KB4535680: mise à jour de sécurité pour DBX de démarrage sécurisé : 12 janvier 2021

Problème

Solution de contournement

Il est possible que certains microprogrammes de fabricants d’ordinateurs (OEM) n’autorisent pas l’installation de cette mise à jour.

Pour résoudre ce problème, contactez le fabricant OEM du microprogramme.

Si la stratégie de groupe BitLocker Configurer le profil de validation de plateforme du module de plateforme sécurisée pour les configurations avec microprogramme UEFI natif est activée et que PCR7 est sélectionné par stratégie, la clé de récupération BitLocker peut être requise sur certains appareils où la liaison PCR7 est impossible.

Pour afficher le statut de liaison PCR7, exécutez l’outil Informations système de Microsoft (Msinfo32.exe) avec des autorisations d’administration.

Pour contourner ce problème, effectuez l’une des opérations suivantes en fonction de la configuration Credential Gard avant de déployer cette mise à jour :

• Sur un appareil où Credential Gard n’est pas activé, exécutez la commande suivante à partir d’une invite de commandes exécutée en tant qu’administrateur afin de suspendre BitLocker pour un cycle de redémarrage :

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Ensuite, redémarrez l’appareil pour reprendre la protection BitLocker.
  
  Remarque N’activez pas la protection BitLocker sans redémarrer également l’appareil, car cela entraînerait une récupération BitLocker.

• Sur un appareil où Credential Gard est activé, il peut y avoir plusieurs redémarrages au cours de la mise à jour qui nécessitent la suspension de BitLocker. Exécutez la commande suivante à partir d’une invite de commandes exécutée en tant qu’administrateur pour suspendre BitLocker pour 3 cycles de redémarrage. Manage-bde –Protectors –Disable C: -RebootCount 3

  Cette mise à jour devrait entraîner deux redémarrages du système. Redémarrez l’appareil une fois de plus pour reprendre la protection BitLocker.

  Remarque N’activez pas la protection BitLocker sans redémarrer en plus, car cela entraînerait une récupération BitLocker.

Vous pouvez entrer dans la récupération BitLocker si les paramètres de stratégie de groupe BitLocker en conflit sont configurés après l’activation de BitLocker dans l’environnement. La récupération Bitlocker peut être déclenchée en raison de l’un des paramètres stratégie de groupe ci-dessous :

• Forcer la configuration explicite des liaisons PCR qui diffère de ce qui est déjà choisi par BitLocker.

• La configuration de GP «Autoriser le démarrage sécurisé pour la validation de l’intégrité» pour désactiver le démarrage sécurisé pour la validation de l’intégrité, mais BitLocker utilise déjà le démarrage sécurisé (PCR7).

• La configuration de stratégie de groupe pour Exiger une authentification supplémentaire au démarrage mais BitLocker a été configuré avant de déployer cette stratégie de groupe.

Si cette mise à jour a déjà été appliquée et que l’appareil n’a pas redémarré, suspendez BitLocker et redémarrez après avoir suivi les étapes ci-dessous :

• Si une configuration PCR explicite a été définie par le biais d’une stratégie de groupe ou si une stratégie est configurée pour interdire l’utilisation du démarrage sécurisé pour la validation de l’intégrité, suspendez et reprenez BitLocker pour effacer les conflits de stratégie de groupe.

• Si la stratégieExiger une authentification supplémentaire au démarrage est configurée pour exiger le module de plateforme sécurisée et le code confidentiel, exécutez la commande suivante à partir d’une invite de commandes d’administration et entrez le code PIN souhaité :manage-bde -protectors -add c: -TPMAndPin

• Si la stratégie Exiger une authentification supplémentaire au démarrage est configurée pour exiger une clé de démarrage, exécutez la commande suivante pour créer une clé de démarrage : manage-bde -protectors -add c: -tpmandstartupkey <chemin d’accès au répertoire de clé externe>

• Si la stratégie Exiger une authentification supplémentaire au démarrage est configurée pour exiger une clé de démarrage et un code confidentiel, exécutez la commande suivante à partir de l’invite de commandes Administrateur pour créer un code pin et une clé de démarrage. Lorsque vous y êtes invité, entrez le code confidentiel souhaité : manage-bde -protectors -add c: -tpmandpinandstartupkey <chemin d’accès au répertoire de clé externe>

Cette mise à jour risque de ne pas s’installer sur les appareils avec un fichier de gestionnaire de démarrage non signé non Microsoft bootx64.efi .  Cette mise à jour peut être proposée et réoffoffée via Windows Update, mais peut ne pas être installée.  Lorsque vous essayez d’installer cette mise à jour manuellement, vous pouvez recevoir une erreur. « Certaines mises à jour n’ont pas été installées », indiquant KB4565680.  Vous pouvez également rechercher l’erreur suivante dans le fichier journal CBS dans %systemroot%\logs\cbs : 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277) : erreur TRUST_E_NOSIGNATURE provient de la fonction Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Nous travaillons à une résolution et estimez qu’une solution sera disponible pour Windows 10, version 1909, Windows 10, version 2004 et Windows 10, version 20H2 fin mars.  Les autres versions prises en charge de Windows sont estimées avoir une solution disponible mi-avril.

Pour obtenir des conseils supplémentaires avant la publication de la résolution, contactez le fabricant de votre appareil (OEM).