KB4535680: עדכון אבטחה עבור אתחול מאובטח DBX: 12 בינואר, 2021

בעיה

פתרון עוקף

ייתכן כי קושחה מסוימת של יצרן הציוד המקורי (OEM) לא תאפשר את התקנת העדכון.

כדי לפתור בעיה זו, פנה ליצרן הציוד המקורי של הקושחה.

אם BitLocker מדיניות קבוצתית קבע את תצורת פרופיל האימות של פלטפורמת TPM עבור תצורות קושחה מקוריות של UEFI מופעלת ו- PCR7 נבחר על-ידי מדיניות, ייתכן שמפתח השחזור של BitLocker יידרש במכשירים מסוימים שבהם לא ניתן לבצע איגוד PCR7.

כדי להציג את מצב האיגוד של PCR7, הפעל את הכלי Microsoft System Information (Msinfo32.exe) עם הרשאות ניהול.

כדי לעקוף בעיה זו, בצע אחת מהפעולות הבאות בהתבסס על תצורת credential guard לפני פריסת עדכון זה:

• במכשיר שלא זמין בו Credential Gard, הפעל את הפקודה הבאה משורת פקודה של מנהל כדי להשעות את BitLocker עבור מחזור אתחול מחדש אחד:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  לאחר מכן, הפעל מחדש את המכשיר כדי לחדש את ההגנה של BitLocker.
  
  הערה אל תפעיל את ההגנה של BitLocker מבלי להפעיל מחדש את המכשיר בנוסף, מכיוון שהיא תגרום לשחזור של BitLocker.

• במכשיר שבו Credential Guard זמין, עשויות להיות הפעלות מחדש מרובות במהלך העדכון הדורשות ש- BitLocker יושעה. הפעל את הפקודה הבאה משורת פקודה של מנהל מערכת כדי להשעות את BitLocker למשך 3 מחזורי הפעלה מחדש. Manage-bde –Protectors –Disable C: -RebootCount 3

  עדכון זה צפוי להפעיל מחדש את המערכת פעמיים. הפעל מחדש את המכשיר שוב כדי לחדש את ההגנה של BitLocker.

  הערה אל תפעיל את ההגנה של BitLocker מבלי לבצע הפעלה מחדש, מכיוון שהיא תגרום לשחזור של BitLocker.

ייתכן שתזין שחזור Bitlocker אם הגדרות מדיניות קבוצתית מתנגשות של BitLocker נקבעו לאחר ש- BitLocker הפך לזמין בסביבה. ניתן להפעיל שחזור של Bitlocker עקב כל אחת מההגדרות מדיניות קבוצתית הבאות:

• אילוף תצורה מפורשת של איגודי PCR השונה מהתצורה שכבר נבחרה על-ידי BitLocker.

• קביעת התצורה של GP "אפשר אתחול מאובטח לאימות תקינות" לא לאפשר אתחול מאובטח עבור אימות תקינות, אך BitLocker כבר משתמש באתחול מאובטח (PCR7).

• קביעת תצורה מדיניות קבוצתית לדרוש אימות נוסף במהלך ההפעלה, אך התצורה של BitLocker נקבעה לפני פריסת מדיניות קבוצתית זו.

אם עדכון זה כבר הוחל והמכשיר לא הופעל מחדש, השעה את BitLocker והפעל אותו מחדש לאחר ביצוע השלבים הבאים:

• אם תצורת PCR מפורשת הוגדרה באמצעות מדיניות קבוצתית או שתצורת מדיניות נקבעה לא לאפשר שימוש באתחול מאובטח לאימות תקינות, השהה וחדש את BitLocker כדי לנקות את ההתנגשויות של GP.

• אם מדיניות דרוש אימות נוסף במהלך אתחול מוגדרת לדרוש TPM ו- PIN, הפעל את הפקודה הבאה משורת פקודה ניהולית והזן את מספר הזיהוי האישי הרצוי: manage-bde -protectors -add c: -TPMAndPin

• אם מדיניות דרוש אימות נוסף במהלך ההפעלה מוגדרת לדרוש מפתח אתחול, בצע את הפקודה הבאה כדי ליצור מפתח אתחול: manage-bde -protectors -add c: -tpmandstartupkey <path to external key directory>

• אם מדיניות דרוש אימות נוסף במהלך אתחול מוגדרת לדרוש מפתח אתחול והצמדה, בצע את הפקודה הבאה משורת מרכז הניהול כדי ליצור את מקש ההצמדה והאתחול. כאשר תתבקש, הזן את מספר הזיהוי האישי הרצוי: manage-bde -protectors -add c: -tpmandpinandstartupkey <נתיב אל ספריית מקשים חיצונית>

ייתכן שעדכון זה לא יותקן במכשירים עם קובץ מנהל אתחול שאינו של Microsoft bootx64.efi.  ייתכן שעדכון זה יוצע ויציע אותו מחדש Windows Update אך ייתכן שלא יותקן.  כאשר תנסה להתקין עדכון זה באופן ידני, ייתכן שתקבל הודעת שגיאה "עדכונים מסוימים לא הותקנו" המציין KB4565680.  באפשרותך גם לבדוק את קובץ יומן הרישום של CBS ב- %systemroot%\logs\cbs לקבלת השגיאה הבאה: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): שגיאה TRUST_E_NOSIGNATURE נוצרה בפונקציה Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

אנו פועלים למציאת פתרון ומעריכים כי הוא יהיה זמין עבור Windows 10, גירסה 1909, Windows 10, גירסה 2004 ו- Windows 10, גירסה 20H2 בסוף מרץ.  ההערכה היא שלגרסאות הנתמכות הנותרות של Windows יש פתרון זמין באמצע אפריל.

לקבלת הדרכה נוספת לפני שחרור הרזולוציה, פנה ליצרן המכשיר (OEM).