KB4535680: Aktualizace zabezpečení pro zabezpečené spouštění DBX: 12. ledna 2021

Problém

Alternativní řešení

Některé firmware výrobce OEM (Original Equipment Manufacturer) nemusí umožňovat instalaci této aktualizace.

Pokud chcete tento problém vyřešit, obraťte se na výrobce OEM firmwaru.

Pokud je povolená možnost BitLocker Zásady skupiny Konfigurace profilu ověření platformy TPM pro nativní konfiguraci firmwaru UEFI a zásady vyberou PCR7, může to mít za následek vyžadování obnovovacího klíče nástroje BitLocker na některých zařízeních, na kterých není možné vytvořit vazbu PCR7.

Pokud chcete zobrazit stav vazby PCR7, spusťte nástroj Microsoft System Information (Msinfo32.exe) s oprávněními správce.

Pokud chcete tento problém vyřešit, proveďte před nasazením této aktualizace jednu z následujících akcí na základě konfigurace ochrany přihlašovacích údajů:

• Na zařízení, které nemá povolenou službu Credential Gard, spuštěním následujícího příkazu z příkazového řádku správce pozastavte BitLocker po dobu 1 cyklu restartování:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Potom restartujte zařízení, aby se ochrana nástrojem BitLocker obnovila.
  
  Poznámka Nepovolujte ochranu nástrojem BitLocker bez dalšího restartování zařízení, protože by to vedlo k obnovení nástroje BitLocker.

• Na zařízení s povolenou ochranou Credential Guard může během aktualizace dojít k několika restartováním, která vyžadují pozastavení nástroje BitLocker. Spuštěním následujícího příkazu z příkazového řádku správce pozastavte nástroj BitLocker po dobu 3 cyklů restartování. Manage-bde –Protectors –Disable C: -RebootCount 3

  Očekává se, že tato aktualizace restartuje systém dvakrát. Znovu restartujte zařízení, aby se obnovila ochrana nástrojem BitLocker.

  Poznámka Nepovolujte ochranu nástrojem BitLocker bez dalšího restartování, protože by to vedlo k obnovení nástroje BitLocker.

Pokud se po povolení bitlockeru v prostředí nakonfiguruje konfliktní nastavení zásad skupiny nástroje BitLocker, můžete přejít na obnovení nástroje BitLocker. Obnovení nástroje BitLocker je možné aktivovat kvůli některému z následujících nastavení Zásady skupiny:

• Vynucení explicitní konfigurace vazeb PCR , které se liší od toho, co už bitlocker zvolil.

• Konfigurace gp "Povolit zabezpečené spouštění pro ověření integrity" tak, aby nepovolil zabezpečené spouštění pro ověření integrity, ale BitLocker už používá zabezpečené spouštění (PCR7).

• Konfigurace Zásady skupiny vyžadovat další ověřování během spouštění, ale nástroj BitLocker byl nakonfigurovaný před nasazením této zásady skupiny.

Pokud už je tato aktualizace nainstalovaná a zařízení se nerestartovalo, pozastavte nástroj BitLocker a restartujte ho podle následujících kroků:

• Pokud byla explicitní konfigurace PCR nastavena prostřednictvím zásad skupiny nebo je zásada nakonfigurovaná tak, aby nepovolovala použití zabezpečeného spouštění pro ověření integrity, pozastavte a obnovte BitLocker, aby se konflikty zásad skupiny vyčistit.

• Pokud je zásada Vyžadovat další ověřování během spouštění nakonfigurovaná tak, aby vyžadovala čip TPM a PIN kód, spusťte následující příkaz z příkazového řádku pro správu a zadejte požadovaný PIN kód: manage-bde -protectors -add c: -TPMAndPin.

• Pokud je zásada Vyžadovat další ověřování během spouštění nakonfigurovaná tak, aby vyžadovala spouštěcí klíč, vytvořte spouštěcí klíč spuštěním následujícího příkazu: manage-bde -protectors -add c: -tpmandstartupkey <cestu k adresáři externího klíče>

• Pokud je zásada Vyžadovat další ověřování při spuštění nakonfigurovaná tak, aby vyžadovala spouštěcí klíč a pin, spusťte následující příkaz z Správa příkazového řádku a vytvořte pin a spouštěcí klíč. Po zobrazení výzvy zadejte požadovaný PIN kód: manage-bde -protectors -add c: -tpmandpinandstartupkey <cestu k adresáři externího klíče>

Tato aktualizace se nemusí nainstalovat na zařízení s nepodepsaným souborem správce spouštění bootx64.efi jiné společnosti než Microsoft.  Tato aktualizace může být nabízena a nabízena prostřednictvím služba Windows Update ale nemusí být nainstalována.  Při pokusu o ruční instalaci této aktualizace se může zobrazit chyba "Některé aktualizace nebyly nainstalovány" s výpisem KB4565680.  V souboru protokolu CBS v %systemroot%\logs\cbs můžete také zkontrolovat následující chybu: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Chyba TRUST_E_NOSIGNATURE pochází z funkce Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Pracujeme na řešení a odhadujeme, že řešení bude k dispozici pro Windows 10 verze 1909, Windows 10 verze 2004 a Windows 10 verze 20H2 na konci března.  U zbývajících podporovaných verzí Windows se odhaduje, že řešení bude k dispozici v polovině dubna.

Pokud potřebujete další pokyny před vydáním řešení, obraťte se na výrobce zařízení (OEM).