Les certificats Secure Boot utilisés par Windows depuis 2011 expireront fin juin 2026. Pour éviter tout problème de sécurité, Microsoft déploie depuis plusieurs mois les nouveaux certificats CA 2023 via Windows Update.
Pour vérifier où se trouve votre ordinateur dans cette transition, Windows 11 affiche désormais certaines informations dans l’application Sécurité Windows. Mais pour ceux qui souhaitent plus de détails sur ce qui est réellement installé sur leur ordinateur, il existe CheckCA2023.
Ce script PowerShell open source affiche dans une seule fenêtre l’état complet de la transition vers les certificats CA 2023 : certificats UEFI actifs, état du registre, événements système ou encore certificats Boot Manager. Et si la mise à jour n’a pas encore été appliquée, cela permet de la déclencher directement depuis l’interface.
CheckCA2023 facilite le suivi de la migration vers les certificats Secure Boot CA 2023
ChèqueCA2023 est un script PowerShell gratuit et open source développé par Claude Boucher. Il se présente sous la forme d’une interface graphique qui rassemble dans une seule fenêtre toutes les informations utiles au suivi de l’état du passage aux certificats Secure Boot CA 2023 sur votre ordinateur.
Windows 11 affiche bien un état dans l’application Sécurité Windows, section « Sécurité des appareils », et il est également possible d’obtenir ces informations via PowerShell. Mais CheckCA2023 va bien plus loin en détaillant certificat par certificat ce qui est installé, l’état du registre, les événements système liés au Secure Boot ainsi que les certificats utilisés par le gestionnaire de démarrage.
Et si la mise à jour n’a pas encore été appliquée, elle permet de déclencher la tâche planifiée Windows chargée de déployer les nouveaux certificats directement depuis son interface.
L’outil s’adresse en priorité aux utilisateurs qui souhaitent vérifier précisément où en est leur ordinateur dans cette transition vers les certificats CA 2023.
Téléchargez et lancez CheckCA2023
CheckCA2023 ne nécessite aucune installation. Commencez par télécharger le fichier CheckCA2023.ps1 depuis la page GitHub du projetpuis enregistrez-le dans le dossier de votre choix.
Avant de pouvoir exécuter le script, vous devez autoriser l’exécution des scripts PowerShell sur votre ordinateur. Pour cela, ouvrez PowerShell en tant qu’administrateur, puis saisissez la commande suivante :
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUserUne fois cette opération effectuée, rendez-vous dans le dossier où se trouve le script. Par exemple, s’il se trouve dans votre dossier Téléchargements :
cd C:\Users\VotreNom\DownloadsExécutez ensuite CheckCA2023 à l’aide de la commande suivante :
.\CheckCA2023.ps1
Vérifier l’état des certificats Secure Boot CA 2023
Au lancement de CheckCA2023, l’interface affiche le statut « Prêt à vérifier « . Cliquez sur le bouton « Vérifier » pour démarrer l’analyse.
L’outil examinera ensuite divers éléments de votre système, notamment le registre Windows, les variables UEFI, les événements liés au démarrage sécurisé ainsi que les certificats utilisés par le gestionnaire de démarrage. Quelques secondes plus tard, les résultats s’affichent dans l’interface.
Pour savoir si la migration vers les certificats CA 2023 a été correctement appliquée, regardez d’abord les informations affichées dans la rubrique Enregistrement :
- UEFICA2023Statut doit afficher Mis à jour avec une coche verte.
- WindowsUEFICA2023Capable doit être réglé sur 0x0002ce qui indique que les certificats CA 2023 sont présents et que Windows démarre à l’aide du Boot Manager signé avec ces nouveaux certificats.
- UEFICA2023ErreurÉvénement doit afficher Aucune erreur.
La rubrique Certificat UEFI 2023 permet également de vérifier la présence de nouveaux certificats. Lorsque ceux-ci sont correctement installés, ils apparaissent en vert dans l’interface.
Enfin, dans la section Certificats du chargeur de démarragele certificat associé à la partition EFI doit indiquer CA 2023.
Si la mise à jour n’a pas encore été appliquée sur votre ordinateur, vous pouvez utiliser le bouton « Démarrer la tâche de mise à jour de démarrage sécurisé » pour lancer la tâche planifiée Windows chargée du déploiement des nouveaux certificats. Cela évite d’avoir à exécuter manuellement la commande PowerShell correspondante.
Merci à Laurent d’avoir découvert cet outil 😉
