est activé ; False qu’il est désactivé sur une plateforme UEFI compatible. Une erreur peut indiquer un démarrage BIOS hérité, une incompatibilité matérielle ou un problème de droits. Ne changez pas le firmware sans diagnostic.
Consultez ensuite les protecteurs BitLocker du volume système :
manage-bde -protectors -get C:Cette commande ne prouve pas que la clé de récupération est enregistrée dans Entra ID ou Active Directory : vérifiez séparément la sauvegarde dans la console de gestion.
Déploiement progressif
- Disposer de sauvegardes, des clés BitLocker vérifiées et d’un accès de récupération.
- Sélectionner un pilote par modèle de poste et version de firmware.
- Valider UEFI, les dépendances de démarrage et la configuration constructeur.
- Activer Secure Boot sur le poste pilote conformément à la documentation constructeur.
- Redémarrer et vérifier Windows, BitLocker et
Confirm-SecureBootUEFI. - Déployer progressivement avec traces, contrôles et procédure de retour arrière.
Ne lancez pas de conversion MBR vers GPT ni de modification massive du BIOS/UEFI sans sauvegarde et tests de restauration validés.
Incidents fréquents
- Windows ne démarre plus : contrôler le mode de démarrage, la compatibilité du chargeur et les signatures autorisées.
- BitLocker demande une récupération : utiliser la clé autorisée, confirmer l’identité du poste et examiner le changement de démarrage.
- La commande PowerShell échoue : vérifier compatibilité UEFI, droits administrateur et mode BIOS.
- Un chargeur tiers est bloqué : vérifier sa signature et son support par le constructeur avant toute modification des clés.
Limites de protection
Associez Secure Boot aux mises à jour du firmware, au chiffrement BitLocker, à la protection des postes, aux sauvegardes et à la limitation des privilèges. Secure Boot seul ne permet pas de garantir l’absence de compromission.