KB4535680: Atualização de segurança para O DBX de Arranque Seguro: 12 de janeiro de 2021

Problema

Solução

Alguns firmwares do fabricante de equipamento original (OEM) podem não permitir a instalação desta atualização.

Para resolver este problema, contacte o seu OEM de firmware.

Se o BitLocker Política de Grupo Configurar o perfil de validação da plataforma TPM para configurações de firmware UEFI nativas estiver ativado e PCR7 estiver selecionado por política, poderá resultar na necessidade da chave de recuperação BitLocker em alguns dispositivos em que o enlace PCR7 não é possível.

Para ver o estado de enlace PCR7, execute a ferramenta Informações do Sistema Microsoft (Msinfo32.exe) com permissões administrativas.

Para solucionar este problema, efetue um dos seguintes procedimentos com base na configuração do credential guard antes de implementar esta atualização:

• Num dispositivo que não tenha o Credential Gard ativado, execute o seguinte comando a partir de uma linha de comandos de Administrador para suspender o BitLocker durante 1 ciclo de reinício:

  Manage-bde –Protectors –Disable C: -RebootCount 1

  
  Em seguida, reinicie o dispositivo para retomar a proteção do BitLocker.
  
  Nota Não ative a proteção BitLocker sem reiniciar adicionalmente o dispositivo, uma vez que resultaria na recuperação do BitLocker.

• Num dispositivo com o Credential Guard ativado, podem existir vários reinícios durante a atualização que requerem a suspensão do BitLocker. Execute o seguinte comando a partir de uma linha de comandos do Administrador para suspender o BitLocker durante 3 ciclos de reinício. Manage-bde –Protectores –Disable C: -RebootCount 3

  Espera-se que esta atualização reinicie o sistema duas vezes. Reinicie novamente o dispositivo para retomar a proteção do BitLocker.

  Nota Não ative a proteção BitLocker sem reiniciar adicionalmente, pois resultaria na recuperação do BitLocker.

Poderá introduzir a recuperação do Bitlocker se as definições de política de grupo bitLocker em conflito estiverem configuradas depois de o BitLocker ter sido ativado no ambiente. A recuperação do Bitlocker pode ser acionada devido a qualquer uma das definições de Política de Grupo abaixo:

• Forçar a configuração explícita de enlaces PCR que é diferente do que já é escolhido pelo BitLocker.

• Configurar o GP "Permitir Arranque Seguro para validação de integridade" para desativar o Arranque seguro para validação de integridade, mas o BitLocker já está a utilizar o arranque seguro (PCR7).

• Configurar Política de Grupo para Exigir Autenticação adicional durante o arranque, mas o BitLocker foi configurado antes de implementar esta política de grupo.

Se esta atualização já tiver sido aplicada e o dispositivo não tiver sido reiniciado, suspenda o BitLocker e reinicie após seguir os passos abaixo:

• Se uma configuração de PCR explícita tiver sido definida através da política de grupo ou se uma política estiver configurada para não permitir a utilização do arranque seguro para validação de integridade, suspenda e retome o BitLocker para limpar os conflitos de GP.

• Se a política Exigir Autenticação adicional durante o arranque estiver configurada para exigir TPM e PIN, execute o seguinte comando a partir de uma linha de comandos Administrativa e introduza o PIN pretendido: manage-bde -protectores -add c: -TPMAndPin

• Se a política Exigir Autenticação adicional durante o arranque estiver configurada para exigir uma chave de arranque, execute o seguinte comando para criar a chave de arranque: manage-bde -protectors -add c: -tpmandstartupkey <caminho para o diretório de chaves externas>

• Se a política Exigir Autenticação adicional durante o arranque estiver configurada para exigir a chave de arranque e afixar, execute o seguinte comando a partir de Administração linha de comandos para criar o Pin e a chave de arranque. Quando lhe for pedido, introduza o PIN pretendido: manage-bde -protectors -add c: -tpmandpinandstartupkey <caminho para o diretório de chaves externas>

Esta atualização poderá não ser instalada em dispositivos com um ficheiro de gestor de arranque não assinado e não microsoftx64.efi.  Esta atualização pode ser disponibilizada e reativada através de Windows Update, mas pode não ser instalada.  Quando tenta instalar esta atualização manualmente, poderá receber um erro" Algumas atualizações não foram instaladas" com a lista KB4565680.  Também pode verificar o ficheiro de Registo do CBS em %systemroot%\logs\cbs para obter o seguinte erro: 

onecore\base\secureboot\servicing\advancedinstaller\securebootai.cpp(277): Erro TRUST_E_NOSIGNATURE originado na função Windows::WCP::SecureBoot::BasicInstaller::Install expression: ApplySecureBootUpdate( dwAvailableUpdates)

Estamos a trabalhar numa resolução e estimamos que estará disponível uma solução para Windows 10, versão 1909, Windows 10, versão 2004 e Windows 10, versão 20H2 no final de março.  Estima-se que as restantes versões suportadas do Windows tenham uma solução disponível em meados de abril.

Para obter orientações adicionais antes do lançamento da resolução, contacte o fabricante do dispositivo (OEM).