KB5037167: دليل برنامج التحقق من صحة تحديث الأمان لاختبار إبطال PCA2011 لمعالجة CVE-2023-24932

المقدمة

هذه المقالة هي ملحق للمقالة التالية التي سيتم تحديثها في أبريل 2024:

• KB5025885: كيفية إدارة إبطالات Windows Boot Manager لتغييرات التمهيد الآمن المقترنة ب CVE-2023-24932

يصف هذا الملحق الإجراء المحدث خطوة بخطوة لنشر عوامل تخفيف جديدة مقابل حزمة التمهيد BlackLotus UEFI التي تم تعقبها بواسطة CVE-2023-24932 ويتضمن إرشادات الاختبار لبيئتك.

للمساعدة في الحماية من إساءة الاستخدام الضارة لمديري التمهيد المعرضين للخطر، يجب علينا نشر شهادة توقيع التمهيد الآمن UEFI جديدة إلى البرنامج الثابت للجهاز وإبطال الثقة في البرنامج الثابت لشهادة التوقيع الحالية. سيؤدي القيام بذلك إلى عدم الثقة في جميع مديري التمهيد الحاليين المعرضين للخطر بواسطة الأجهزة الممكنة للتمهيد الآمن. سيساعدك هذا الدليل في هذه العملية.

خطوات التخفيف الثلاث الموضحة في هذا الدليل هي كما يلي:

1. تحديث قاعدة البيانات: ستتم إضافة شهادة PCA (PCA2023) جديدة إلى قاعدة بيانات التمهيد الآمن والتي ستمكن الجهاز من تمهيد الوسائط الموقعة بواسطة هذه الشهادة.

2. تثبيت مدير التمهيد: سيتم استبدال مدير التمهيد الموقع PCA2011 الحالي بمدير التمهيد الموقع PCA2023.يتم تضمين مديري التمهيد في تحديثات الأمان لشهر أبريل 2024.

3. إبطال DBX PCA2011: ستتم إضافة إدخال رفض إلى Secure Boot DBX لمنع مديري التمهيد الموقعين مع PCA2011 من التمهيد.

هل ينطبق هذا علي؟

ينطبق هذا الدليل على أي أجهزة مع تمكين التمهيد الآمن وجميع وسائط الاسترداد الموجودة لهذه الأجهزة.

إذا كان جهازك يعمل بنظام التشغيل Windows Server 2012 أو Windows Server 2012 R2، فتأكد من قراءة قسم "المشاكل المعروفة" قبل المتابعة.

قبل أن تبدأ

المشكلات المعروفة

بالنسبة إلى Windows Server 2012 وWindows Sever 2012 R2 فقط:

• لا يمكن للأنظمة المستندة إلى TPM 2.0 توزيع عوامل التخفيف التي تم إصدارها في تصحيح الأمان ل أبريل 2024 بسبب مشكلات التوافق المعروفة مع قياسات TPM. ستحظر تحديثات أبريل 2024 عوامل التخفيف #2 (مدير التمهيد) و#3 (تحديث DBX) على الأنظمة المتأثرة.

• تدرك Microsoft المشكلة وسيتم إصدار تحديث في المستقبل لإلغاء حظر الأنظمة المستندة إلى TPM 2.0.

• للتحقق من إصدار TPM، انقر بزر الماوس الأيمن فوق بدء، وانقر فوق تشغيل، ثم اكتب tpm.msc. في الجزء السفلي الأيسر من الجزء الأوسط ضمن معلومات الشركة المصنعة ل TPM، يجب أن ترى قيمة لإصدار المواصفات.

خطوات التحقق من الاشتراك

تتناول بقية هذه المقالة اختبار أجهزة الاشتراك في عوامل التخفيف. لا يتم تمكين عوامل التخفيف بشكل افتراضي. إذا كانت مؤسستك تخطط لتمكين عوامل التخفيف هذه، فيرجى تنفيذ خطوات التحقق التالية للتحقق من توافق الجهاز.

مرجع مفتاح التسجيل

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

النتائج والملاحظات

أرسل بريدا إلكترونيا إلى suvp@microsoft.com مع نتائج الاختبار والأسئلة والملاحظات.

إجراءات الاسترداد والاستعادة

عند تنفيذ إجراءات الاسترداد، شارك البيانات التالية مع Microsoft:

• لقطة شاشة لفشل التمهيد الذي تمت ملاحظته.

• الخطوات التي تم تنفيذها والتي أدت إلى أن يصبح الجهاز غير قابل للتمهيد.

• تفاصيل تكوين الجهاز.

عند تنفيذ إجراء استعادة، قم بإيقاف BitLocker مؤقتا قبل بدء الإجراء.

إذا حدث خطأ أثناء هذه العملية ولم تتمكن من بدء تشغيل جهازك أو كنت بحاجة إلى البدء من الوسائط الخارجية (على سبيل المثال، محرك الأقراص الإبهام أو تمهيد PXE)، فجرب الإجراءات التالية.

1. إيقاف تشغيل التمهيد
   
   الآمن يختلف هذا الإجراء بين الشركات المصنعة للكمبيوتر الشخصي والنماذج. أدخل قائمة PCs UEFI BIOS وانتقل إلى إعداد Secure Boot وقم بإيقاف تشغيله. تحقق من الوثائق من الشركة المصنعة للكمبيوتر للحصول على تفاصيل حول هذه العملية. لمزيد من المعلومات، راجع تعطيل التمهيد الآمن.

2. مسح مفاتيح
   
   التمهيد الآمن إذا كان الجهاز يدعم مسح مفاتيح التمهيد الآمن أو إعادة تعيين مفاتيح التمهيد الآمن إلى الإعدادات الافتراضية للمصنع، فنفذ هذا الإجراء الآن.  
   
   يجب أن يبدأ جهازك الآن ولكن لاحظ أنه عرضة للبرامج الضارة الخاصة بمجموعات التمهيد. تأكد من إكمال الخطوة 5 في نهاية عملية الاسترداد هذه لإعادة تمكين التمهيد الآمن.

3. حاول بدء تشغيل Windows من قرص النظام.

   1. إذا تم تمكين BitLocker ودخل في الاسترداد، أدخل مفتاح استرداد BitLocker.

   2. تسجيل الدخول إلى Windows.

   3. قم بتشغيل الأوامر التالية من موجه أوامر المسؤول لاستعادة ملفات التمهيد في قسم تمهيد نظام EFI:

      Mountvol s: /s del s:\EFI\Microsoft\*.* /f /s /q bcdboot %systemroot% /s S:

   4. يجب أن يؤدي تشغيل BCDBoot إلى إرجاع "تم إنشاء ملفات التمهيد بنجاح. "

   5. إذا تم تمكين BitLocker، فقم بإيقاف BitLocker مؤقتا.

   6. أعد تشغيل الجهاز.

4. إذا لم تسترد الخطوة 3 الجهاز بنجاح، فقم بإعادة تثبيت Windows.

   1. ابدأ من وسائط الاسترداد الموجودة.

   2. تابع لتثبيت Windows باستخدام وسائط الاسترداد.

   3. تسجيل الدخول إلى Windows.

   4. أعد التشغيل للتحقق من بدء تشغيل الجهاز بنجاح إلى Windows.

5. إعادة تمكين التمهيد الآمن وإعادة تشغيل الجهاز.
   
   أدخل قائمة devicce UEFI وانتقل إلى إعداد Secure Boot وقم بتشغيله. تحقق من الوثائق من الشركة المصنعة لجهازك للحصول على تفاصيل حول هذه العملية. لمزيد من المعلومات، راجع إعادة تمكين التمهيد الآمن.

6. إذا استمر فشل بدء تشغيل Windows، أدخل UEFI BIOS مرة أخرى وأوقف تشغيل التمهيد الآمن.

7. بدء تشغيل Windows.

8. مشاركة محتويات DB وDBX مع Microsoft.

   1. افتح PowerShell في وضع المسؤول.

   2. التقاط DB:

      Get-SecureBootUEFI -name:db -OutputFilePath DBUpdateFw.bin

   3. التقاط DBX:

      Get-SecureBootUEFI -name:dbx –OutputFilePath dbxUpdateFw.bin

   4. مشاركة الملفات DBUpdateFw.bindbxUpdateFw.bin إنشاؤها في الخطوات 8b و8c.