KB4535680: Aggiornamento della sicurezza per l'avvio protetto DBX: 12 gennaio 2021

Problema

Soluzione alternativa

Alcuni firmware OEM (Original Equipment Manufacturer) potrebbero non consentire l'installazione di questo aggiornamento.

Per risolvere il problema, contatta l'OEM del firmware.

Se BitLocker Criteri di gruppo Configure TPM platform validation profile for native UEFI firmware configurations is enabled and PCR7 is selected by policy, it may result in it may result in bitLocker recovery key being required on some devices where PCR7 binding is not possible.

Per visualizzare lo stato di associazione PCR7, eseguire lo strumento Microsoft System Information (Msinfo32.exe) con autorizzazioni amministrative.

Per risolvere questo problema, eseguire una delle operazioni seguenti in base alla configurazione di protezione credenziali prima di distribuire questo aggiornamento:

• In un dispositivo in cui Credential Gard non è abilitato, esegui il comando seguente da un prompt dei comandi dell'amministratore per sospendere BitLocker per un ciclo di riavvio:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Riavvia quindi il dispositivo per riprendere la protezione BitLocker.
  
  Nota Non abilitare la protezione BitLocker senza riavviare ulteriormente il dispositivo in quanto si tradurrà in un ripristino di BitLocker.

• In un dispositivo in cui è abilitato Credential Guard potrebbero essere presenti più riavvii durante l'aggiornamento che richiedono la sospensione di BitLocker. Esegui il comando seguente da un prompt dei comandi dell'amministratore per sospendere BitLocker per 3 cicli di riavvio. Manage-bde -Protectors –Disable C: -RebootCount 3

  Questo aggiornamento dovrebbe riavviare il sistema due volte. Riavvia di nuovo il dispositivo per riprendere la protezione BitLocker.

  Nota Non abilitare la protezione BitLocker senza riavviare ulteriormente, perché ciò comporterebbe il ripristino di BitLocker.

È possibile immettere il ripristino di Bitlocker se le impostazioni dei criteri di gruppo bitLocker in conflitto sono configurate dopo l'abilitazione di BitLocker nell'ambiente. Il ripristino di BitLocker può essere attivato a causa di una delle impostazioni di Criteri di gruppo seguenti:

• Forzare la configurazione esplicita dei binding PCR diversa da quella già scelta da BitLocker.

• Configurazione di CRITERI di gruppo "Consenti avvio protetto per la convalida dell'integrità" per impedire l'avvio protetto per la convalida dell'integrità, ma BitLocker usa già l'avvio protetto (PCR7).

• Configurazione di Criteri di gruppo per richiedere l'autenticazione aggiuntiva durante l'avvio, ma BitLocker è stato configurato prima della distribuzione di questi criteri di gruppo.

Se questo aggiornamento è già stato applicato e il dispositivo non si è riavviato, sospendi BitLocker e riavvia dopo aver eseguito i passaggi seguenti:

• Se è stata impostata una configurazione PCR esplicita tramite criteri di gruppo o se è configurato un criterio per impedire l'uso dell'avvio protetto per la convalida dell'integrità, sospendi e riattiva BitLocker per cancellare i conflitti relativi ai criteri di gruppo.

• Se il criterio Richiedi autenticazione aggiuntiva durante l'avvio è configurato per richiedere TPM e PIN, esegui il comando seguente da un prompt dei comandi amministrativo e immetti il PIN desiderato: manage-bde -protectors -add c: -TPMAndPin

• Se il criterio Richiedi autenticazione aggiuntiva durante l'avvio è configurato per richiedere una chiave di avvio, esegui il comando seguente per creare la chiave di avvio: manage-bde -protectors -add c: -tpmandstartupkey <percorso alla directory di chiave esterna>

• Se il criterio Richiedi autenticazione aggiuntiva durante l'avvio è configurato per richiedere la chiave di avvio e il pin, eseguire il comando seguente da Amministrazione prompt dei comandi per creare Pin e chiave di avvio. Quando richiesto, immetti il PIN desiderato: manage-bde -protectors -add c: -tpmandpinandstartupkey <percorso alla directory di chiave esterna>

Questo aggiornamento potrebbe non essere installato nei dispositivi con un file di boot manager non firmato e non Microsoft bootx64.efi.  Questo aggiornamento potrebbe essere offerto e offerto tramite Windows Update ma potrebbe non essere installato.  Quando tenti di installare questo aggiornamento manualmente, potresti ricevere un errore "Alcuni aggiornamenti non sono stati installati" che elenca KB4565680.  È anche possibile controllare il file di registro CBS in %systemroot%\logs\cbs per il seguente errore: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Errore TRUST_E_NOSIGNATURE originato nella funzione Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Microsoft sta lavorando al problema e prevede che una soluzione sarà disponibile per Windows 10, versione 1909, Windows 10, versione 2004 e Windows 10, versione 20H2 alla fine di marzo.  Si stima che le altre versioni supportate di Windows abbiano una soluzione disponibile a metà aprile.

Per altre indicazioni prima del rilascio della risoluzione, contatta il produttore del dispositivo (OEM).