KB4535680: sigurnosno ažuriranje za DBX sigurnog pokretanja: 12. siječnja 2021.

Problem

Zaobilazno rješenje

Neka oprema proizvođača originalne opreme (OEM) možda neće dopustiti instalaciju ovog ažuriranja.

Da biste riješili taj problem, obratite se OEM-u opreme.

Ako je omogućena značajka BitLocker pravilnik grupe Konfiguriranje profila za provjeru valjanosti TPM platforme za nativne konfiguracije UEFI opreme, a PCR7 je odabran prema pravilniku, to može rezultirati obaveznim BitLocker ključem oporavka na nekim uređajima na kojima povezivanje PCR7 nije moguće.

Da biste pogledali status povezivanja PCR7, pokrenite alat Microsoft System Information (Msinfo32.exe) s administrativnim dozvolama.

Da biste zaobišli taj problem, učinite nešto od sljedećeg na temelju konfiguracije credential guard prije implementacije ovog ažuriranja:

• Na uređaju na kojem nije omogućen Credential Gard pokrenite sljedeću naredbu administratorskog naredbenog retka da biste obustavljali BitLocker za 1 ciklus ponovnog pokretanja:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Zatim ponovno pokrenite uređaj da biste nastavili bitLocker zaštitu.
  
  Napomena Nemojte omogućiti BitLocker zaštitu bez dodatnog ponovnog pokretanja uređaja kao što bi to rezultiralo BitLocker oporavkom.

• Na uređaju na kojem je omogućen Credential Guard može biti više ponovnih pokretanja tijekom ažuriranja za koje je potrebno obustaviti BitLocker. Pokrenite sljedeću naredbu administratorskog naredbenog retka da biste obustavljali BitLocker za 3 ciklusa ponovnog pokretanja. Manage-bde –Protectors –Disable C: -RebootCount 3

  Očekuje se da će ovo ažuriranje ponovno pokrenuti sustav dva puta. Ponovno pokrenite uređaj da biste nastavili bitLocker zaštitu.

  Napomena Nemojte omogućiti BitLocker zaštitu bez dodatnog ponovnog pokretanja jer bi to rezultiralo BitLocker oporavkom.

Bitlocker oporavak možete unijeti ako su postavke pravilnika grupe bitLocker u sukobu konfigurirane nakon što je BitLocker omogućen u okruženju. Bitlocker oporavak može se pokrenuti zbog bilo koje od navedenih pravilnik grupe postavke:

• Forcing Explicit configuration of PCR bindings that is different from what is already chosen by BitLocker.

• Konfiguriranje GP-a "Allow Secure Boot for integrity validation" (Dopusti sigurno pokretanje radi provjere valjanosti integriteta) da bi se onemogućila provjera valjanosti integriteta, ali BitLocker već koristi sigurno pokretanje (PCR7).

• Konfiguriranje pravilnik grupe zahtijeva dodatnu provjeru autentičnosti tijekom pokretanja, ali BitLocker je konfiguriran prije implementacije ovog pravilnika grupe.

Ako je ovo ažuriranje već primijenjeno, a uređaj se nije ponovno pokrenuo, obustavite BitLocker i ponovno ga pokrenite nakon sljedećih koraka:

• Ako je eksplicitno konfiguriranje PCR-a postavljeno putem pravilnika grupe ili je pravilnik konfiguriran tako da onemogući korištenje sigurnog pokretanja radi provjere valjanosti integriteta, obustavite i nastavite BitLocker da biste očistili sukobe GP-a.

• Ako je pravilnik Potrebna dodatna provjera autentičnosti tijekom pokretanja konfiguriran tako da zahtijeva TPM i PIN, pokrenite sljedeću naredbu iz administrativnog naredbenog retka i unesite željeni PIN: manage-bde -protectors -add c: -TPMAndPin

• Ako je pravilnik Potrebna dodatna provjera autentičnosti tijekom pokretanja konfiguriran tako da zahtijeva ključ pokretanja, izvršite sljedeću naredbu da biste stvorili ključ pokretanja: manage-bde -protectors -add c: -tpmandstartupkey <put do vanjskog direktorija ključa>

• Ako je pravilnik Potrebna dodatna provjera autentičnosti tijekom pokretanja konfiguriran tako da zahtijeva ključ za pokretanje i prikvačivanje, izvršite sljedeću naredbu iz Administrator naredbenog retka da biste stvorili pin i polazni ključ. Kada se to od vas zatraži, unesite željeni PIN: manage-bde -protectors -add c: -tpmandpinandstartupkey <put do vanjskog direktorija ključa>

Ovo se ažuriranje možda neće instalirati na uređajima s nepotpisanom datotekom upravitelja pokretanja koji nisu Microsoftovi bootx64.efi.  Ovo se ažuriranje može ponuditi i ponovno ponuditi putem Windows Update, ali se možda neće instalirati.  Kada pokušate ručno instalirati ovo ažuriranje, možda će vam se prikazati pogreška "Neka ažuriranja nisu instalirana" s popisom KB4565680.  Možete provjeriti i datoteku cbs zapisnika u %systemroot%\logs\cbs za sljedeću pogrešku: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Pogreška TRUST_E_NOSIGNATURE potječe iz funkcije Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Radimo na rješavanju tog problema i procjenjujemo da će rješenje biti dostupno za Windows 10, verziju 1909, Windows 10, verziju 2004 i Windows 10, verziju 20H2 kraja ožujka.  Procjenjuje se da su preostale podržane verzije sustava Windows dostupne sredinom travnja.

Dodatne smjernice prije izdavanja razlučivosti zatražite od proizvođača uređaja (OEM-a).