Microsoft-vejledning til anvendelse af Sikker bootstart DBX-opdatering (KB4575994)

Anvendelse af en DBX-opdatering på Windows

Når du har læst advarslerne i forrige afsnit og kontrolleret, at enheden er kompatibel, skal du følge disse trin for at opdatere Sikker bootstart DBX:

1. Download den relevante UEFI-listefil (Dbxupdate.bin) til din platform fra denne UEFI-webside.

2. Du skal opdele filen Dbxupdate.bin i de nødvendige komponenter for at anvende dem ved hjælp af PowerShell-cmdlet'er. Det kan du gøre ved at følge disse trin:

   1. Download PowerShell-scriptet fra denne PowerShell Gallery-webside.

   2. Kør følgende cmdlet for at finde scriptet:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Kontrollér, at cmdlet'en henter scriptet og leverer outputoplysninger, herunder Navn, Version, Forfatter, PublicDate, InstalledDate og InstalledLocation.

   4. Kør følgende cmdlet'er:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd-$ScriptPath

      • Ls

   5. Kontrollér, at den SplitDbxContent.ps1 fil nu findes i mappen Scripts.

   6. Kør følgende PowerShell-script på filen Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Kontrollér, at kommandoen har oprettet følgende filer.

      

      • Content.bin – opdater indhold

      • Signature.p7 – signatur, der giver tilladelse til opdateringsprocessen

3. Kør Set-SecureBootUefi-cmdletten i en administrativ PowerShell-session for at anvende DBX-opdateringen:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Forventet output
   
   

4. Genstart enheden for at fuldføre installationen af opdateringen.

Du kan få mere at vide om cmdlet'en til konfiguration af sikker bootstart, og hvordan den bruges til DBX-opdateringer, under Set-Secure.

Kontrollerer, at opdateringen blev gennemført  

Når du har fuldført trinnene i forrige afsnit og genstartet enheden, skal du følge disse trin for at kontrollere, at opdateringen blev installeret korrekt. Når bekræftelsen er fuldført, påvirkes enheden ikke længere af GRUB-sårbarheden.

1. Download scripts til dbx-opdateringsbekræftelse fra denne GitHub Gist-webside.

2. Udpak scripts og binære filer fra den komprimerede fil.

3. Kør følgende PowerShell-script i den mappe, der indeholder de udvidede scripts og binære filer, for at bekræfte DBX-opdateringen:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Bemærk: Hvis en DBX-opdatering, der svarer til juli 2020- eller oktober 2020-versionerne fra dette arkiv med lister over tilbagekaldte filer , blev anvendt, skal du køre følgende relevante kommando i stedet:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Kontrollér, at outputtet svarer til det forventede resultat.
   
   

FAQ

Sp1: Hvad betyder fejlmeddelelsen "Get-SecureBootUEFI: Cmdlets understøttes ikke på denne platform"?

A1: Denne fejlmeddelelse angiver, at funktionen INGEN sikker bootstart er aktiveret på computeren. Derfor påvirkes denne enhed IKKE af GRUB-sårbarheden. Det er ikke nødvendigt at gøre yderligere.

Sp2: Hvordan gør jeg konfigurere enheden til at have tillid til eller ikke have tillid til tredjeparts UEFI CA? 

A2: Vi anbefaler, at du kontakter din OEM-leverandør. 

For Microsoft Surface skal du ændre indstillingen Sikker bootstart til "Kun Microsoft" og derefter køre følgende PowerShell-kommando (resultatet skal være "Falsk"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Du kan få mere at vide om, hvordan du konfigurerer til Microsoft Surface, under Administrer Surface UEFI-indstillinger – Surface | Microsoft Docs.

Sp3: Påvirker dette problem virtuelle maskiner til Azure IaaS Generation 1 og Generation 2? 

A3: Nej. Virtuelle Azure-gæstemaskiner Gen1 og Gen2 understøtter ikke funktionen Sikker bootstart. Derfor påvirkes de ikke af tillidsangrebet. 

Sp4: Refererer ADV200011 og CVE-2020-0689 til den samme sårbarhed, der er relateret til sikker bootstart? 

A: Nej. Disse sikkerhedsrådgivere beskriver forskellige sårbarheder. "ADV200011" refererer til en sårbarhed i GRUB (Linux-komponent), der kan medføre en sikker bootstarttilsidesættelse. "CVE-2020-0689" henviser til en sikkerhedsfunktions tilsidesættelsessårbarhed, der findes i Sikker bootstart. 

Sp5: Jeg kan ikke køre nogen af PowerShell-scripts. Hvad skal jeg gøre?

A: Kontrollér PowerShell-eksekveringspolitikken ved at køre kommandoen Get-ExecutionPolicy . Afhængigt af outputtet skal du muligvis opdatere eksekveringspolitikken:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) – PowerShell | Microsoft Docs