Pokyny společnosti Microsoft k použití aktualizace DBX zabezpečeného spouštění (KB4575994)

Instalace aktualizace DBX ve Windows

Po přečtení upozornění v předchozí části a ověření, že je vaše zařízení kompatibilní, aktualizujte databázi DBX zabezpečeného spouštění následujícím postupem:

1. Z této webové stránky rozhraní UEFI si stáhněte příslušný soubor seznamu odvolaných certifikátů UEFI (Dbxupdate.bin) pro vaši platformu.

2. Abyste je mohli použít pomocí rutin PowerShellu, musíte soubor Dbxupdate.bin rozdělit na nezbytné součásti. Postupujte takto:

   1. Stáhněte si skript PowerShellu z této Galerie prostředí PowerShell webové stránky.

   2. Pokud chcete skript najít, spusťte následující rutinu:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Ověřte, že rutina úspěšně stáhne skript a poskytuje podrobnosti výstupu, včetně názvu, verze, autora, publikovaného data, nainstalovaného a nainstalovaného umístění.

   4. Spusťte následující rutiny:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. Ověřte, že se soubor SplitDbxContent.ps1 nachází ve složce Scripts.

   6. V souboru Dbxupdate.bin spusťte následující skript PowerShellu:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Ověřte, že příkaz vytvořil následující soubory.

      

      • Content.bin – aktualizace obsahu

      • Signature.p7 – podpis autorizující proces aktualizace

3. V relaci PowerShellu pro správu použijte aktualizaci DBX spuštěním rutiny Set-SecureBootUefi :
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Očekávaný výstup
   
   

4. Pokud chcete dokončit proces instalace aktualizace, restartujte zařízení.

Další informace o rutině konfigurace zabezpečeného spouštění a jejím použití pro aktualizace DBX najdete v tématu Set-Secure.

Ověření úspěšné aktualizace  

Po úspěšném dokončení kroků v předchozí části a restartování zařízení postupujte podle těchto kroků a ověřte, že se aktualizace úspěšně nainstalovala. Po úspěšném ověření již nebude vaše zařízení ovlivněno chybou zabezpečení GRUB.

1. Stáhněte si ověřovací skripty aktualizací DBX z této webové stránky GitHub Gist.

2. Extrahujte skripty a binární soubory z komprimovaného souboru.

3. Spuštěním následujícího skriptu PowerShellu ve složce, která obsahuje rozbalené skripty a binární soubory, ověřte aktualizaci DBX:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Poznámka: Pokud byla použita aktualizace DBX, která odpovídá verzím z července 2020 nebo října 2020 z tohoto archivu souborů seznamu odvolání , spusťte místo toho následující příslušný příkaz:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 .\dbx-2020-October.bin 

4. Ověřte, že výstup odpovídá očekávanému výsledku.
   
   

Nejčastější dotazy

Otázka 1: Co znamená chybová zpráva Get-SecureBootUEFI: Rutiny nepodporované na této platformě?

A1: Tato chybová zpráva značí, že v počítači není povolená žádná funkce zabezpečeného spouštění. Proto toto zařízení NENÍ ovlivněno chybou zabezpečení GRUB. Není nutná žádná další akce.

Otázka 2: Návody nakonfigurovat zařízení tak, aby důvěřovaly nebo nedůvěřily certifikační autoritě UEFI třetí strany? 

A2: Doporučujeme, abyste se poradil s dodavatelem výrobce OEM. 

U zařízení Microsoft Surface změňte nastavení zabezpečeného spouštění na "Pouze Microsoft" a pak spusťte následující příkaz PowerShellu (výsledek by měl být Nepravda): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Další informace o tom, jak nakonfigurovat microsoft Surface, najdete v tématu Správa nastavení rozhraní Surface UEFI – Surface | Microsoft Docs.

Otázka 3: Týká se tento problém virtuálních počítačů Azure IaaS 1. generace a 2. generace? 

A3: Ne. Virtuální počítače Azure Host Gen1 a Gen2 nepodporují funkci zabezpečeného spouštění. Proto nejsou ovlivněny řetězem útoků na důvěryhodnost. 

Otázka 4: Odkazují ADV200011 a CVE-2020-0689 na stejné ohrožení zabezpečení, které souvisí se zabezpečeným spouštěním? 

A: Ne. Tyto informační zpravodaje zabezpečení popisují různá ohrožení zabezpečení. "ADV200011" označuje chybu zabezpečení v GRUB (součást Linuxu), která by mohla způsobit obejití zabezpečeného spouštění. CVE-2020-0689 odkazuje na chybu zabezpečení spočívající v obejití funkce zabezpečení, která existuje v zabezpečeném spouštění. 

Otázka 5: Nemůžu spustit ani jeden ze skriptů PowerShellu. Co mám dělat?

A: Ověřte zásady spouštění PowerShellu spuštěním příkazu Get-ExecutionPolicy . V závislosti na výstupu možná budete muset aktualizovat zásady spouštění:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) – PowerShell | Microsoft Docs