KB5025885: Správa odvolání Správce spouštění systému Windows u změn zabezpečeného spouštění souvisejících s CVE-2023-24932

V tomto článku

• Shrnutí

  • Provedení akce

  • Rozsah dopadu

  • Pochopení rizik

  • Známé problémy

• Pokyny pro tuto verzi

• Pokyny pro nasazení zmírnění rizik

• Spouštěcí médium

• Aktualizace instalačního média systému Windows

• Načasování aktualizací

• Chyby protokolu událostí systému Windows související s CVE-2023-24932

• Nejčastější dotazy

• Řešení potíží se spouštěním

• Postup obnovení

• Reference

• Protokol změn

Shrnutí

Tento článek popisuje ochranu proti veřejně zveřejněné funkci zabezpečení zabezpečeného spouštění, která používá bootkit BlackLotus UEFI sledovaný cve-2023-24932, postup povolení zmírnění rizik a pokyny ke spouštěcím médiím. Bootkit je škodlivý program, který je navržen tak, aby se co nejdříve načetl do spouštěcí sekvence zařízení, aby bylo možné řídit spuštění operačního systému.

Zabezpečené spouštění doporučuje Microsoft, aby vytvořil bezpečnou a důvěryhodnou cestu z rozhraní UEFI (Unified Extensible Firmware Interface) přes důvěryhodnou spouštěcí sekvenci jádra Windows. Zabezpečené spouštění pomáhá zabránit malwaru bootkitu ve spouštěcí sekvenci. Zakázání zabezpečeného spouštění vystavuje zařízení riziku napadení malwarem bootkitu. Oprava obejití zabezpečeného spouštění popsaného v CVE-2023-24932 vyžaduje odvolání správců spouštění. To může způsobit problémy u některých konfigurací spouštění zařízení.

Zmírnění rizik souvisejících s obejití zabezpečeného spouštění podrobně popsané v cve-2023-24932 jsou součástí aktualizací zabezpečení systému Windows vydaných 9. dubna 2024 nebo později. Tato zmírnění rizik ale nejsou ve výchozím nastavení povolená. S těmito aktualizacemi doporučujeme začít vyhodnocovat tyto změny ve vašem prostředí. Úplný plán je popsaný v části Časování aktualizací .

Než povolíte tato zmírnění rizik, měli byste si důkladně projít podrobnosti v tomto článku a určit, jestli musíte povolit zmírnění rizik nebo počkat na budoucí aktualizaci od Microsoftu. Pokud se rozhodnete povolit zmírnění rizik, musíte ověřit, že jsou vaše zařízení aktualizovaná a připravená a pochopit rizika popsaná v tomto článku. 

Pokyny pro tuto verzi

Pro tuto verzi postupujte podle těchto dvou kroků.

Krok 1: Instalace aktualizace

zabezpečení Windows Nainstalujte měsíční aktualizaci zabezpečení Windows vydanou 9. dubna 2024 nebo později na podporovaná zařízení s Windows. Tyto aktualizace zahrnují zmírnění rizik pro CVE-2023-24932, ale ve výchozím nastavení nejsou povolené. Tento krok by měla dokončit všechna zařízení s Windows bez ohledu na to, jestli plánujete nasadit zmírnění rizik.

Krok 2: Vyhodnocení změn

Doporučujeme vám postupovat následovně:

• Seznamte se s prvními dvěma omezeními rizik, která umožňují aktualizaci databáze zabezpečeného spouštění a správce spouštění.

• Zkontrolujte aktualizovaný plán.

• Začněte testovat první dvě zmírnění rizik na reprezentativních zařízeních z vašeho prostředí.

• Zahájení plánování fáze nasazení bude 9. července 2024.

Krok 3: Vynucení změn

Doporučujeme, abyste porozuměli rizikům, která jsou popsána v části Vysvětlení rizik.

• Seznamte se s dopadem na obnovení a další spouštěcí média.

• Začněte testovat třetí zmírnění rizik, které nedůvěřuje podpisovým certifikátům používaným pro všechny předchozí správce spouštění Systému Windows.

Pokyny pro nasazení zmírnění rizik

Než budete postupovat podle těchto kroků pro zmírnění rizik, nainstalujte na podporovaná zařízení s Windows měsíční servisní aktualizaci Windows vydanou 9. dubna 2024 nebo později. Tato aktualizace zahrnuje zmírnění rizik pro CVE-2023-24932, ale ve výchozím nastavení nejsou povolené. Tento krok by měla dokončit všechna zařízení s Windows bez ohledu na to, co plánujete, aby se zmírnění rizik povolilo.

Pokud chcete nasadit aktualizaci a použít odvolání, postupujte takto:

1. Nainstalujte aktualizované definice certifikátů do databáze.

   Tento krok přidá certifikát "Windows UEFI CA 2023" do databáze podpisů zabezpečeného spouštění rozhraní UEFI. Po přidání tohoto certifikátu do databáze bude firmware zařízení důvěřovat spouštěcím aplikacím podepsaným tímto certifikátem.

   1. Otevřete příkazový řádek správce a zadáním následujícího příkazu nastavte klíč registru tak, aby provedl aktualizaci databáze:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      DŮLEŽITÉ Než budete pokračovat kroky 2 a 3, nezapomeňte zařízení dvakrát restartovat, abyste dokončili instalaci aktualizace.

   2. Jako správce spusťte následující příkaz PowerShellu a ověřte, že se databáze úspěšně aktualizovala. Tento příkaz by měl vrátit hodnotu True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Aktualizujte na svém zařízení Správce spouštění.

   Tento krok nainstaluje na vaše zařízení aplikaci správce spouštění, která je podepsaná certifikátem "Windows UEFI CA 2023".

   1. Otevřete příkazový řádek správce a nastavte klíč registru tak, aby nainstaloval správce spouštění podepsaného rozhraním Ca UEFI systému Windows 2023:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Restartujte zařízení dvakrát.

   3. Jako správce připojte oddíl EFI, abyste ho připravili ke kontrole:

      mountvol s: /s

   4. Ověřte, že je soubor s:\efi\microsoft\boot\bootmgfw.efi podepsaný certifikátem "Windows UEFI CA 2023". Postupujte takto:

      1. Klikněte na Start, do pole Search zadejte příkazový řádek a potom klikněte na Příkazový řádek.

      2. V okně příkazového řádku zadejte následující příkaz a stiskněte klávesu Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Ve Správci souborů klikněte pravým tlačítkem na soubor C:\bootmgfw_2023.efi, klikněte na Vlastnosti a pak vyberte kartu Digitální podpisy .

      4. V seznamu Podpis ověřte, že řetěz certifikátů zahrnuje certifikační autoritu UEFI 2023 systému Windows. Řetěz certifikátů by měl odpovídat následujícímu snímku obrazovky:
         
         

3. Povolte odvolání.

   Seznam zakázaných rozhraní UEFI (DBX) se používá k blokování načítání nedůvěryhodných modulů UEFI. V tomto kroku aktualizace DBX přidá do DBX certifikát "Windows Production CA 2011". To způsobí, že všichni správci spouštění podepsaní tímto certifikátem už nebudou důvěryhodní.

   UPOZORNĚNÍ: Před použitím třetího zmírnění vytvořte flash disk pro obnovení, který lze použít ke spuštění systému. Informace o tom, jak to udělat, najdete v části Aktualizace instalačního média systému Windows.

   Pokud se váš systém dostane do nespouštětelného stavu, postupujte podle kroků v části Postup obnovení a obnovte zařízení do stavu před odvoláním.

   1. Přidejte certifikát Windows Production PCA 2011 do seznamu zakázaných rozhraní UEFI (DBX) zabezpečeného spouštění. Chcete-li to provést, otevřete okna příkazového řádku jako správce, zadejte následující příkaz a stiskněte klávesu Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Dvakrát restartujte zařízení a ověřte, že se zcela restartovalo.

   3. Ověřte, že se instalace a seznam odvolaných certifikátů úspěšně použily, a to vyhledáním události 1037 v protokolu událostí.
      
      Informace o události 1037 najdete v tématu KB5016061: Události aktualizace databáze zabezpečeného spouštění a proměnné DBX. Nebo jako správce spusťte následující příkaz PowerShellu a ujistěte se, že vrátí hodnotu True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Spouštěcí médium

Jakmile ve vašem prostředí začne fáze nasazení, bude důležité aktualizovat spouštěcí médium. Pokyny a nástroje pro aktualizaci médií budou k dispozici včas pro fázi nasazení. Zahájení fáze nasazení je naplánováno na 9. července 2024.

Příklady spouštěcích médií a médií pro obnovení ovlivněných tímto problémem:

• Spouštěcí médium vytvořené pomocí příkazu Vytvořit jednotku pro obnovení.

• Zálohy Windows, které byly na obrázku před uplatněním zmírnění rizik. Po povolení odvolání na vašem zařízení nebudou přímo použitelné k obnovení instalace Systému Windows.

• Vlastní disk CD/DVD nebo oddíl pro obnovení vytvořený vámi, výrobcem vašeho zařízení (OEM) nebo podniky.

• ISO (stažením nebo pomocí sady ADK).

• Spuštění ze sítě:

  • Služba pro nasazení systému Windows.

  • Před spuštěním spouštěcího prostředí (služby spouštění PXE)

  • Microsoft Deployment Toolkit.

  • Spuštění protokolu HTTPS.

• Instalace A média pro obnovení výrobce OEM.

• Oficiální média Windows od Microsoftu, včetně:

  • Maloobchodní média.

  • Nástroj pro vytváření médií (jednotka ISO nebo USB flash disk)

  • VLSC.

  • Soubory ke stažení pro předplatitele sady Visual Studio.

  • USB flash disk.

• Windows PE.

• Systém Windows nainstalovaný na fyzickém hardwaru nebo virtuálních počítačích

• Windows Validation OS.

Pokud používáte spouštěcí médium s osobním zařízením s Windows, možná budete muset před uplatněním odvolání provést jednu nebo více z následujících akcí:

• Pokud k ukládání obsahu zařízení používáte osobní zálohovací software, nezapomeňte po použití zmírnění rizik z 9. dubna 2024 spustit úplné zálohování.

• Pokud používáte spouštěcí bitovou kopii disku (ISO), disk CD-ROM nebo médium DVD, aktualizujte médium podle pokynů k pozdějšímu datu.

Enterprise

• Projděte si komplexní pokyny a skriptování pro aktualizaci instalačního média Windows pomocí dynamické aktualizace.

• Pokud ve svém prostředí podporujete scénáře spuštění nebo obnovení ze sítě, budete muset aktualizovat všechna média a image. To může zahrnovat následující možnosti spuštění nebo obnovení:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Služba pro nasazení systému Windows.

  • Spuštění pxE.

  • Spouštění pomocí protokolu HTTPS a další scénáře spouštění ze sítě

• Jedním ze způsobů, jak to udělat, je použití offline instalace balíčku DISM na image, které jsou obsluhovány těmito scénáři. To zahrnuje aktualizaci spouštěcích souborů, které tyto služby nabízejí.

• Pokud k uložení obsahu instalace Systému Windows do bitové kopie pro obnovení používáte zálohovací software, nezapomeňte po použití zmírnění rizik z 9. dubna 2024 spustit úplné zálohování. Nezapomeňte kromě oddílu operačního systému Windows zálohovat také oddíl disku EFI. Jasně identifikujte zálohy vytvořené před použitím zmírnění rizik z 9. dubna 2024 v porovnání se zálohami vytvořenými po použití zmírnění rizik.

OEM počítače s Windows

• Projděte si komplexní pokyny a skriptování pro aktualizaci instalačního média Windows pomocí dynamické aktualizace.

Aktualizace instalačního média systému Windows

Pomocí následujícího postupu můžete použít aplikaci Vytvořit jednotku pro obnovení . Toto médium můžete použít k přeinstalaci zařízení v případě závažného problému, jako je selhání hardwaru, budete moct k přeinstalaci Windows použít jednotku pro obnovení.

1. Přejděte na zařízení, na kterém byly použity aktualizace z 9. dubna 2024 a první krok pro zmírnění rizik (aktualizace databáze zabezpečeného spouštění).

2. V nabídce Start vyhledejte aplet ovládacího panelu "Vytvořit jednotku pro obnovení" a podle pokynů vytvořte jednotku pro obnovení.

3. S připojeným nově vytvořeným flash diskem (například jako jednotka D:) spusťte jako správce následující příkazy. Zadejte každý z následujících příkazů a stiskněte klávesu Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Pokud spravujete instalovatelná média ve svém prostředí pomocí pokynů Aktualizace instalačního média Windows pomocí dynamické aktualizace , postupujte podle těchto kroků. Tyto další kroky vytvoří spouštěcí flash disk, který používá spouštěcí soubory podepsané podpisovým certifikátem "Windows UEFI CA 2023".

1. Přejděte na zařízení, na kterém byly použity aktualizace z 9. dubna 2024 a první krok pro zmírnění rizik (aktualizace databáze zabezpečeného spouštění).

2. Podle pokynů na následujícím odkazu vytvořte multimédia s aktualizacemi z 9. dubna 2024. Aktualizace instalačního média windows pomocí dynamické aktualizace

3. Obsah média umístěte na usb flash disk a připojte ho jako písmeno jednotky. Připojte například jednotku s palcem jako "D:".

4. Jako správce spusťte z příkazového okna následující příkazy. Zadejte každý z následujících příkazů a stiskněte klávesu Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Pokud má zařízení po použití zmírnění rizik resetování nastavení zabezpečeného spouštění na výchozí hodnoty, zařízení se nespustí. Pokud chcete tento problém vyřešit, je součástí aktualizací z 9. dubna 2024 aplikace pro opravu, která se dá použít k opětovnému použití certifikátu "Windows UEFI CA 2023" na databázi (zmírnění č. 1).

1. Přejděte na zařízení, na kterém byly použity aktualizace z 9. dubna 2024.

2. V příkazovém okně zkopírujte aplikaci pro obnovení na flash disk pomocí následujících příkazů (za předpokladu, že flash disk je jednotka "D:"). Zadejte každý příkaz samostatně a stiskněte Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Na zařízení, které má nastavení zabezpečeného spouštění obnovené na výchozí hodnoty, vložte flash disk, restartujte zařízení a spusťte ho z flash disku.

Načasování aktualizací

Aktualizace se vydávají následujícím způsobem:

• Počáteční nasazení Tato fáze začala aktualizacemi vydanými 9. května 2023 a poskytovala základní zmírnění rizik s ručními kroky pro povolení těchto zmírnění.

• Druhé nasazení Tato fáze začala aktualizacemi vydanými 11. července 2023, které přidaly zjednodušené kroky pro zmírnění tohoto problému.

• Fáze vyhodnocení Tato fáze začne 9. dubna 2024 a přidá další zmírnění rizik správce spouštění.

• Konečná fáze nasazení V tomto případě budeme všem zákazníkům doporučovat, aby začali nasazovat zmírnění rizik a aktualizovat média.

• Fáze vynucení Fáze vynucení, díky které bude zmírnění rizik trvalá. Datum pro tuto fázi bude oznámeno později.

Poznámka Plán vydávání verzí se může podle potřeby upravit.

Chyby protokolu událostí systému Windows související s CVE-2023-24932

Položky protokolu událostí systému Windows související s aktualizací databází a DBX jsou podrobně popsány v KB5016061: Události aktualizace databáze zabezpečeného spouštění a proměnné DBX.

Události "úspěchu" související s použitím zmírnění rizik jsou uvedeny v následující tabulce.

Nejčastější dotazy

Řešení potíží se spouštěním

Po použití všech tří zmírnění rizik se firmware zařízení nespustí pomocí správce spouštění podepsaného windows production PCA 2011. Selhání spouštění hlášená firmwarem jsou specifická pro zařízení. Projděte si část Postup obnovení .

Postup obnovení

Pokud se při uplatňování zmírnění rizik něco pokazí a zařízení se vám nedaří spustit nebo potřebujete spustit z externího média (například z jednotky s palcem nebo spuštění pomocí technologie PXE), vyzkoušejte následující návrhy:

1. Vypněte zabezpečené spouštění.
   
   Tento postup se liší mezi výrobci zařízení a modely. Zadejte nabídku UEFI BIOS zařízení, přejděte do nastavení zabezpečeného spouštění a vypněte ho. Podrobnosti o tomto procesu najdete v dokumentaci od výrobce zařízení. Další podrobnosti najdete v tématu Zakázání zabezpečeného spouštění.

2. Obnovte klíče zabezpečeného spouštění na výchozí tovární nastavení.

   Pokud zařízení podporuje resetování zabezpečených spouštěcích klíčů na výchozí tovární nastavení, proveďte tuto akci.

   POZNÁMKA Někteří výrobci zařízení mají pro proměnné zabezpečeného spouštění možnost Vymazat i Obnovit. V tomto případě by se mělo použít resetování. Cílem je vrátit proměnné zabezpečeného spouštění zpět na výchozí hodnoty výrobce.

   Vaše zařízení by se mělo spustit hned, ale mějte na paměti, že je ohrožené malwarem spouštěcí sady. Nezapomeňte dokončit krok 5 tohoto procesu obnovení, abyste znovu povolili zabezpečené spouštění.

3. Zkuste spustit Systém Windows ze systémového disku.

   1. Přihlaste se k Windows.

   2. Spuštěním následujících příkazů z příkazového řádku správce obnovte spouštěcí soubory ve spouštěcím oddílu systému EFI. Zadejte každý příkaz samostatně a stiskněte Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Spuštění příkazu BCDBoot vrátí zprávu o úspěšném vytvoření spouštěcích souborů. Po zobrazení této zprávy restartujte zařízení zpět do Windows.

4. Pokud krok 3 úspěšně neobnoví zařízení, přeinstalujte systém Windows.

   1. Spusťte zařízení z existujícího média pro obnovení.

   2. Pokračujte instalací Windows pomocí média pro obnovení.

   3. Přihlaste se k Windows.

   4. Restartujte Windows a ověřte, že se zařízení spustí zpátky do Windows.

5. Znovu povolte zabezpečené spouštění a restartujte zařízení.
   
   Zadejte nabídku UEFI zařízení, přejděte do nastavení zabezpečeného spouštění a zapněte ho. Podrobnosti o tomto procesu najdete v dokumentaci od výrobce zařízení. Další informace najdete v části Opětovné povolení zabezpečeného spouštění.

Reference

• Pokyny pro vyšetřování útoků pomocí CVE-2022-21894: Kampaň BlackLotus

• Zabezpečené spouštění

• Povolení zabezpečeného spouštění na zaregistrovaných zařízeních s Windows

• Informace o událostech, které se generují při instalaci aktualizací DBX, najdete v tématu KB5016061: Řešení ohrožení zabezpečení a odvolávání správců spouštění.