KB4535680: تحديث الأمان ل Secure Boot DBX: 12 يناير 2021

المشكلة

الحل البديل

قد لا تسمح بعض البرامج الثابتة لشركة تصنيع المعدات الأصلية (OEM) بتثبيت هذا التحديث.

لحل هذه المشكلة، اتصل بالشركة المصنعة للمعدات الأصلية (OEM) الخاصة بالبرنامج الثابت.

إذا تم تمكين BitLocker نهج المجموعة تكوين ملف تعريف التحقق من النظام الأساسي TPM لتكوينات البرامج الثابتة UEFI الأصلية وتحديد PCR7 بواسطة النهج، فقد يؤدي ذلك إلى طلب مفتاح استرداد BitLocker على بعض الأجهزة حيث لا يمكن ربط PCR7.

لعرض حالة ربط PCR7، قم بتشغيل أداة معلومات نظام Microsoft (Msinfo32.exe) بأذونات إدارية.

لحل هذه المشكلة، قم بأحد الإجراءات التالية استنادا إلى تكوين حماية بيانات الاعتماد قبل نشر هذا التحديث:

• على جهاز لا يحتوي على تمكين Credential Gard، قم بتشغيل الأمر التالي من موجه أوامر المسؤول لتعليق BitLocker لدورة إعادة تشغيل 1:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  ثم أعد تشغيل الجهاز لاستئناف حماية BitLocker.
  
  ملاحظه لا تقم بتمكين حماية BitLocker دون إعادة تشغيل الجهاز بالإضافة إلى ذلك لأنه سيؤدي إلى استرداد BitLocker.

• على جهاز تم تمكين Credential Guard عليه، قد تكون هناك عمليات إعادة تشغيل متعددة أثناء التحديث تتطلب إيقاف BitLocker مؤقتا. قم بتشغيل الأمر التالي من موجه أوامر المسؤول لإيقاف BitLocker مؤقتا لمدة 3 دورات إعادة تشغيل. Manage-bde –Protectors –Disable C: -RebootCount 3

  من المتوقع أن يعيد هذا التحديث تشغيل النظام مرتين. أعد تشغيل الجهاز مرة أخرى لاستئناف حماية BitLocker.

  ‏ملاحظة لا تقم بتمكين حماية BitLocker دون إعادة التشغيل بالإضافة إلى ذلك لأنها ستؤدي إلى استرداد BitLocker.

يمكنك إدخال استرداد Bitlocker إذا تم تكوين إعدادات نهج مجموعة BitLocker المتضاربة بعد تمكين BitLocker في البيئة. يمكن تشغيل استرداد Bitlocker بسبب أي من إعدادات نهج المجموعة أدناه:

• فرض التكوين الصريح لروابط PCR التي تختلف عما تم اختياره بالفعل من قبل BitLocker.

• تكوين GP "السماح بالتمهيد الآمن للتحقق من صحة التكامل" لإلغاء السماح بالتمهيد الآمن للتحقق من صحة التكامل ولكن BitLocker يستخدم بالفعل التمهيد الآمن (PCR7).

• تكوين نهج المجموعة إلى طلب مصادقة إضافية أثناء بدء التشغيل ولكن تم تكوين BitLocker قبل نشر نهج المجموعة هذا.

إذا تم تطبيق هذا التحديث بالفعل ولم تتم إعادة تشغيل الجهاز، فقم بإيقاف BitLocker مؤقتا وإعادة التشغيل بعد اتباع الخطوات التالية:

• إذا تم تعيين تكوين PCR صريح من خلال نهج المجموعة أو تم تكوين نهج لعدم السماح باستخدام التمهيد الآمن للتحقق من صحة التكامل، فقم بإيقاف BitLocker مؤقتا واستئنافه لمسح تعارضات GP.

• إذا تم تكوين نهج طلب مصادقة إضافية أثناء بدء التشغيل لطلب TPM ورقم PIN، فقم بتشغيل الأمر التالي من موجه الأوامر الإداري وأدخل رمز PIN المطلوب: manage-bde -protectors -add c: -TPMAndPin

• إذا تم تكوين نهج طلب مصادقة إضافية أثناء بدء التشغيل لطلب مفتاح بدء التشغيل، فقم بتنفيذ الأمر التالي لإنشاء مفتاح بدء التشغيل: manage-bde -protectors -add c: -tpmandstartupkey <المسار إلى دليل المفتاح الخارجي>

• إذا تم تكوين نهج طلب مصادقة إضافية أثناء بدء التشغيل لطلب مفتاح بدء التشغيل وتثبيته، فقم بتنفيذ الأمر التالي من موجه الأوامر مسؤول لإنشاء تثبيت ومفتاح بدء التشغيل. عند المطالبة، أدخل رمز PIN المطلوب: manage-bde -protectors -add c: -tpmandandstartupkey <المسار إلى دليل المفتاح الخارجي>

قد لا يتم تثبيت هذا التحديث على الأجهزة التي بها ملف مدير تمهيد غير موقع وغير تابع ل Microsoft bootx64.efi.  قد يتم تقديم هذا التحديث وإعادة تقديمه من خلال Windows Update ولكن قد لا يتم تثبيته.  عند محاولة تثبيت هذا التحديث يدويا، قد تتلقى خطأ، "لم يتم تثبيت بعض التحديثات" يسرد KB4565680.  يمكنك أيضا التحقق من ملف سجل CBS في ٪systemroot٪\logs\cbs للخطأ التالي: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): ظهور الخطأ TRUST_E_NOSIGNATURE في الوظيفة Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

نحن نعمل على إيجاد حل ونقدر أن يكون الحل متاحا للإصدار Windows 10، الإصدار 1909، Windows 10، الإصدار 2004 Windows 10، الإصدار 20H2 في أواخر مارس.  يقدر أن الإصدارات المتبقية المدعومة من Windows لديها حل متاح في منتصف أبريل.

للحصول على إرشادات إضافية قبل إصدار الدقة، يرجى الاتصال بالشركة المصنعة للجهاز (OEM).