הדרכה של Microsoft להחלת עדכון DBX של אתחול מאובטח (KB4575994)

החלת עדכון DBX ב- Windows

לאחר שתקרא את האזהרות בסעיף הקודם ותאמת שהמכשיר שלך תואם, בצע שלבים אלה כדי לעדכן את DBX של אתחול מאובטח:

1. הורד את קובץ רשימת הביטוליות המתאים של UEFI (Dbxupdate.bin) עבור הפלטפורמה שלך מדף אינטרנט זה של UEFI.

2. עליך לפצל את הקובץ Dbxupdate.bin לרכיבים הדרושים כדי להחיל אותם באמצעות רכיבי cmdlet של PowerShell. לשם כך, בצע את השלבים הבאים:

   1. הורד את קובץ ה- Script של PowerShell מדף אינטרנט זה של גלריית PowerShell.

   2. כדי לסייע באיור קובץ ה- Script, הפעל את ה- cmdlet הבא:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. ודא שה- cmdlet מוריד בהצלחה את קובץ ה- Script ומספק פרטי פלט, כולל שם, גירסה, מחבר, PublishedDate, InstalledDate ו- InstalledLocation.

   4. הפעל את רכיבי ה- cmdlet הבאים:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • תקליטור $ScriptPath

      • אל ת

   5. ודא שהקובץ SplitDbxContent.ps1 נמצא כעת בתיקיה Scripts.

   6. הפעל את קובץ ה- Script הבא של PowerShell בקובץ Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. ודא שהפקודה יצרה את הקבצים הבאים.

      

      • Content.bin – עדכון תוכן

      • Signature.p7 – חתימה המאשרת את תהליך העדכון

3. בהפעלת PowerShell ניהולית, הפעל את ה- cmdlet Set-SecureBootUefi כדי להחיל את עדכון DBX:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   יציאות צפויות
   
   

4. כדי להשלים את תהליך התקנת העדכון, הפעל מחדש את המכשיר.

לקבלת מידע נוסף אודות ה- cmdlet של תצורת אתחול מאובטח ואופן השימוש בו עבור עדכוני DBX, ראה Set-Secure.

מוודא שהעדכון בוצע בהצלחה  

לאחר שהשלמת בהצלחה את השלבים בסעיף הקודם והפעל מחדש את המכשיר, בצע שלבים אלה כדי לוודא שהעדכון הוחל בהצלחה. לאחר אימות מוצלח, המכשיר שלך לא יושפע עוד מפגיעות הפונקציה GRUB.

1. הורד את קבצי ה- Script לאימות עדכון DBX מדף אינטרנט זה של GitHub Gist.

2. חלץ את קבצי ה- Script והפריטים הבינאריים מהקובץ הדחוס.

3. הפעל את קובץ ה- Script הבא של PowerShell בתוך התיקיה המכילה את קבצי ה- Script והפריטים הבינאריים המורחבים כדי לאמת את עדכון DBX:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   הערה: אם הוחל עדכון DBX התואם לגירסאות יולי 2020 או אוקטובר 2020 מארכיון קובץ זה של רשימת ביטולים, הפעל את הפקודה המתאימה הבאה במקום זאת:Check-Dbx.ps1 '.\dbx-2020-July.bin' 
   
   

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. ודא שהפלט תואם לתוצאה הצפויה.
   
   

שאלות נפוצות

ש1: מה פירוש הודעת השגיאה "Get-SecureBootUEFI: רכיבי Cmdlet שאינם נתמכים בפלטפורמה זו"?

A1: הודעת שגיאה זו מציינת שתכונת האתחול המאובטח ללא זמינה במחשב. לכן, התקן זה אינו מושפע מהפגיעות של הפונקציה GRUB. אין צורך בפעולה נוספת.

ש2: כיצד ניתן לבצע להגדיר את המכשיר לתת אמון או לא לתת אמון ב- UEFI CA של ספק חיצוני? 

A2: מומלץ להתייעץ עם ספק OEM. 

עבור Microsoft Surface, שנה את הגדרת האתחול המאובטח ל- "Microsoft Only" ולאחר מכן הפעל את הפקודה הבאה של PowerShell (התוצאה צריכה להיות "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

לקבלת מידע נוסף על אופן קביעת התצורה עבור Microsoft Surface, ראה ניהול הגדרות Surface UEFI - Surface | Microsoft Docs.

ש3: האם בעיה זו משפיעה על מחשבים וירטואליים מדור 1 ו- Azure IaaS מדור 2? 

A3: לא. מחשבים וירטואליים של אורח Azure Gen1 ו- Gen2 אינם תומכים בתכונת האתחול המאובטח. לכן, הם אינם מושפעים מהתקיפה של שרשרת האמון. 

ש4: האם ADV200011 ו- CVE-2020-0689 מתייחסים לאותה פגיעות הקשורה לאתחול מאובטח? 

A: לא. בעיות מינורית אלה מתארות פגיעויות שונות. "ADV200011" מתייחס לפגיעות ב- GRUB (רכיב Linux) שעלולה לגרום לעקיפת אתחול מאובטח. "CVE-2020-0689" מתייחס לפגיעות של עקיפת תכונת אבטחה קיימת באתחול מאובטח. 

ש5: איני מצליח להפעיל את קבצי ה- Script של PowerShell. מה עליי לעשות?

A: אמת את מדיניות הביצוע של PowerShell על-ידי הפעלת הפקודה Get-ExecutionPolicy . בהתאם לפלט, ייתכן שיהיה עליך לעדכן את מדיניות הביצוע:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoft Docs