Pembaruan keamanan untuk boot DBX aman: 12 Januari 2021

Kembali

Penyelesaian Masalah

Beberapa firmware produsen peralatan asli (OEM) mungkin tidak memperbolehkan penginstalan pembaruan ini.

Untuk mengatasi masalah ini, hubungi OEM firmware Anda.

Jika kebijakan grup BitLocker mengonfigurasi profil validasi platform TPM untuk konfigurasi firmware UEFI asli yang DIAKTIFKAN dan PCR7 dipilih berdasarkan kebijakan, maka mungkin mengakibatkan kunci pemulihan BitLocker yang diperlukan pada beberapa perangkat yang tidak memungkinkan pengikatan PCR7.

Untuk menampilkan PCR7 binding status, jalankan alat Microsoft System Information (Msinfo32.exe) dengan izin administratif.

Untuk mengatasi masalah ini, lakukan salah satu hal berikut ini berdasarkan konfigurasi penjaga kredensial sebelum Anda menyebarluaskan pembaruan ini:

• Pada perangkat yang tidak memiliki kredensial Gard diaktifkan, jalankan perintah berikut dari wantian perintah administrator untuk menangguhkan BitLocker untuk 1 siklus reboot:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Lalu, mulai ulang perangkat untuk melanjutkan proteksi BitLocker.
  
  Catatan Jangan Aktifkan proteksi BitLocker tanpa perlu lagi memulai ulang perangkat karena akan mengakibatkan pemulihan BitLocker.

• Pada perangkat yang memiliki penjaga kredensial diaktifkan, mungkin ada beberapa restart selama pembaruan yang mengharuskan BitLocker ditunda. Jalankan perintah berikut ini dari wantian perintah administrator untuk menangguhkan BitLocker selama 3 mulai siklus. Kelola-BDE – Protektor – Nonaktifkan C:-RebootCount 3

  Pembaruan ini diharapkan untuk memulai ulang sistem dua kali. Mulai ulang perangkat sekali lagi untuk melanjutkan proteksi BitLocker.

  Catatan Jangan Aktifkan proteksi BitLocker tanpa restart Selain itu akan mengakibatkan pemulihan BitLocker.

Anda dapat memasukkan pemulihan BitLocker jika pengaturan kebijakan grup BitLocker yang berkonflik dikonfigurasi setelah BitLocker diaktifkan di lingkungan. Pemulihan BitLocker dapat dipicu karena salah satu pengaturan kebijakan grup di bawah ini:

• Memaksa konfigurasi eksplisit dari PCR binding yang berbeda dengan yang telah dipilih oleh BitLocker.

• Mengonfigurasi GP "Izinkan boot aman untuk validasi integritas" ke dis-Perbolehkan boot aman untuk validasi integritas tapi BitLocker sudah menggunakan boot aman (PCR7).

• Mengonfigurasi kebijakan grup untuk memerlukan autentikasi tambahan selama penyiapan tetapi BitLocker telah dikonfigurasikan sebelum menyebarkan kebijakan grup ini.

Jika pembaruan telah diterapkan dan perangkat tidak dimulai ulang, tangguhkan BitLocker dan mulai ulang setelah mengikuti langkah-langkah di bawah ini:

• Jika konfigurasi PCR eksplisit telah diatur melalui kebijakan grup atau kebijakan dikonfigurasi untuk tidak mengizinkan penggunaan boot aman untuk validasi integritas, tangguhkan dan lanjutkan BitLocker untuk menghapus konflik GP.

• Jika memerlukan autentikasi tambahan selama kebijakan startup dikonfigurasikan untuk memerlukan TPM dan pin, jalankan perintah berikut ini dari perintah administratif Command dan masukkan PIN yang diinginkan: Kelola-BDE-Protektor-Add c:-tpmandpin

• Jika memerlukan autentikasi tambahan selama kebijakan startup dikonfigurasikan untuk memerlukan tombol mulai, jalankan perintah berikut ini untuk membuat kunci startup: Kelola-BDE-Protektor-Tambahkan c:-tpmandstartupkey <path to external Key Directory>

• Jika memerlukan autentikasi tambahan selama kebijakan startup dikonfigurasikan untuk memerlukan kunci dan pin startup, jalankan perintah berikut dari prompt perintah admin untuk membuat tombol Sematkan dan pin. Saat diminta, masukkan PIN yang diinginkan: Kelola-BDE-Protektor-Tambahkan c: -tpmandpinandstartupkey jalur <ke direktori kunci eksternal>