KB4535680: 보안 부팅 DBX용 보안 업데이트: 2021년 1월 12일 화요일

Issue

해결 과정

일부 OEM(Original Equipment Manufacturer) 펌웨어는 이 업데이트의 설치를 허용하지 않을 수 있습니다.

이 문제를 해결하려면 펌웨어 OEM에 문의하세요.

BitLocker 그룹 정책 기본 UEFI 펌웨어 구성을 위한 TPM 플랫폼 유효성 검사 프로필 구성을 사용하고 정책에 의해 PCR7이 선택된 경우, PCR7 바인딩이 불가능한 일부 디바이스에서 BitLocker 복구 키가 필요할 수 있습니다.

PCR7 바인딩 상태를 보려면 관리 권한이 있는 Microsoft 시스템 정보(Msinfo32.exe)도구를 실행합니다.

이 문제를 해결하려면 이 업데이트를 배포하기 전에 자격 증명 가드 구성을 기반으로 다음 중 하나를 수행합니다.

• 자격 증명 가드를 사용 설정하지 않은 디바이스에서는 1 다시 시작 주기 동안 BitLocker를 일시 중단하라는 관리자 명령 프롬프트에서 다음 명령을 실행합니다.

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  그런 다음 디바이스를 다시 시작하여 BitLocker 보호를 다시 시작합니다.
  
  참고 BitLocker 복구가 발생할 수 있으므로 디바이스를 추가로 다시 시작하지 않고 BitLocker 보호를 활성화하지 마세요.

• 자격 증명 가드를 사용하도록 설정한 디바이스에서 BitLocker를 일시 중단해야 하는 업데이트 중에 여러 번 다시 시작할 수 있습니다. 3 다시 시작 주기 간 BitLocker를 일시 중단하는 관리자 명령 프롬프트에서 다음 명령을 실행합니다. Manage-bde –Protectors –Disable C: -RebootCount 3

  이 업데이트는 시스템을 두 번 다시 시작할 것으로 예상됩니다. BitLocker 보호를 다시 시작하려면 디바이스를 다시 시작합니다.

  참고 BitLocker 복구가 발생할 수 있으므로 추가로 다시 시작하지 않고 BitLocker 보호를 활성화하지 마세요.

환경에서 BitLocker를 사용하도록 설정한 후 충돌하는 BitLocker 그룹 정책 설정이 구성된 경우 Bitlocker 복구를 입력할 수 있습니다. 아래 그룹 정책 설정으로 인해 Bitlocker 복구를 트리거할 수 있습니다.

• BitLocker에서 이미 선택한 항목과 다른 명시적 PCR 바인딩의 구성을 강제 적용합니다.

• GP “무결성 유효성 검사에 대한 보안 부팅 허용”을 구성하여 무결성 유효성 검사를 위해 보안 부팅을 허용하지 않도록 했지만 BitLocker에서가 이미 PCR7(보안 부팅)을 사용하고 있습니다.

• 그룹 정책을 시작 중 추가 인증 필요로 구성했지만 이 그룹 정책을 배포하기 전에 BitLocker가 구성되었습니다.

이 업데이트가 이미 적용되었으며 장치가 다시 시작되지 않은 경우 다음 단계를 수행한 후 BitLocker를 일시 중단하고 다시 시작합니다.

• 명시적 PCR 구성이 그룹 정책을 통해 설정되었거나 무결성 유효성 검사를 위해 보안 부팅을 사용하지 않도록 정책을 구성한 경우 BitLocker를 일시 중단하고 다시 시작하여 GP 충돌을 지웁니다.

• TPM 및 PIN을 요구하도록 시작 중 추가 인증 필요 정책을 구성한 경우, 관리 명령 프롬프트에서 다음 명령을 실행하고 원하는 PIN을 입력합니다. manage-bde -protectors -add c: -TPMAndPin

• 시작 키를 요구하도록 시작 중 추가 인증 필요 정책을 구성한 경우, 다음 명령을 실행하고 시작 키를 만듭니다. manage-bde -protectors -add c: -tpmandstartupkey  <path to external key directory>

• 시작 키와 PIN을 요구하도록 시작 중 추가 인증 필요 정책을 구성한 경우, 관리자 명령 프롬프트에서 다음 명령을 실행하여 PIN 및 시작 키를 만듭니다. 메시지가 표시되면 원하는 PIN을 입력합니다.manage-bde -protectors -add c: -tpmandpinandstartupkey  <외부 키 디렉터리에 대한 경로> 

이 업데이트는 서명되지 않은 비 Microsoft bootx64.efi boot manager 파일이 있는 장치에 설치되지 않을 수 있습니다.  이 업데이트는 Windows 업데이트 통해 제공되고 다시 제공될 수 있지만 설치되지 않을 수 있습니다.  이 업데이트를 수동으로 설치하려는 경우 “일부 업데이트가 설치되지 않았습니다”(KB4565680) 오류가 표시될 수 있습니다.  %systemroot%\logs\cbs에 있는 CBS 로그 파일에서 다음 오류를 확인할 수도 있습니다. 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): 오류 TRUST_E_NOSIGNATURE가 함수 Windows::WCP::SecureBoot::BasicInstaller::Install 식: ApplySecureBootUpdate( dwAvailableUpdates)에서 발생했습니다.

해결을 위해 노력하고 있으며 3월 말에 Windows 10 버전 1909, Windows 10 버전 2004 및 Windows 10 버전 20H2에 솔루션을 사용할 수 있을 것으로 예상합니다.  지원되는 나머지 버전의 Windows는 4월 중순에 솔루션을 사용할 수 있을 것으로 예상됩니다.

해결 방법이 릴리스되기 전의 추가 지침은 장치 제조업체(OEM)에 문의하세요.