KB4535680: Actualización de seguridad para DBX de arranque seguro: 12 de enero de 2021

Incidencia

Solución

Es posible que algunos firmwares de fabricantes de equipos originales (OEM) no permitan la instalación de esta actualización.

Para resolver este problema, póngase en contacto con el OEM del firmware.

Si la directiva de grupo de BitLocker Configurar el perfil de validación de plataforma del TPM para configuraciones de firmware UEFI nativo está habilitada y PCR7 está seleccionado por la directiva, puede que algunos dispositivos en los que el enlace PCR7 no es posible soliciten la clave de recuperación de BitLocker.

Para ver el estado del enlace PCR7, ejecute la herramienta Información del sistema de Microsoft (Msinfo32.exe) con permisos administrativos.

Para solucionar este problema, realice una de las siguientes acciones en función de la configuración de protección de credenciales antes de implementar esta actualización:

• En un dispositivo que no tenga la protección de credenciales habilitada, ejecute el siguiente comando desde el símbolo del sistema de administrador para suspender BitLocker durante un ciclo de reinicio:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  A continuación, reinicie el dispositivo para reanudar la protección de BitLocker.
  
  Nota No habilite la protección de BitLocker sin reiniciar además el dispositivo, ya que no hacerlo daría lugar a la recuperación de BitLocker.

• En un dispositivo con la protección de credenciales habilitada, puede que haya varios reinicios durante la actualización que requieran que se suspenda BitLocker. Ejecute el siguiente comando desde el símbolo del sistema de administrador para suspender BitLocker durante 3 ciclos de reinicio. Manage-bde –Protectors –Disable C: -RebootCount 3

  Se espera que esta actualización reinicie el sistema dos veces. Reinicie el dispositivo una vez más para reanudar la protección de BitLocker.

  Nota No habilite la protección de BitLocker sin además reiniciarlo, ya que no hacerlo daría lugar a la recuperación de BitLocker.

Puede especificar la recuperación de BitLocker si se configuran configuraciones de directiva de grupo de BitLocker en conflicto después de habilitar BitLocker en el entorno. La recuperación de BitLocker se puede desencadenar debido a cualquiera de las siguientes opciones de configuración de directiva de grupo:

• Forzar Configuración explícita de enlaces PCR diferente de la ya elegida por BitLocker.

• Configurar GP "Permitir el arranque seguro para la validación de integridad" para no permitir el arranque seguro para la validación de integridad, pero BitLocker ya está utilizando el arranque seguro (PCR7).

• Configurar directiva de grupo para Requerir autenticación adicional durante el inicio pero BitLocker se ha configurado antes de implementar esta directiva de grupo.

Si esta actualización ya se ha aplicado y el dispositivo no se ha reiniciado, suspenda BitLocker y reinícielo después de seguir estos pasos:

• Si se ha establecido una configuración de PCR explícita a través de una directiva de grupo o una directiva está configurada para no permitir el uso del arranque seguro para la validación de la integridad, suspenda y reanude BitLocker para borrar los conflictos de GP.

• Si la directiva Requerir autenticación adicional durante el inicio está configurada para requerir un TPM y PIN, ejecute el siguiente comando desde un símbolo del sistema administrativo e introduzca el PIN deseado: manage-bde -protectors -add c: -TPMAndPin

• Si la directiva Requerir autenticación adicional durante el inicio está configurada para requerir una clave de inicio, ejecute el siguiente comando para crear la clave de inicio: manage-bde -protectors -add c: -tpmandstartupkey  <path to external key directory>

• Si la directiva Requerir autenticación adicional durante el inicio está configurada para requerir la clave de inicio y el pin, ejecute el siguiente comando desde el símbolo del sistema de administración para crear el pin y la clave de inicio. Cuando se le solicite, escriba el PIN deseado: manage-bde -protectors -add c: -tpmandpinandstartupkey  <path to external key directory> 

Es posible que esta actualización no se instale en dispositivos con un archivo administrador de arranque bootx64.efi no firmado y que no sea de Microsoft.  Esta actualización se puede ofrecer y volver a realizar a través de Windows Update, pero es posible que no se instale.  Al intentar instalar esta actualización manualmente, es posible que reciba un error. "Algunas actualizaciones no se instalaron" con KB4565680.  También puede comprobar el archivo de registro de CBS en %systemroot%\logs\cbs para ver el siguiente error: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Error TRUST_E_NOSIGNATURE originado en la función Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Estamos trabajando en una resolución y estimamos que habrá una solución disponible para Windows 10, versión 1909, Windows 10, versión 2004 y Windows 10, versión 20H2 a finales de marzo.  Se estima que las versiones compatibles restantes de Windows tendrán una solución disponible a mediados de abril.

Para obtener instrucciones adicionales antes del lanzamiento de la resolución, póngase en contacto con el fabricante del dispositivo (OEM).