Récemment, Microsoft a organisé un échange en ligne appelé « OEM Secure Boot Office Hours », réunissant des ingénieurs de nombreux grands fabricants de PC, dont Acer, Asus, Dell, HP, Lenovo et Xiaomi, dans le but de répondre aux problèmes épineux rencontrés par les administrateurs informatiques lors du processus de déploiement de Windows 11 « 2023 Secure Boot Certificate ». Cependant, la réunion n'a pas seulement réussi à apaiser les inquiétudes des professionnels de l'informatique, mais a également révélé qu'il existe des problèmes à l'échelle du secteur qui sont difficiles à éviter lors de la mise en œuvre réelle de cette mise à jour technologique.
Selon les commentaires des administrateurs participants, bien que le responsable ait fourni des conseils techniques tels que la modification du registre, un grand nombre d'appareils ont toujours signalé des erreurs lors du fonctionnement réel, et même diverses pannes inattendues se sont produites. Les experts du secteur informatique ont également observé lors des premiers tests que les performances des différentes marques de matériel variaient considérablement. Par exemple, certaines cartes mères ASUS doivent désactiver le démarrage sécurisé lors de l'application des listes de révision ; Les cartes mères MSI ignorent en fait les mises à jour même si l'interface indique qu'elles sont activées ; et les appareils ASRock nécessitent souvent une nouvelle saisie manuelle. Même si les appareils HP, Dell et Lenovo ont relativement bien fonctionné, ils n'ont toujours pas pu éviter des problèmes tels que des mises à jour lentes et la nécessité de plusieurs redémarrages.
Lors de cette réunion d'échange, la discussion sur les équipements HP a retenu une attention particulière. Un administrateur qui gère plus de 7 000 ordinateurs HP a déclaré que même lorsque le dernier BIOS est installé, l'installation forcée des mises à jour de certificat peut déclencher une boucle de récupération BitLocker, provoquant des blocages répétés de l'appareil. Même après avoir consulté les suggestions d'opération dans les documents d'assistance officiels de HP, le problème persiste. Ce qui inquiète encore plus l'industrie, c'est que certains des premiers appareils ne peuvent même pas prendre en charge de nouveaux certificats de sécurité en raison d'une capacité NVRAM (mémoire vive non volatile) insuffisante. En réponse à ces principaux problèmes, Microsoft et les fabricants OEM concernés n'ont pas réussi à fournir des solutions efficaces lors de la réunion d'échange, et même certaines demandes ciblées n'ont reçu aucune réponse.
Outre les problèmes de compatibilité avec des marques spécifiques, il est également courant que les appareils signalent un état d'erreur inconnu. De nombreux appareils signalent « État de démarrage sécurisé inconnu » même si toutes les conditions préalables sont remplies. À cet égard, les ingénieurs de Microsoft ont seulement suggéré d'exécuter le programme de diagnostic de script approprié, mais n'ont pas réussi à fournir une analyse fondamentale de la cause. De plus, en ce qui concerne le phénomène selon lequel la clé d'échange de clé (KEK) ne peut pas être mise à jour dans certains environnements d'entreprise, bien que le fabricant ait fourni des étapes de dépannage, les résultats des tests montrent que le problème ne peut toujours pas être résolu.
Actuellement, cette difficulté liée au déploiement du démarrage sécurisé est devenue un problème à l’échelle du secteur et parmi les fournisseurs. Les analystes estiment qu'il ne s'agit pas d'une erreur d'un seul fabricant, mais plutôt d'une incohérence dans les normes de mise en œuvre du micrologiciel UEFI dans l'ensemble du secteur, ce qui a fait qu'une mise à jour de routine du certificat est devenue un test sévère pour la stabilité du micrologiciel du système. Certains analystes ont même souligné que Microsoft avait commencé à suspendre les mises à jour sur des combinaisons spécifiques de périphériques et de micrologiciels afin d'éviter que le système ne soit paralysé par des mises à jour incorrectes.
Compte tenu de la situation technique complexe et instable actuelle, les professionnels concernés recommandent aux services informatiques des entreprises de mener suffisamment de tests pilotes sur du matériel représentatif et de sauvegarder strictement les clés de récupération BitLocker avant un déploiement à grande échelle. Pour les administrateurs informatiques, la stratégie la plus sûre à l'heure actuelle consiste à toujours prêter attention aux dernières annonces des différents fabricants OEM pour des modèles spécifiques, plutôt que de s'appuyer uniquement sur les conseils généraux de Microsoft. Dans cet écosystème complexe, les mises à jour du BIOS et le déploiement de certificats de démarrage sécurisé sont considérés comme deux points de risque indépendants. Les utilisateurs doivent peser soigneusement pour éviter les opérations aveugles qui entraînent des pannes d'appareils à grande échelle.