Panduan Microsoft untuk menerapkan pembaruan DBX Boot Aman (KB4575994)

Menerapkan pembaruan DBX di Windows

Setelah anda membaca peringatan di bagian sebelumnya dan memverifikasi bahwa perangkat Anda kompatibel, ikuti langkah-langkah ini untuk memperbarui Secure Boot DBX:

1. Unduh File Daftar Pencabutan UEFI yang sesuai (Dbxupdate.bin) untuk platform Anda dari halaman web UEFI ini.

2. Anda harus membagi file Dbxupdate.bin menjadi komponen yang diperlukan untuk menerapkannya menggunakan cmdlet PowerShell. Untuk melakukannya, ikuti langkah-langkah berikut:

   1. Unduh skrip PowerShell dari halaman web Galeri PowerShell ini.

   2. Untuk membantu menemukan skrip, jalankan cmdlet berikut:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstallDate, InstallLocation

   3. Verifikasi bahwa cmdlet berhasil mengunduh skrip dan menyediakan detail output, termasuk Nama, Versi, Penulis, PublishedDate, TanggalTerinstal, dan InstallLocation.

   4. Jalankan cmdlet berikut:

      • [string]$ScriptPath= @(Get-InstallScript -name SplitDbxContent | select-object -ExpandProperty InstallLocation)

      • $ScriptPath cd

      • Ls

   5. Verifikasi bahwa file SplitDbxContent.ps1 sekarang berada di folder Skrip.

   6. Jalankan skrip PowerShell berikut pada file Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Verifikasi bahwa perintah membuat file berikut ini.

      

      • Content.bin – memperbarui konten

      • Signature.p7 – tanda tangan yang mengotorisasi proses pembaruan

3. Dalam sesi PowerShell administratif, jalankan cmdlet Set-SecureBootUefi untuk menerapkan pembaruan DBX:
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Output
   
   yang diharapkan

4. Untuk menyelesaikan proses penginstalan pembaruan, hidupkan ulang perangkat.

Untuk informasi selengkapnya tentang cmdlet konfigurasi Boot Aman dan cara menggunakannya untuk pembaruan DBX, lihat Set-Secure.

Memverifikasi bahwa pembaruan berhasil  

Setelah Anda berhasil menyelesaikan langkah-langkah di bagian sebelumnya dan memulai ulang perangkat, ikuti langkah-langkah ini untuk memverifikasi bahwa pembaruan berhasil diterapkan. Setelah verifikasi berhasil, perangkat Anda tidak akan lagi terpengaruh oleh kerentanan GRUB.

1. Unduh skrip verifikasi pembaruan DBX dari halaman web GitHub Gist ini.

2. Ekstrak skrip dan biner dari file yang dipadatkan.

3. Jalankan skrip PowerShell berikut dalam folder yang berisi skrip dan biner yang diperluas untuk memverifikasi pembaruan DBX:
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Catatan: Jika pembaruan DBX yang cocok dengan versi Juli 2020 atau Oktober 2020 dari arsip file daftar pembatalan ini diterapkan, jalankan perintah yang sesuai berikut:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Verifikasi bahwa output cocok dengan hasil yang diharapkan.
   
   

FAQ

T1: Apa arti pesan kesalahan "Get-SecureBootUEFI: Cmdlets tidak didukung di platform ini"?

A1: Pesan kesalahan ini menunjukkan bahwa fitur TANPA Boot Aman diaktifkan di komputer. Oleh karena itu, perangkat ini TIDAK terpengaruh oleh kerentanan GRUB. Tidak perlu tindakan lebih lanjut.

T2: Bagaimana cara mengonfigurasi perangkat agar mempercayai atau tidak mempercayai UEFI CA pihak ketiga? 

A2: Kami menyarankan Agar Anda berkonsultasi dengan vendor OEM Anda. 

Untuk Microsoft Surface, ubah pengaturan Boot Aman menjadi "Hanya Microsoft," lalu jalankan perintah PowerShell berikut ini (hasilnya harus "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Untuk informasi selengkapnya tentang cara mengonfigurasi Microsoft Surface, lihat Mengelola pengaturan Surface UEFI - Surface | Microsoft Docs.

T3: Apakah masalah ini memengaruhi mesin virtual Azure IaaS Generasi 1 dan Generasi 2? 

A3: Tidak. Mesin virtual tamu Azure Gen1 dan Gen2 tidak mendukung fitur Boot Aman. Oleh karena itu, mereka tidak terpengaruh oleh rantai serangan kepercayaan. 

T4: Apakah ADV200011 dan CVE-2020-0689 mengacu pada kerentanan yang sama yang terkait dengan Boot Aman? 

J: Tidak. Saran keamanan ini menjelaskan kerentanan yang berbeda. "ADV200011" merujuk pada kerentanan dalam GRUB (komponen Linux) yang dapat menyebabkan bypass Boot Aman. "CVE-2020-0689" merujuk pada kerentanan bypass fitur keamanan yang ada dalam Boot Aman. 

T5: Saya tidak bisa menjalankan salah satu skrip PowerShell. Apa yang harus saya lakukan?

J: Verifikasi kebijakan eksekusi PowerShell dengan menjalankan perintah Get-ExecutionPolicy . Bergantung pada output, Anda mungkin harus memperbarui kebijakan eksekusi:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoft Docs