KB4535680: atualização de segurança para Secure Boot DBX: 12 de janeiro de 2021

Problema

Solução alternativa

Algum firmware de fabricante de equipamentos original (OEM) pode não permitir a instalação desta atualização.

Para resolver esse problema, entre em contato com o OEM do firmware.

Se a política do Grupo BitLocker Configurar o perfil de validação da plataforma TPM para configurações nativas de firmware UEFI estiver ativado e o PCR7 for selecionado pela política, isso pode resultar na necessidade da chave de recuperação BitLocker em alguns dispositivos onde a vinculação do PCR7 não é possível.

Para visualizar o status de vinculação do PCR7, execute a ferramenta Informações do Sistema Microsoft (Msinfo32.exe) com permissões administrativas.

Para resolver esse problema, faça um dos seguintes procedimentos com base na configuração de guarda de credencial antes de implantar esta atualização:

• Em um dispositivo que não tem a Proteção de Credenciais habilitada, execute o comando a seguir em um prompt de comando do Administrador para suspender o BitLocker para um ciclo de reinicialização:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Em seguida, reinicie o dispositivo para retomar a proteção do BitLocker.
  
  Observação Não habilite a proteção do BitLocker sem reiniciar o dispositivo adicionalmente, pois isso resultaria na recuperação do BitLocker.

• Em um dispositivo que tem a Proteção de Credenciais habilitada, pode haver várias reinicializações durante a atualização que exigem que o BitLocker seja suspenso. Execute o seguinte comando em um prompt de comando do Administrador para suspender o BitLocker para 3 ciclos de reinicialização. Manage-bde –Protectors –Disable C: -RebootCount 3

  Espera-se que esta atualização reinicie o sistema duas vezes. Reinicie o dispositivo mais uma vez para retomar a proteção BitLocker.

  Observação Não habilite a proteção do BitLocker sem reiniciar adicionalmente, pois isso resultaria na recuperação do BitLocker.

Você pode entrar na recuperação do Bitlocker se as configurações conflitantes da política de grupo do BitLocker forem definidas após o BitLocker ter sido habilitado no ambiente. A recuperação do Bitlocker pode ser acionada devido a qualquer uma das configurações de Política de Grupo abaixo:

• Forçar a Configuração explícita de associações de PCR diferente daquela já escolhida pelo BitLocker.

• Configurando GP “Permitir Inicialização Segura para validação de integridade” para não permitir Inicialização segura para validação de integridade, mas o BitLocker já está usando inicialização segura (PCR7).

• Configurando a política de grupo para Exigir Autenticação adicional durante a inicialização, mas o BitLocker foi configurado antes de implantar esta política de grupo.

Se esta atualização já foi aplicada e o dispositivo não foi reiniciado, suspenda o BitLocker e reinicie após seguir as etapas abaixo:

• Se uma configuração de PCR explícita tiver sido definida por meio da política de grupo ou se uma política for configurada para impedir o uso de inicialização segura para validação de integridade, Suspenda e retome o BitLocker para limpar os conflitos de GP.

• Se a políticaExigir Autenticação adicional durante a inicializaçãoestiver configurada para exigir TPM e PIN, execute o seguinte comando em um prompt de comando administrativo e insira o PIN desejado: manage -bde -protectors -add c: -TPMANdPin

• Se a políticaExigir Autenticação adicional durante a inicializaçãoestiver configurada para exigir uma chave de inicialização, execute o seguinte comando para criar a chave de inicialização:manage-bde -protectors -add c: -tpmandstartupkey <caminho para o diretório de chaves externas>

• Se a políticaExigir Autenticação adicional durante a inicializaçãoestiver configurada para exigir chave de inicialização e PIN, execute o seguinte comando no prompt de comando do Administrador para criar PIN e chave de inicialização. Quando solicitado, digite o PIN desejado:manage-bde -protectors -add c:-tpmandpinandstartupkey  <caminho para o diretório de chaves externas> 

Esta atualização pode não ser instalada em dispositivos com um arquivo gerenciador de inicialização bootx64.efi não assinado e não pertencente à Microsoft.  Esta atualização pode ser oferecida e oferecida novamente por meio do Windows Update, mas pode não ser instalada.  Ao tentar instalar esta atualização manualmente, você pode receber um erro, “Algumas atualizações não foram instaladas” listando KB4565680.  Você também pode verificar o Arquivo de log CBS em %systemroot%\logs\cbs para o seguinte erro: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Error TRUST_E_NOSIGNATURE originado na função Windows::WCP::SecureBoot::BasicInstaller::Expressão de instalação: ApplySecureBootUpdate( dwAvailableUpdates)

Estamos trabalhando em uma resolução e estimamos que uma solução estará disponível para Windows 10, versão 1909, Windows 10, versão 2004 e Windows 10, versão 20H2 no final de março.  Estima-se que as versões restantes do Windows com suporte tenham uma solução disponível em meados de abril.

Para obter orientação adicional antes do lançamento da resolução, entre em contato com o fabricante do dispositivo (OEM).