KB4535680: Beveiligingsupdate voor Secure Boot DBX: 12 januari 2021

Probleem

Tijdelijke oplossing

Sommige OEM-firmware (Original Equipment Manufacturer) staat de installatie van deze update mogelijk niet toe.

Neem contact op met de OEM van uw firmware om dit probleem op te lossen.

Als BitLocker groepsbeleid TPM-platformvalidatieprofiel configureren voor systeemeigen UEFI-firmwareconfiguraties is ingeschakeld en PCR7 is geselecteerd door beleid, kan dit ertoe leiden dat de BitLocker-herstelsleutel vereist is op sommige apparaten waarvoor PCR7-binding niet mogelijk is.

Als u de PCR7-bindingsstatus wilt weergeven, voert u het hulpprogramma Microsoft System Information (Msinfo32.exe) uit met beheerdersmachtigingen.

Als u dit probleem wilt oplossen, voert u een van de volgende handelingen uit op basis van credential guard-configuratie voordat u deze update implementeert:

• Voer op een apparaat waarop Credential Gard niet is ingeschakeld de volgende opdracht uit vanaf een administrator-opdrachtprompt om BitLocker te onderbreken voor 1 herstartcyclus:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Start vervolgens het apparaat opnieuw op om de BitLocker-beveiliging te hervatten.
  
  Opmerking Schakel BitLocker-beveiliging niet in zonder het apparaat opnieuw op te starten, omdat dit zou leiden tot BitLocker-herstel.

• Op een apparaat waarop Credential Guard is ingeschakeld, kunnen er tijdens de update meerdere herstarts zijn waarvoor BitLocker moet worden onderbroken. Voer de volgende opdracht uit vanaf een administrator-opdrachtprompt om BitLocker te onderbreken voor 3 herstartcycli. Manage-bde –Protectors – Disable C: -RebootCount 3

  Deze update zal het systeem naar verwachting twee keer opnieuw opstarten. Start het apparaat opnieuw op om de BitLocker-beveiliging te hervatten.

  Opmerking Schakel BitLocker-beveiliging niet in zonder bovendien opnieuw op te starten, omdat dit zou leiden tot BitLocker-herstel.

U kunt Bitlocker-herstel invoeren als conflicterende BitLocker-groepsbeleidsinstellingen zijn geconfigureerd nadat BitLocker is ingeschakeld in de omgeving. Bitlocker-herstel kan worden geactiveerd vanwege een van de onderstaande groepsbeleid instellingen:

• Expliciete configuratie van PCR-bindingen afdwingen die verschilt van wat al door BitLocker is gekozen.

• Gp 'Beveiligd opstarten toestaan voor integriteitsvalidatie' configureren om Beveiligd opstarten niet toe te staan voor integriteitsvalidatie, maar BitLocker maakt al gebruik van beveiligd opstarten (PCR7).

• Het configureren van groepsbeleid extra verificatie vereisen tijdens het opstarten, maar BitLocker is geconfigureerd voordat dit groepsbeleid wordt geïmplementeerd.

Als deze update al is toegepast en het apparaat niet opnieuw is opgestart, onderbreekt u BitLocker en start u opnieuw op nadat u de onderstaande stappen hebt uitgevoerd:

• Als een expliciete PCR-configuratie is ingesteld via groepsbeleid of als een beleid is geconfigureerd om het gebruik van beveiligd opstarten voor integriteitsvalidatie niet toe te laten, kunt u BitLocker onderbreken en hervatten om de GP-conflicten op te lossen.

• Als het beleid Aanvullende verificatie vereisen tijdens opstarten is geconfigureerd om TPM en pincode te vereisen, voert u de volgende opdracht uit vanaf een opdrachtprompt Beheer en voert u de gewenste pincode in: manage-bde -protectors -add c: -TPMAndPin

• Als het beleid Aanvullende verificatie vereisen tijdens het opstarten is geconfigureerd om een opstartsleutel te vereisen, voert u de volgende opdracht uit om de opstartsleutel te maken: manage-bde -protectors -add c: -tpmandstartupkey <pad naar externe sleutelmap>

• Als het beleid Aanvullende verificatie vereisen tijdens het opstarten is geconfigureerd om opstartsleutel en -pincode te vereisen, voert u de volgende opdracht uit vanaf Beheer opdrachtprompt om vastmaken en opstartsleutel te maken. Voer de gewenste pincode in wanneer u hierom wordt gevraagd: manage-bde -protectors -add c: -tpmandpinandstartupkey <pad naar externe sleutelmap>

Deze update wordt mogelijk niet geïnstalleerd op apparaten met een niet-ondertekend, niet-Microsoft bootx64.efi boot manager-bestand.  Deze update wordt mogelijk aangeboden en opnieuw aangeboden via Windows Update, maar wordt mogelijk niet geïnstalleerd.  Wanneer u deze update handmatig probeert te installeren, krijgt u mogelijk de foutmelding 'Sommige updates zijn niet geïnstalleerd' met KB4565680.  U kunt ook het CBS-logboekbestand in %systemroot%\logs\cbs controleren op de volgende fout: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Fout TRUST_E_NOSIGNATURE afkomstig is van de functie Windows::WCP::SecureBoot::BasicInstaller::Install-expressie: ApplySecureBootUpdate( dwAvailableUpdates)

We werken aan een oplossing en schatten dat er eind maart een oplossing beschikbaar zal zijn voor Windows 10 versie 1909, Windows 10, versie 2004 en Windows 10, versie 20H2.  De resterende ondersteunde versies van Windows hebben naar schatting medio april een oplossing beschikbaar.

Neem contact op met de fabrikant van uw apparaat (OEM) voor aanvullende richtlijnen voordat de oplossing wordt uitgebracht.