Събития за актуализиране на променливи DB за защитено стартиране и DBX

ИД на събитие: 1032

Това събитие се регистрира, когато BitLocker на системния диск е конфигуриран по такъв начин, че прилагането на актуализация на защитеното стартиране на фърмуера ще накара BitLocker да влезе в режим на възстановяване. Решението е BitLocker да се преустанови временно за 2 цикъла на рестартиране, за да позволите на актуализацията да се инсталира.

Предприемане на действие

За да разрешите този проблем, изпълнете следната команда от командния прозорец на администратора, за да преустановите BitLocker за 2 цикъла на рестартиране:

• Manage-bde –Protectors –Disable %systemdrive% -RebootCount 2

След това рестартирайте устройството два пъти, за да възобновите защитата с BitLocker.

За да се уверите, че защитата с BitLocker е възобновена, изпълнете следната команда след двукратно рестартиране:

• Manage-bde –Protectors –enable %systemdrive%

Информация за регистъра на събитията

ИД на събитие 1032 ще бъде регистриран, когато конфигурацията на BitLocker на системния диск би довела до възстановяване на системата с BitLocker, ако се приложи актуализацията на защитеното стартиране. В това събитие <тип събитие> може да бъде едно от следните: "DB", "DBX", "SBAT", "Актуализация на правила (SKU)", "Windows UEFI CA 2023 (DB)", "Option ROM CA 2023 (DB)", "3P UEFI CA 2023 (DB)", "KEK 2023", "DBX SVN" или "Анулиране на UEFI CA 2011 (DBX)".

Обратно към общите събития

Идентификатор на събитие: 1033

Когато актуализираният списък на анулираните DBX се инсталира на устройство, Windows проверява дали системата зависи от един от уязвимите модули за стартиране на устройството. Ако бъде открит един от уязвимите модули, актуализацията на списъка DBX във фърмуера се отлага. При всяко рестартиране на системата устройството се сканира повторно, за да се определи дали уязвимият модул е актуализиран и дали е безопасно да се приложи актуализираният списък DBX.

Предприемане на действие

В повечето случаи доставчикът на уязвимия модул трябва да има актуализирана версия, която адресира уязвимостта. Свържете се с вашия доставчик, за да получите актуализацията.

Информация за регистъра на събитията

ИД на събитие 1033 ще бъде регистриран, когато на вашето устройство бъде открит уязвим зареждащ служебен лоадер, който е бил анулиран от тази актуализация.

Обратно към общите събития

Идентификатор на събитие: 1034

Това събитие се регистрира, когато променливата Secure Boot DBX се актуализира успешно. Променливата DBX се използва за недоверие на компонентите на защитеното стартиране и обикновено се използва за блокиране на уязвими или злонамерени компоненти на защитеното стартиране, като диспечери за стартиране и сертификати, използвани за подписване на диспечери за стартиране.

Събитие 1034 показва, че стандартните анулирания на DBX се прилагат към фърмуера,

Информация за регистъра на събитията

Обратно към общите събития

Идентификатор на събитие: 1036

Това събитие се регистрира, когато променливата Secure Boot DB е актуализирана успешно. Променливата DB се използва за добавяне на доверие към компоненти на защитено стартиране и обикновено се използва, за да се довери на сертификати, използвани за подписване на диспечери за стартиране.

Информация за регистъра на събитията

Обратно към общите събития

Идентификатор на събитие: 1037

Това събитие се регистрира, когато сертификатът на Microsoft Windows Production PCA 2011 се добавя към базата данни за забранени подписи (DBX) за защитено стартиране на UEFI. Когато това се случи, всички приложения за стартиране, подписани с този сертификат, вече няма да са надеждни при стартиране на устройството. Това включва всички приложения за стартиране, използвани с носител за възстановяване на система, приложения за стартиране на PXE и всички други носители, използващи приложения за стартиране, подписани с този сертификат.

Информация за регистрационния файл за грешки

Обратно към общите събития

Идентификатор на събитие: 1042

Това събитие се регистрира, когато променливата DBX за защитено стартиране се актуализира успешно с номера на защитената версия (SVN).

SVN е стойност на версия, използвана от защитеното стартиране за налагане на защита срещу връщане към стабилно състояние за компоненти на зареждане. Представлява минимално разрешената версия на компонент за зареждане, като например диспечера за зареждане на Windows, която фърмуерът на устройството позволява да работи.

SVN се съхранява в променливата DBX за защитено стартиране на фърмуера и се сравнява с версията, вградена в компонента за зареждане. Ако SVN на компонента е по-нисък от необходимата стойност, изпълнението му се блокира. Това предотвратява използването на по-стари, потенциално уязвими версии и помага за предпазване от атаки за връщане към стабилно състояние.

Стойността на SVN се увеличава с времето с издаването на актуализации на защитата, което позволява изпълнението на по-нови надеждни версии, като същевременно се изключат за постоянно по-старите, които вече не отговарят на изискванията за защита.

Информация за регистрационния файл за грешки

Обратно към общите събития

Идентификатор на събитие: 1043

Това събитие се регистрира, когато променливата Secure Boot KEK се актуализира успешно със сертификата Microsoft Corporation KEK CA 2023 . Променливата KEK се използва за добавяне на доверие при актуализации на защитеното стартиране към променливите DB и DBX. Добавянето на този нов сертификат към KEK е необходимо, за да помогне за защитата на устройствата след изтичането на съществуващия сертификат на Microsoft Corporation KEK CA 2011 , който изтича през 2026 г.

Информация за регистрационния файл за грешки

Обратно към общите събития

Идентификатор на събитие: 1044

Това събитие се регистрира, когато сертификатът на Microsoft Option ROM CA 2023 се добави към променливата DB. Променливата DB се използва за добавяне на доверие към компоненти на защитено стартиране и обикновено се използва, за да се довери на сертификати, използвани за подписване на диспечери за стартиране. Добавянето на новия Option ROM сертификат към базата данни е необходимо, за да се осигури непрекъснатост на поддръжката преди изтичането на Microsoft UEFI CA 2011 през 2026 г.

Информация за регистрационния файл за грешки

Обратно към общите събития

Идентификатор на събитие: 1045

Това събитие се регистрира, когато сертификатът Microsoft UEFI CA 2023 се добавя към променливата DB. Променливата DB се използва за добавяне на доверие към компоненти на защитено стартиране и обикновено се използва, за да се довери на сертификати, използвани за подписване на диспечери за стартиране. Добавянето на новия сертификат Microsoft UEFI CA 2023 към базата данни е необходимо, за да се осигури непрекъснатост на поддръжката преди изтичането на Microsoft UEFI CA 2011 през 2026 г.

Информация за регистрационния файл за грешки

Обратно към общите събития

Идентификатор на събитие: 1796

Когато актуализацията на защитеното стартиране се приложи към дадено устройство и възникне грешка, която не се покрива от други събития, се регистрира събитие и Windows ще се опита да приложи актуализация на защитеното стартиране на фърмуера при следващото рестартиране на системата.

Информация за регистъра на събитията

ИД на събитие 1796 възниква, когато възникне неочаквана грешка. Записът в регистъра на събитията ще включва кода на грешката за неочакваната грешка. В това събитие <тип събитие> може да бъде едно от следните: "DB", "DBX", "SBAT", "Актуализация на правила (SKU)", "Windows UEFI CA 2023 (DB)", "Option ROM CA 2023 (DB)", "3P UEFI CA 2023 (DB)", "KEK 2023", "DBX SVN" или "Анулиране на UEFI CA 2011 (DBX)".

Обратно към общите събития

Идентификатор на събитие: 1797

Това събитие се регистрира при опит за добавяне на сертификата Microsoft Windows Production PCA 2011 към базата данни за забранени подписи (DBX) на защитеното стартиране на UEFI.

Преди да добавите този сертификат към DBX, се извършва проверка, за да се уверите, че сертификатът на Windows UEFI CA 2023 е добавен към базата данни за подписи (DB) за защитено стартиране на UEFI. Ако Windows UEFI CA 2023 не е добавен към базата данни, Windows умишлено ще провали актуализацията на DBX. Това се прави, за да се гарантира, че устройството се доверява на поне един от тези два сертификата, което гарантира, че устройството ще се доверява на приложения за стартиране, подписани от Microsoft.

Когато добавяте Microsoft Windows Production PCA 2011 към DBX, се правят две проверки, за да се гарантира, че устройството продължава да стартира успешно: 1) уверете се, че Windows UEFI CA 2023 е добавен към базата данни, 2) Уверете се, че приложението за стартиране по подразбиране не е подписано със сертификата Microsoft Windows Production PCA 2011.

Информация за регистъра на събитията

Обратно към общите събития

Идентификатор на събитие: 1798

Това събитие се регистрира при опит за добавяне на сертификата Microsoft Windows Production PCA 2011 към базата данни за забранени подписи (DBX) на защитеното стартиране на UEFI.

Преди да добавите този сертификат към DBX, се извършва проверка, за да се гарантира, че приложението за стартиране по подразбиране не е подписано със сертификата за подписване на Microsoft Windows Production PCA 2011. Ако приложението за стартиране по подразбиране е подписано със сертификата за подписване на Microsoft Windows Production PCA 2011, Windows нарочно няма да успее да премине през актуализацията на DBX. 

Когато добавяте Microsoft Windows Production PCA 2011 към DBX, се правят две проверки, за да се гарантира, че устройството продължава да стартира успешно: 1) уверете се, че Windows UEFI CA 2023 е добавен към базата данни, 2) Уверете се, че приложението за стартиране по подразбиране не е подписано със сертификата Microsoft Windows Production PCA 2011.

Информация за регистъра на събитията

Обратно към общите събития

Идентификатор на събитие: 1799

Това събитие се регистрира, когато диспечер за зареждане се приложи към системата, която е подписана със сертификата на Windows UEFI CA 2023

Информация за регистъра на събитията

Обратно към общите събития

Идентификатор на събитие: 1800 

Това събитие се регистрира, когато системата открие, че прилагането на актуализация на защитеното стартиране в текущия цикъл на стартиране може да създаде конфликт с последните промени, като например актуализация на диспечера за зареждане или актуализации на променливи на защитеното стартиране на устройства, които използват защита, базирана на виртуализация. Рестартирането изчиства тези условия, така че актуализацията да може да протече безопасно. В това събитие <тип събитие> може да бъде едно от следните: "DB", "DBX", "Актуализация на правила (SKU)", "Windows UEFI CA 2023 (DB)", "Option ROM CA 2023 (DB)", "3P UEFI CA 2023 (DB)", "KEK 2023", "DBX SVN" или "Анулиране на UEFI CA 2011 (DBX)".

Информация за регистъра на събитията

Обратно към общите събития

Подробности за събитието

• DeviceAttributes описват характеристиките на устройството. Тези стойности се използват при изчисляването на BucketID.

• BucketID е уникален хеш, който идентифицира група от еквивалентни устройства. Устройството може да премине към друг набор, когато атрибутите му се променят, например след актуализация на фърмуера.

• UpdateType ще бъде или 0, или 22852 (0x5944). Стойността 0x5944 показва актуализация с висока достоверност.

• BucketConfidenceLevel се появява, когато системата има достатъчно данни, за да прецени колко уверено устройството може да приеме актуализацията. Възможните стойности включват:

  • Висока достоверност: Устройствата от тази група са показали чрез наблюдаваните данни, че могат успешно да актуализират фърмуера с помощта на новите сертификати за защитено стартиране.

  • Временно поставени на пауза: Устройствата от тази група са засегнати от известен проблем. За да се намали рискът, актуализациите на сертификати за защитено стартиране са временно поставени на пауза, докато Microsoft и партньорите работят за поддържано решение. Това може да изисква актуализация на фърмуера. Потърсете събитие от 1802 за повече подробности.

  • Не се поддържа – известно ограничение: Устройствата в тази група не поддържат пътя за актуализиране на сертификата за автоматизирано защитено стартиране поради ограничения на хардуера или фърмуера. В момента не се поддържа автоматично разрешаване за тази конфигурация.

  • Под наблюдение - необходими са още данни: Устройствата в тази група в момента не са блокирани, но все още няма достатъчно данни, за да бъдат класифицирани като такива с висока достоверност. Актуализациите на сертификата за защитено стартиране могат да се отлагат, докато не бъдат налични достатъчно данни.

  • Няма наблюдавани данни – изисква се действие: Microsoft не е наблюдавал това устройство в данните за актуализации на защитеното стартиране. В резултат на това автоматичните актуализации на сертификати не могат да бъдат оценени за това устройство и вероятно е необходимо действие от администратора. За указания вижте: https://aka.ms/SecureBootStatus.

Връщане към специфични за устройството събития 

Идентификатор на събитие: 1795

Когато към фърмуера се приложи база данни за подписи на защитено стартиране (DB), анулирана база данни за подписи (DBX) или актуализация на ключ за обмен на ключ (KEK), фърмуерът може да върне грешка. Когато възникне грешка, се регистрира събитие и Windows ще се опита да приложи актуализацията към фърмуера при следващото рестартиране на системата.

Предприемане на действие

Свържете се с производителя на вашето устройство, за да разберете дали е налична актуализация на фърмуера.

Информация за регистъра на събитията

ИД на събитие 1795 ще бъде регистриран, когато фърмуерът в устройството върне грешка. Записът в регистъра на събитията ще включва кода на грешката, върнат от фърмуера.

Връщане към специфични за устройството събития  

Идентификатор на събитие: 1801

Това е събитие за грешка, което показва, че актуализираните сертификати и диспечер за зареждане не са приложени към фърмуера на устройството. Това събитие предоставя някои подробности за устройството, включително атрибутите на устройството и ИД на набора устройства, което ще помогне в съпоставянето кои устройства все още се нуждаят от актуализиране.

Информация за регистъра на събитията

Връщане към специфични за устройството събития  

Идентификатор на събитие: 1802

Това събитие показва, че актуализацията на защитеното стартиране е блокирана умишлено, тъй като устройството отговаря на известно състояние на фърмуера или хардуера, което пречи на актуализацията да завърши безопасно. Тези условия се базират на проблеми, съобщени от производителите на устройства или идентифицирани чрез тестване на Microsoft, при които прилагането на актуализацията би било неуспешно или може да доведе до по-сериозни проблеми. Събитието идентифицира конкретната причина, така че администраторите да могат да разберат защо актуализацията не е извършена. В това събитие <тип събитие> може да бъде едно от следните: "DB", "DBX", "Актуализация на правила (SKU)", "Windows UEFI CA 2023 (DB)", "Option ROM CA 2023 (DB)", "3P UEFI CA 2023 (DB)", "KEK 2023", "DBX SVN" или "Анулиране на UEFI CA 2011 (DBX)". Подробности за <известен проблем с идентификационния> и указания за отстраняване са налични на https://go.microsoft.com/fwlink/?linkid=2339472.

Информация за регистъра на събитията

Връщане към специфични за устройството събития  

Идентификатор на събитие: 1803

Защитеното стартиране може да актуализира ключа за обмен на ключ само когато KEK е правилно подписан от ключа на платформата. Производителите на устройства или други собственици на ключа на платформата подписват Microsoft KEK и предоставят този подписан KEK на Microsoft, за да може да бъде включен в актуализациите на Windows. Това събитие означава, че подписан EK за това устройство не е открит в кумулативната актуализация, така че актуализацията на KEK не може да продължи. Клиентите могат да проверят при производителя на устройството състоянието на подписан ПК KEK за техния модел. Повече информация е налична в https://go.microsoft.com/fwlink/?linkid=2339472.

Връщане към специфични за устройството събития  

Идентификатор на събитие: 1808

Това е информационно събитие, което показва, че устройството има необходимите нови сертификати за защитено стартиране, приложени към фърмуера на устройството. Това събитие ще бъде регистрирано, когато всички необходими сертификати са приложени към фърмуера и диспечерът за зареждане е актуализиран до диспечера за зареждане, подписан със сертификата "Windows UEFI CA 2023".

Бележка: Това събитие показва, че устройството е напълно актуализирано. BucketConfidenceLevel отразява покритието на данните на Microsoft за подобни устройства и не означава, че са необходими допълнителни действия на това устройство.

Информация за регистъра на събитията

Връщане към специфични за устройството събития