Microsoftove smjernice za primjenu dbx ažuriranja sigurnog pokretanja (KB4575994)

Primjena DBX ažuriranja u sustavu Windows

Kada pročitate upozorenja u prethodnom odjeljku i provjerite je li uređaj kompatibilan, slijedite ove korake da biste ažurirali DBX sigurnog pokretanja:

1. S ove web-stranice UEFI-ja preuzmite odgovarajuću datoteku popisa pozivanja UEFI-ja (Dbxupdate.bin) za svoju platformu.

2. Datoteku Dbxupdate.bin morate podijeliti na potrebne komponente da biste ih primijenili pomoću cmdleta komponente PowerShell. Da biste to učinili, slijedite ove korake:

   1. Preuzmite skriptu komponente PowerShell s ove web-stranice galerije powershell.

   2. Da biste lakše pronašli skriptu, pokrenite sljedeći cmdlet:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Provjerite je li cmdlet uspješno preuzet i sadrži li izlazne pojedinosti, uključujući naziv, verziju, autora, PublishedDate, InstalledDate i InstalledLocation.

   4. Pokrenite sljedeće cmdlete:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Li

   5. Provjerite je SplitDbxContent.ps1 datoteka sada u mapi Skripte.

   6. Pokrenite sljedeću skriptu komponente PowerShell u datoteci Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Provjerite je li naredba stvorila sljedeće datoteke.

      

      • Content.bin – sadržaj ažuriranja

      • Signature.p7 – potpis koji autorizira postupak ažuriranja

3. U administrativnoj sesiji ljuske PowerShell pokrenite cmdlet Set-SecureBootUefi da biste primijenili DBX ažuriranje:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Očekivani izlazni
   
   

4. Da biste dovršili postupak instalacije ažuriranja, ponovno pokrenite uređaj.

Dodatne informacije o cmdletu konfiguracije sigurnog pokretanja i načinu korištenja za DBX ažuriranja potražite u članku Set-Secure.

Provjera je li ažuriranje uspjelo  

Kada uspješno dovršite korake u prethodnom odjeljku i ponovno pokrenete uređaj, slijedite ove korake da biste provjerili je li ažuriranje uspješno primijenjeno. Nakon uspješne provjere, ranjivost GRUB-a više neće utjecati na vaš uređaj.

1. Preuzmite skripte za provjeru valjanosti DBX ažuriranja s ove GitHub Gist web-stranice.

2. Izdvojite skripte i binarne datoteke iz komprimirane datoteke.

3. Pokrenite sljedeću skriptu komponente PowerShell u mapi koja sadrži proširene skripte i binarne datoteke da biste provjerili AŽURIRANJE DBX-a:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Napomena: Ako je ažuriranje DBX-a koje se podudara s verzijama iz arhive datoteka popisa opomenom iz srpnja 2020. ili listopada 2020., pokrenite sljedeću odgovarajuću naredbu:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Provjerite odgovara li izlaz očekivanom rezultatu.
   
   

FAQ

P1: Što znači poruka o pogrešci "Get-SecureBootUEFI: Cmdlets not supported on this platform" (Get-SecureBootUEFI: Cmdlets not supported on this platform" (Get-SecureBootUEFI: Cmdlets not supported on this platform" (Get-SecureBootUEFI: Cmdlets not supported on this platform) znači?

A1: Ova poruka o pogrešci označava da je značajka BEZ sigurnog pokretanja omogućena na računalu. Stoga na ovaj uređaj NE utječe gruba ranjivost. Nije potrebno ništa poduzeti.

P2: Kako konfigurirati uređaj tako da smatra UEFI CA pouzdanim ili ne? 

A2: Preporučujemo da se obratite dobavljaču OEM-a. 

Za Microsoft Surface promijenite postavku sigurnog pokretanja u "Samo Microsoft", a zatim pokrenite sljedeću naredbu komponente PowerShell (rezultat bi trebao biti "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Dodatne informacije o konfiguriranju za Microsoft Surface potražite u članku Upravljanje postavkama UEFI-ja za Surface - Surface | Microsoftova dokumentacija.

P3: Utječe li taj problem na virtualna računala Azure IaaS Generation 1 i Generation 2? 

A3: Ne. Virtualna računala gosta na platformi Azure Gen1 i Gen2 ne podržavaju značajku sigurnog pokretanja. Stoga, oni nisu zahvaćeni lanca pouzdanih napada. 

P4: Odnose li se ADV200011 i CVE-2020-0689 na istu ranjivost povezanu sa sigurnim pokretanjem? 

A: Ne. Ta sigurnosna upozorenja opisuju različite slabe točke. "ADV200011" se odnosi na ranjivost u KOMPONENTI GRUB (Linux) koja može uzrokovati zaobilaženje sigurnog pokretanja. "CVE-2020-0689" odnosi se na ranjivost zaobilaženje sigurnosnih značajki koja postoji u sigurnom pokretanju. 

P5: Ne mogu pokrenuti skripte komponente PowerShell. Što da radim?

A: Provjerite pravilnik o izvršavanju komponente PowerShell pokretanjem naredbe Get-ExecutionPolicy . Ovisno o izlazu, možda ćete morati ažurirati pravilnik izvršenja:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoftova dokumentacija